正解：エ
各選択肢の解説
ア実際の攻撃者に近づけるため、範囲は定めず、委託先が侵入できたシステムはすべて対象とする。
誤り。範囲を決めないと、自社の管理外のシステムや他社の資産まで攻撃してしまう おそれがあります。「攻撃者と同じ条件」が目的でも、実際に試すのは許可を得た 対象に限ります。条件をそろえるのは手口の側で、対象の側ではありません。
イ委託先は専門事業者なので、利用中のクラウドサービスの規約は確認せずに実施を任せる。
誤り。クラウドサービス上のシステムを試験するときは、そのサービスの規約が 試験を認めているか、手続きが要るかを利用者が確かめます。専門性は委託先が 持っていても、利用契約を結んでいるのは自社なので、確認を委託先任せにできません。
ウテスト中に得た機密情報の扱いは、何が得られるか分かってから終了後に取り決める。
誤り。侵入に成功すれば、顧客情報などの機密情報に委託先が触れる可能性があります。 取得した情報の持ち出し・保管・消去の方法は、触れる前に決めておかないと 管理できません。終了後では順序が逆です。
エ対象範囲や実施期間、禁止する手法を書面で合意し、対象の管理者から許可を得ておく。
正解。ペネトレーションテストは実際に侵入を試みるので、何を・いつ・どこまで 試してよいかを事前に決め、対象の管理者から許可を得ておくことが前提です。 許可と合意がなければ、検査と攻撃の区別がつきません。
理解を深めるために
「検査」と「攻撃」を分けるのは事前の許可と合意
ペネトレーションテストは、攻撃者の立場で実際にシステムへの侵入を試みる検査です。 やっていることは攻撃と変わらないため、何を・いつ・どこまで試してよいかを事前に 決めて許可を得ていることが、検査として成り立つ条件になります。鍵の専門家に 自宅の防犯診断を頼むとき、どの家のどの扉を試してよいかを先に決めるのと同じです。
実施前に決めておくこと
- 対象範囲: どのシステム・IPアドレス・機能を試すか。範囲外には手を出さない
- 実施期間と時間帯: 業務への影響や、障害が起きたときの連絡体制
- 禁止する手法: サービス停止を招く攻撃など、行わない手口
- 取得した情報の扱い: 機密情報に触れた場合の保管・報告・消去の方法
- 許可: 対象システムの管理者の許可。クラウドサービスや委託先の設備が絡むなら、 その事業者の規約や手続きも確認する
許可のない侵入の試みは、目的が検査であっても不正アクセスと区別できません。
混同しやすいものとの違い
| 判断 | 何が問題か |
|---|---|
| 範囲・期間・禁止手法を合意し、許可を得る | 検査として成り立つ前提 |
| 範囲を定めない | 管理外・他社の資産まで攻撃しかねない |
| クラウドの規約を確認しない | 利用契約上、確認するのは利用者である自社 |
| 情報の扱いを終了後に決める | 機密情報に触れる前に決めないと管理できない |
試験では、ペネトレーションテストの委託で「事前に」何を決めるかが問われます。 範囲と許可の取り決めを後回しにする選択肢は選ばないようにします。