脆弱性診断とペネトレーションテストの違いとは？中小企業はどちらを選ぶべきか

「脆弱性診断を受けたほうがよいと言われた」
「ペネトレーションテストという言葉も聞くけれど、何が違うのか分からない」
「中小企業でも、そこまでやる必要があるのだろうか」

セキュリティ対策を進めていると、このような疑問を持つ方も多いのではないでしょうか。

脆弱性診断とペネトレーションテストは、どちらもシステムの安全性を確認するための方法です。しかし、調べる目的とアプローチが異なります。

簡単に言えば、

　脆弱性診断は「どこに弱点があるのかを探す」もの。

それに対して、

　ペネトレーションテストは「その弱点などを使って、本当に侵入できるのか、侵入されたらどこまで被害が広がるのかを確かめる」ものです。

本コラムでは、脆弱性診断とペネトレーションテストの違い、それぞれが適している場面、そして中小企業はどちらから始めるべきなのかを分かりやすく解説します。

 脆弱性診断とは？「弱点を見つける」ための検査 

脆弱性とは、OSやソフトウェア、Webサイト、サーバー、ネットワーク機器などに存在する、セキュリティ上の欠陥や弱点のことです。

IPAの「脆弱性診断内製化ガイド」では、脆弱性診断を、システムやアプリケーションに潜む脆弱性をさまざまな手法によって洗い出し、その結果を報告するプロセスと説明しています。

例えば、次のような問題を確認します。

　　✔️　OSやソフトウェアに未修正の脆弱性がないか
　　✔️　不要なポートが外部に公開されていないか
　　✔️　古い暗号化方式が使われていないか
　　✔️　Webアプリケーションに不適切な入力処理がないか
　　✔️　認証やアクセス制御に問題がないか
　　✔️　サーバーやネットワーク機器に設定不備がないか

脆弱性診断には、自動診断ツールを使う方法もあれば、専門家が手作業で確認する方法もあります。

また、「脆弱性診断」と一口に言っても、サーバーやネットワーク機器などを調べるプラットフォーム診断、WebサイトやWebサービスを調べるWebアプリケーション診断、クラウド環境の設定を確認する診断など、対象によって内容は異なります。

つまり、脆弱性診断は、
　「自社のシステムには、攻撃につながる弱点が残っていないか」
を広く確認するための検査と考えると分かりやすいでしょう。

以前のコラムで解説した「脆弱性管理」も、こうした弱点を把握し、修正・管理していく取り組みです。

（参考）脆弱性管理とは？アップデートを後回しにする中小企業のリスク

 ペネトレーションテストとは？「本当に侵入できるか」を試す 

一方のペネトレーションテスト（Penetration Test）は、「侵入テスト」とも呼ばれます。

NIST（米国国立標準技術研究所）のSP 800-115では、実際の攻撃を模倣し、システムやネットワークのセキュリティを回避できる方法がないかを確認するテストとして扱われています。


脆弱性診断が「弱点を見つける」ことを主な目的としているのに対し、ペネトレーションテストでは、
　「攻撃者がこの会社を狙ったら、実際にどこまで侵入できるのか」
という視点から検証します。

例えば、

といった具合です。

ここで重要なのは、一つひとつの脆弱性だけを見るのではなく、複数の弱点を組み合わせたときに何が起こるかを確認する点です。

例えば、それぞれ単独では「それほど重大ではない」と判断された設定不備でも、複数を組み合わせることで重要情報まで到達できる可能性があります。

ペネトレーションテストは、そのような「実際の攻撃経路」を明らかにすることに向いています。

 脆弱性診断とペネトレーションテストの違い 

両者の違いを整理すると、次のようになります。

        
例えば、建物の防犯で考えてみましょう。

脆弱性診断は、
 　　「窓の鍵は壊れていないか」
　　 「裏口は施錠されているか」
　　 「監視カメラに死角はないか」
といった防犯設備を一つずつ点検するイメージです。

一方、ペネトレーションテストは、許可を受けた侵入役が、
　　「裏口から入れるか」
　　「そこから事務所まで行けるか」
　　「さらに重要書類が保管されている部屋まで到達できるか」
と、実際の侵入を想定して確認するイメージです。

どちらも重要ですが、目的が違うのです。

簡単にそれぞれのメリット・デメリットをまとめると、以下のようになります。

 「ペネトレーションテストのほうが上」ではない 

ここで誤解しやすいのが、

　「ペネトレーションテストのほうが高度なのだから、最初からこちらを実施したほうがよいのでは？」

という考え方です。

しかし、セキュリティ対策は、より高度な方法を選べばよいというものではありません。

例えば、サーバーのアップデートが長期間行われていない、不要なポートが開いたままになっている、古いVPN機器が残っている、といった基本的な問題が多く残っている企業であれば、まずはそれらを把握して改善することのほうが重要です。

この段階で高度なペネトレーションテストを実施しても、「侵入できることは分かったが、そもそも基本的な脆弱性が多数残っていた」という結果になってしまう可能性があります。

そのため、中小企業では一般的に、

という段階的な進め方が現実的です。

（参考）ASM（Attack Surface Management）──見えない“攻撃面”を可視化せよ

 中小企業はどちらを選ぶべき？ 

では、中小企業ではどのように使い分ければよいのでしょうか。

次のような企業では、まず脆弱性診断から検討するとよいでしょう。

　　✅　自社のWebサイトやサーバーの安全性を確認したことがない
　　✅　脆弱性診断を一度も実施したことがない
　　✅　外部からどのようなシステムが見えているのか把握できていない
　　✅　サーバーやネットワーク機器の設定に不安がある
　　✅　新しいWebサービスを公開する
　　✅　取引先からセキュリティ対策について説明を求められている

まずは「現在どこに弱点があるのか」を把握することが出発点です。

一方、次のような場合には、ペネトレーションテストを検討する意味があります。

　　✅　顧客情報や機密情報を大量に扱うシステムがある
　　✅　インターネット向けに重要なサービスを提供している
　　✅　一通りセキュリティ対策を行ったので、実際の攻撃に耐えられるか確認したい
　　✅　システムの大規模な変更を行った
　　✅　取引先や顧客から高度なセキュリティ評価を求められている
　　✅　「侵入された場合にどこまで被害が広がるのか」を具体的に確認したい

特にペネトレーションテストでは、実際の攻撃に近い操作を行うため、対象範囲、実施時間、実施してよい攻撃、禁止する操作、問題が起きた場合の連絡方法などを事前に決めることが重要です。

単に「攻撃してみるテスト」ではなく、安全に実施するための計画そのものが必要になります。

 外部から見えるリスクを知るところから始める方法もある 

「脆弱性診断をしたことがないので、何から始めればよいか分からない」

という中小企業の場合、まず外部から自社がどのように見えているのかを確認する方法もあります。

例えばLYSTが取り扱っている「MS＆ADサイバーリスクファインダー」は、企業のドメイン情報をもとに、外部から確認できるサイバーセキュリティ上のリスクを診断するサービスです。

診断スコアのほか、セキュリティ上の課題、被害想定額、インターネット上に流出しているデータなどをレポートで確認できるので、最初の現状把握に適しています。

ただし、ここで注意したいのは、こうした外部からのリスク診断だけですべての脆弱性を確認できるわけではないということです。

Webアプリケーション内部の細かな処理や、社内ネットワーク内部の設定、認証後に利用できる機能などについて詳しく確認したい場合には、それぞれの対象に合った脆弱性診断が必要になります。

また、「実際に侵入できるのか」「侵入後にどこまで到達できるのか」を検証したいのであれば、ペネトレーションテストの領域になります。

大切なのは特定のサービスを導入することではなく、
　「自社は何を確認したいのか」
を先に決めることです。

 診断して終わりではなく、「直す」ことが重要 

脆弱性診断でもペネトレーションテストでも、最も重要なのはテストを実施することそのものではありません。

結果を受けて、実際に改善することです。

例えば、

　　❇️　OSやソフトウェアをアップデートする
　　❇️　不要なサービスやポートを停止する
　　❇️　認証方法を見直す
　　❇️　アクセス権限を修正する
　　❇️　Webアプリケーションを改修する
　　❇️　ネットワーク構成を変更する
　　❇️　ログ監視を強化する
　　❇️　インシデント対応手順を見直す

といった対応につなげて初めて、診断の意味が生まれます。

また、一度診断して「問題なし」だったとしても、その状態がずっと続くわけではありません。新しい脆弱性は継続して発見され、システム構成やクラウドサービスの利用状況も変化します。

そのため、
　　「調べる → 直す → 確認する → 継続して管理する」
というサイクルで考えることが大切です。

（参考）インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと

 まとめ｜まずは「弱点を知る」ところから 

脆弱性診断とペネトレーションテストは、似ているようで役割が異なります。

脆弱性診断は「どこに弱点があるか」を確認するもの。

ペネトレーションテストは「その弱点などを利用して実際に侵入できるか、どこまで被害が広がるか」を確認するもの。

どちらか一方が優れているのではなく、自社のセキュリティ対策の段階や、確認したい内容に応じて使い分けることが重要です。

これまで本格的な診断を行ったことがない中小企業であれば、まず自社のIT資産を把握し、外部から見えるリスクや基本的な脆弱性を確認するところから始めるのが現実的でしょう。

そのうえで、重要なシステムについて「本当に攻撃に耐えられるのか」を確かめる必要があれば、ペネトレーションテストを検討する。

セキュリティ対策は、いきなり最も高度なものを導入する必要はありません。

「今、自社がどこまでできているのか」を知り、必要な対策を一段ずつ進めていくことが、守れる会社づくりにつながります。

LYSTは貴社の規模やご予算に合わせた無理のないステップで、セキュリティ体制を整えるお手伝いをいたします。まずは貴社のセキュリティの「現状（弱点）」を正しく知るために、手軽に導入できる脆弱性診断からスタートしてみてはいかがでしょうか。