正解：イ
各選択肢の解説
アペネトレーションテスト
誤り。一般に、攻撃者の立場で疑似攻撃を行い、実際に侵入できるか、重要な 情報まで到達できるかを確かめる検査です。「より念入りな診断」と思われがち ですが、目的は突破できるかの実証で、脆弱性を漏れなく並べることではありません。
イ脆弱性診断
正解。ツールや手作業で検査対象を調べ、脆弱性を洗い出して深刻度とともに 報告するのが脆弱性診断の目的です。網羅的に見つけて直させたいという 今回の目的に合います。
ウ情報セキュリティ監査
誤り。組織の管理や統制の状態を、基準に照らして評価するものです。 外部の専門事業者が行う点は似ていますが、見るのは規程や運用の状況で、 システムに作り込まれた技術的な欠陥を探す検査ではありません。
エデジタルフォレンジックス
誤り。インシデントが起きた後に、ログや記憶媒体などの証拠を保全・解析して 何が起きたかを明らかにする調査です。公開前に欠陥を探す検査とは、 実施する時期も目的も違います。
理解を深めるために
「どこに穴があるか」と「その穴から入れるか」
脆弱性診断とペネトレーションテストは、どちらもシステムの弱点を外部の専門家に 調べてもらう点で似ています。違いは目的です。健康診断にたとえると、 脆弱性診断は検査項目を一通り調べて結果の一覧を出すもの、ペネトレーションテストは 「この弱点を突かれたら本当に倒れるか」を実地で確かめるものです。
目的から依頼先の検査を選ぶ
- 脆弱性診断: 検査対象を広く調べ、見つかった脆弱性を深刻度つきで報告する。 成果物は脆弱性の一覧で、修正の材料になる
- ペネトレーションテスト: 攻撃のシナリオを決め、見つかった弱点を組み合わせて 侵入や重要情報への到達ができるかを確かめる。成果物は、たどれた攻撃経路や 到達できた資産の報告になる
ペネトレーションテストは特定の経路を深く追うため、網羅的な洗い出しの代わりには なりません。逆に、診断で脆弱性が見つかっただけでは、実際に侵入できることの 証明にはなりません。どちらの場合も、依頼の前に検査の範囲と実施の許可を 委託先との間ではっきりさせておくことが前提です。
混同しやすいものとの違い
| 名称 | 目的 |
|---|---|
| 脆弱性診断 | 脆弱性を洗い出し、深刻度つきの一覧にする |
| ペネトレーションテスト | 疑似攻撃で、実際に侵入・到達できるかを確かめる |
| 情報セキュリティ監査 | 管理・統制の状態を基準に照らして評価する |
| デジタルフォレンジックス | インシデント後に証拠を保全・解析する |
試験では、依頼の目的が「漏れなく見つける」か「突破できるか確かめる」かを 読み取り、それに合う検査を選びます。