正解：ア
各選択肢の解説
ア調べてよい対象・期間・手法と、見つけた弱点の報告先と扱いを、書面で取り決めてから始めてもらう。
正解。エシカルハッカーが攻撃の手法を使えるのは、管理者の許可を得た範囲の中だけです。 範囲と結果の扱いを先に書面で決めることで、調査が正当な行為として成り立ちます。
イ実際の攻撃に近づけるため対象を限定せず、委託先が運用する関連システムも自由に調べてもらう。
誤り。委託先が運用するシステムは、自社だけでは調査を許可できません。権限のある者の 許可なく調べれば、不正アクセスに当たるおそれがあります。本物の攻撃者は範囲を 選びませんが、エシカルハッカーとの違いはまさに許可された範囲を守る点にあります。
ウ弱点が本当に悪用できるかを示すため、見つけた弱点を使って会員データを実際に持ち出してもらう。
誤り。悪用できることを示す必要はあっても、本物の会員データを持ち出させれば、 調査そのものが漏えいになります。確認の方法は事前に取り決め、実データを 必要以上に扱わないようにします。
エほかの利用者に注意を促すため、見つけた弱点は修正前でも調査者のブログなどで公表してもらう。
誤り。修正前に弱点を公表すると、攻撃者に手口を教えることになります。見つけた弱点は 依頼元に報告し、修正の後に必要な範囲で公表するのが原則です。注意喚起という目的が もっともらしいので選びやすい誤りです。
理解を深めるために
同じ技術でも「許可」があるかで別物になる
鍵屋が依頼を受けて家の鍵を開けるのと、空き巣が同じ道具で鍵を開けるのは、技術としては 同じです。違いは家の持ち主が頼んだかどうかです。エシカルハッカーも同じで、 攻撃者と同じ手法を使いますが、管理者の許可を得た範囲の中で、守る側のために使います。
依頼する側が決めておくこと
許可の範囲があいまいなまま始めると、調査者が善意で動いても、対象外のシステムに 触れたり、実データを扱いすぎたりします。依頼の前に、次のことを書面で取り決めます。
- 調べてよい対象（ホスト名・URLなど）と、対象外のもの
- 実施する期間と、使ってよい手法・使わない手法
- 見つけた弱点の報告先、報告の方法、公表の扱い
- 本番のサービスに影響が出たときの連絡と中止の手順
対象の決め方には注意が要ります。自社が権限を持たない委託先や他社のシステムは、 自社が頼んでも許可したことにはなりません。
混同しやすいものとの違い
| 依頼の仕方 | 問題点 |
|---|---|
| 範囲と結果の扱いを書面で取り決める | （許可された調査として成り立つ） |
| 対象を限定せず関連システムも調べさせる | 許可できないシステムに触れる |
| 実データを持ち出させて実証する | 調査そのものが漏えいになる |
| 修正前に弱点を公表させる | 攻撃者に手口を教える |
エシカルハッカーに関する問題では、腕前ではなく、許可・範囲・結果の扱いという 「守る側のルール」に沿っているかで選択肢を見分けてください。