TLPT（Threat-Led Penetration Test＝脅威ベースのペネトレーションテスト）とは、実在するサイバー攻撃者の手口を再現し、システムだけでなく、それを守る人・組織・プロセスまで含めて、検知や対応の力を実戦形式で試す取り組みです。
同じ「TLPT」という表記で舞台『人狼 ザ・ライブプレイングシアター』の情報も出てきますが、本記事が扱うのは金融機関などで導入が進むセキュリティの手法のほうです。
金融庁が2024年10月に公表したガイドラインでTLPTに触れたこともあり、担当者からの関心が高まっています。「うちの脆弱性診断や去年やったペネトレーションテストと何が違うのか」「自社は対象で、費用はいくらか」を確かめたい、という声をよく聞きます。
呼び名は似ていても、目的も対象範囲も、かかる費用の桁も、従来の診断とは大きく異なります。
本記事では、TLPTの定義から、通常のペネトレーションテスト・脆弱性診断との違い、金融庁ガイドラインでの位置づけ、レッド・ブルー・ホワイトの3チーム体制、実施の流れ、費用・期間の目安までを整理します。自社が実施を検討すべきかを判断し、依頼先を比較する材料としてご活用ください。
目次
一括ダウンロードする
TLPT（Threat-Led Penetration Test／脅威ベースのペネトレーションテスト）とは
TLPTは「Threat-Led Penetration Test」の略で、日本語では「脅威ベースのペネトレーションテスト」と呼ばれます。実在する攻撃者が実際に使う戦術・手法（脅威インテリジェンス）をもとに、自組織を狙う現実的な攻撃シナリオを組み立て、それを疑似的に仕掛けることで、防御・検知・対応・復旧の力を総合的に検証する手法です。
従来の診断が「システムに弱点がないか」を確認するのに対し、TLPTが試すのは「実際に攻撃されたとき、組織として気づき、対処できるか」です。検証の対象はサーバーやアプリケーションといったIT資産にとどまらず、SOC（セキュリティ監視部門）やCSIRT（インシデント対応チーム）といった運用体制、そこで働く人の判断や連携まで含みます。
背景には、標的型攻撃やランサムウェアのように高度化した攻撃では、入口ですべてを防ぎきることが難しくなった、という事情があります。「侵入されない」ことだけを目標にするのではなく、「侵入されても早期に気づき、被害を最小限に抑える」力（サイバーレジリエンス）が問われるようになり、その力を実戦形式で測る手段としてTLPTが位置づけられています。
国際的には、主要国の金融当局が足並みをそろえる形でTLPTの枠組みが整えられてきました。G7（先進7か国）は2018年10月、TLPTに関する基礎的要素（G7 Fundamental Elements for Threat-Led Penetration Testing）を公表しています。
欧米にも後述するTIBER-EUやCBESTといった枠組みがあり、日本の金融分野の議論もこうした国際的な流れを踏まえたものです。
TLPTと通常のペネトレーションテスト・脆弱性診断の違い
ここでは、多くの担当者が最初につまずく「すでにやっている診断と何が違うのか」を整理します。脆弱性診断・通常のペネトレーションテスト・TLPTは、目的も、調べる範囲も、攻撃者になりきる度合いも段階的に異なります。
まず3つの関係を大づかみにすると、互いに置き換えるのではなく、守る対象がシステムから人・組織・プロセスへ段階的に広がる「積み上げ」の関係にあります。
| 比較項目 | 主な目的 | 調べる範囲 | 攻撃者視点 | 守る側への予告 | 体制 | 費用感の目安 |
|---|---|---|---|---|---|---|
| 脆弱性診断 | 弱点の洗い出しと対策の優先順位付け | 主にIT資産（Web・ネットワーク等） | 既知の弱点を網羅的に確認 | あり（対象・日程を共有） | 診断員（攻撃役中心） | 数十万円〜 |
| 通常のペネトレーションテスト | 特定の攻撃目標が達成できるかの実証 | 対象システムと侵入経路 | 攻撃者の視点で侵入を試みる | あり（範囲を合意して実施） | 攻撃役（テスター）中心 | 数十万〜数千万円 |
| TLPT（脅威ベース） | 検知・対応まで含む組織の対応力（レジリエンス）の評価 | システムに加え、人・組織・プロセスまで | 実在する攻撃者の手口を脅威情報にもとづき再現 | 原則なし（守る側に予告せず実施するのが望ましいとされる） | 攻撃役・防御役・調整役の複数チーム | 1,000万円前後〜数千万円 |
大きな違いは2点です。1点目は、TLPTが「弱点探し」ではなく「攻撃を受けたときに気づいて対処できるか」を測る点。2点目は、守る側（自社のSOCやCSIRT）に予告せずに実施し、実際のインシデント発生に近い状況で対応力を試す点です。脆弱性診断や通常のペネトレーションテストが不要になるわけではなく、目的が異なる別の取り組みと捉えるのが実態に合っています。
なお、ここで比較した「通常のペネトレーションテスト」そのものを見直したい、依頼先を選び直したいという場合は、診断シナリオや料金、認定資格からの発注先の見極め方を以下の記事で整理しています。
金融庁ガイドラインでのTLPTの位置づけ（義務か、対応が望ましい事項か）
ここからは、TLPTが注目される直接のきっかけとなった、金融庁のガイドラインでの位置づけを確認します。「自社は対象なのか」「やらないと指摘されるのか」を判断するうえで最も重要な部分なので、丸めた表現ではなく原文の記述にそって整理します。
金融庁は2024年（令和6年）10月に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しました。このなかでTLPTは、必ず対応すべき「基本的な対応事項」ではなく、「対応が望ましい事項」として位置づけられています。この項目は、すべての金融機関に一律で義務づけられているわけではありません。
【対応が望ましい事項】
b. 定期的に脅威ベースのペネトレーションテスト（TLPT）を実施すること。・脅威インテリジェンスを踏まえ、実際の攻撃者が行う水準のテクニックを用いたテストを行うこと。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月）2.2.4｜金融庁
・テストでは、防御側の担当者（ブルーチーム）によるインシデント対応能力の評価（防御・検知・報告・封じ込め等）を行うこと。
・テストは、本番環境を利用し、防御側の担当者（ブルーチーム）に予告することなく、実施すること。
ここで注意したいのが、「対応が望ましい事項」の対象範囲です。ガイドラインは、この項目を「大手金融機関及び主要な清算・振替機関等が参照すべき優良事例」と定義しています。ガイドライン自体は中小・地域金融機関を含む幅広い金融機関等が適用対象ですが、TLPTのような「対応が望ましい事項」は、主に大手金融機関や社会的影響の大きい機関が参照する優良事例、という整理です。
また、金融庁は「基本的な対応事項」「対応が望ましい事項」のいずれについても一律の対応を求めるものではなく、各社が自らのリスクの大きさに見合った対応をとる「リスクベース・アプローチ」を求めています。したがって「大手だから必ず実施」「中小だから無関係」と単純に線引きするのではなく、自社が守るべき資産の重要性と、インシデント時の社会的影響の大きさから、実施の要否を判断することになります。
判断の手がかりとして、次のような性質に自社が当てはまるほど、規制上の対象かどうかにかかわらずTLPTを検討する意義は大きくなります。大量の顧客資産や個人情報を預かる、決済・送金など社会インフラに近い事業を担う、システム停止や情報漏えいが社会に広く波及しうる、といった点です。
逆に、扱う情報や事業の社会的影響が限定的な段階であれば、まずは脆弱性診断や通常のペネトレーションテストで守りの土台を固め、体制が整ってからTLPTに進む順序も現実的です。
出典・参考資料（1件）
海外の枠組み（G7・CBEST・TIBER-EU）での位置づけ
TLPTは日本独自の取り組みではなく、金融の国際的な枠組みが土台にあります。先述のとおりG7が2018年に基礎的要素を示したほか、各国・地域にも先行する枠組みが整備されてきました。
英国では、イングランド銀行（英国中央銀行）とCREST（登録セキュリティテスターの認定団体）が共同で開発したCBESTが2014年に公表され、社会的に重要な金融機関を対象に、脅威情報にもとづくテストの枠組みを整えました。
欧州では、欧州中央銀行（ECB）が各国中央銀行と共同でTIBER-EUを策定しています。ECBはこれを「脅威インテリジェンスにもとづく倫理的なレッドチーム演習の欧州枠組み」と説明しており、2018年の公表後、2024年にはデジタル・オペレーショナル・レジリエンス規則（DORA）との整合のために改訂されています。
国内でも、こうした国際的な議論を踏まえ、金融情報システムセンター（FISC）が「金融機関等におけるTLPT実施にあたっての手引書」（令和元年9月）を公表しており、金融庁ガイドラインも参考文献としてこれを挙げています。金融庁ガイドラインが参考文献として挙げている資料で、実施の具体的な手順を検討する際に参照できます。
TLPTを支える3つのチーム体制（レッド・ブルー・ホワイト）
ここでは、TLPTを実際に動かす体制を確認します。TLPTは、役割の異なる3つのチームが関わることで成り立ちます。誰が何を担うのかを押さえておくと、自社の誰がどこに関与するのかもイメージしやすくなります。
- レッドチーム（攻撃側）：脅威情報にもとづいて攻撃シナリオを組み立て、実在する攻撃者になりきって侵入や情報の持ち出しを試みます。金融庁ガイドラインでも、レッドチームを「TLPTにおける攻撃側の担当者」と位置づけています。
- ブルーチーム（防御側）：自社のSOCやCSIRTなど、実際に守る側の担当者です。攻撃の検知・分析・封じ込め・報告を担い、TLPTでは原則としてテストの実施を予告されないまま対応にあたります。この「予告なし」により、平常時に近い状態での対応力が測れます。
- ホワイトチーム（調整側）：テスト全体の計画・進行管理・評価を担い、攻撃と防御の間に立って安全に演習が進むよう統制します。ホワイトチームは金融庁ガイドライン本文には明記されていませんが、TIBER-EUなどの海外枠組みや実施ベンダー各社の運用で共通して置かれる役割です。
ブルーチームに予告せず実施する点は、金融庁ガイドラインでも「本番環境を利用し、防御側の担当者（ブルーチーム）に予告することなく、実施すること」が望ましいとされています。社内で誰を「予告される少数の関係者（ホワイトチーム側）」にするかは、実施計画を立てる段階の重要な論点になります。
TLPTの実施プロセス
続いて、TLPTがどのような流れで進むのかを見ていきます。実施内容や事業者によって細部は異なりますが、おおむね次の5段階で進みます。
- 計画立案：守るべき重要資産を特定し、テストの目的・範囲・関与するメンバーを決めます。
- 脅威分析・シナリオ作成：自社を狙いうる攻撃者の属性・目的・手口を脅威インテリジェンスから分析し、現実的な攻撃シナリオに落とし込みます。
- 準備：シナリオに沿って、使用するツールや攻撃手法を用意します。
- テスト実施：レッドチームが本番環境で侵入を試み、予告を受けていないブルーチームが検知・対応にあたります。
- 評価・報告：結果を分析し、防御・検知・対応の課題を報告書にまとめます。判明した課題は経営陣に報告し、改善につなげることが求められます。
攻撃シナリオの例（標的型メールを起点にした場合）
イメージをつかむために、金融機関を狙う典型的なシナリオを挙げます。まず公開情報から従業員のメールアドレスなどを収集し、標的型メールを送ってマルウェアに感染させます。感染した端末を遠隔操作の足がかりにして社内ネットワークを調べ、権限を広げながら侵入範囲を拡大し、最終的に顧客データなどの重要情報を外部に持ち出せるかを検証します。この一連の流れのどこで検知・遮断できたかが、対応力の評価につながります。
TLPTの費用・期間の目安
社内で検討を始めるには、費用の桁感が欠かせません。TLPTの費用は、テストの規模・対象・シナリオの数によって大きく変わるため一概には言えませんが、公表されている情報から目安を示します。
LANSCOPE（エムオーテックス）の解説では、費用は一般的に数百万円から数千万円、実施期間は数か月から半年程度、場合によってはそれ以上に及ぶケースもあるとされています。ただしこれは幅を持たせた一般論で、実際の参考価格は後述のとおり下限が数百万円ではなく1,000万円台に寄ります。
実際に、実施ベンダーが公表する参考価格には、1,000万円程度から1,200万円台（税別）を示す例があります（各社の価格は後掲の比較表を参照）。
一般論としては数百万円からと語られても、TLPTとして体制を組んで実施する場合の実勢は1,000万円台からと見ておくのが安全です。数百万円で収まる通常のペネトレーションテストと比べると、桁がひとつ上がると考えておくとよいでしょう。
比較の基準にした通常のペネトレーションテスト単体の費用が、対象や規模でどう変わるのかを押さえておくと、TLPTとの桁の差も納得しやすくなります。対象別・規模別の料金相場と見積もりの取り方は以下の記事で解説しています。
期間は、計画立案から評価・報告まで含めると、数か月から半年程度を見込むのが現実的です。ブルーチームに予告せず本番環境で実施する性質上、綿密な準備と関係者の調整が必要になり、通常のペネトレーションテストよりも長い期間を要します。費用は1,000万円前後からの桁、期間は半年前後という目安をつかんでおくと、社内での検討を進めやすくなります。
既存の脆弱性診断・ペネトレーションテストとの棲み分け（重複投資にならないか）
「去年ペネトレーションテストをやったばかりなのに、また別で費用がかかるのか」という疑問は当然です。ここでは、既存の取り組みとTLPTがどう役割分担するのかを整理します。
3つの違いは前掲の比較表のとおりで、脆弱性診断が「守りの土台づくり」、通常のペネトレーションテストが「重要システムへの侵入可否の確認」、TLPTが「攻撃を受けたときの対応力の評価」と、守る対象がシステムから人・組織・プロセスへ段階的に広がる関係にあります。
したがって、これらは置き換えの関係ではなく、積み上げの関係にあります。弱点の網羅は脆弱性診断で、重要システムの侵入耐性は通常のペネトレーションテストで確かめ、そのうえで、検知・対応まで含めた組織全体の実戦力を測りたい段階でTLPTを検討する、という順序が自然です。すべてを一度に実施する必要はなく、自社が今どの段階の課題を抱えているかを見極めて、投資の優先順位を決めるのが現実的です。
まずは脆弱性診断で守りの土台を固める段階だと判断したなら、診断方法や費用相場、サービスの選び方を全体像から比較できる以下の記事が出発点になります。
一括ダウンロードする
TLPTの導入を検討する企業がとるべき次の一歩
ここまでで、TLPTの位置づけと費用感の当たりがついたら、次は実施できる事業者の比較です。TLPTは、脅威インテリジェンスの収集からシナリオ設計、攻撃の実行、評価までを高い専門性で担う必要があるため、実績のある専門事業者に依頼するのが一般的です。まずは自社の課題（規制対応が目的か、対応力の底上げが目的か）を整理し、複数の事業者から情報を集めて比較するとよいでしょう。
以下は、TLPTやレッドチーム演習を提供する主な事業者です。金融機関での実績や、対応できるシナリオの幅、体制はそれぞれ異なるため、自社が検証したい範囲と照らし合わせながらご覧ください。
| サービス名 | TLPT／ラック | レッドチームオペレーション／NRIセキュア | レッドチーム演習／GMOイエラエ | TLPT／MBSD | RedTeam／NTTセキュリティ・ジャパン | TLPT／TBPT／NTTデータ先端技術 | レッドチーム演習／PwC |
|---|---|---|---|---|---|---|---|
| 提供会社 | ラック | NRIセキュアテクノロジーズ | GMOサイバーセキュリティ byイエラエ | 三井物産セキュアディレクション（MBSD） | NTTセキュリティ・ジャパン | NTTデータ先端技術 | PwC Japanグループ |
| サービスの呼称・形態 | TLPT（専用メニュー） | レッドチームオペレーション（TLPTと同種） | レッドチーム演習 | TLPT（正式サービス名） | RedTeam/TLPT | 脅威ベースペネトレーションテスト（TLPT／TBPT） | レッドチーム演習・TLPT |
| 評価の広さ・特徴 | システム＋人・組織・プロセスを包括評価 | SOC・CSIRTの検知・対応を評価 | 物理侵入・SNS/漏洩情報の悪用まで含む組織全体 | SOC・CSIRTを含む組織全体 | 人・プロセス・技術の3観点 | システム＋組織・人的な対応能力 | 技術＋組織・防御プロセスの複数観点 |
| 金融機関向けの実績・特徴 | JSOC監視・金融犯罪対策の知見。官公庁・金融での診断実績 | CREST（CBEST策定に関与した認定団体）の認定を保有 | freee・カンム・Sansanなどの導入事例を公開 | 金融庁ガイドライン・G7基礎的要素を踏まえた設計（実施実績は非公開） | 金融業界の指針改定を見据えた規制対応設計 | 金融庁方針・FISC手引書を背景に2019年提供開始 | FISC手引書策定に参画・金融庁委託で諸外国TLPTを調査 |
| 参考価格 | 1,000万円程度〜（個別見積もり） | 1,200万円〜（税別） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
1. TLPT（脅威ベースのペネトレーションテスト）／株式会社ラック
監視サービスJSOCを運営するラックは、TLPTを独立したメニューとして公式に掲げています。攻撃役のレッドチームと防御役のブルーチームによる実戦形式の演習を通じて、システムだけでなく人・組織・プロセスまで含めた対応力を評価する構成です。
参考価格は「1,000万円程度〜の個別見積もり」と公式に示されており、桁感をつかんだうえで相談に進めます。監視サービスJSOCや金融犯罪対策の知見を持つ点も、金融機関にとっては相談しやすい材料といえます。
2. レッドチームオペレーション／NRIセキュアテクノロジーズ株式会社
野村総合研究所グループのセキュリティ専業会社であるNRIセキュアテクノロジーズは、TLPTと同種の取り組みであるレッドチームオペレーションを提供しています。脅威シナリオを自社向けにカスタム設計し、SOCやCSIRTといった防御側（ブルーチーム）の検知・対応を評価する内容です。
価格は「1,200万円〜（税別）」と公式に示され、環境ヒアリング・シナリオ作成・疑似攻撃・振り返りといった各フェーズを合わせると、全体で半年程度を見込む構成です。CBESTの策定にも関わったCREST（登録セキュリティテスターの認定団体）の認定を受けている点も、専門性の裏づけとして挙げられます。
3. レッドチーム演習／GMOサイバーセキュリティ byイエラエ株式会社
組織全体を対象にした実戦的なレッドチーム演習を手がけるのが、国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエです。攻撃役・防御役・調整役の3チーム体制のもと、ネットワークやオフィスへの物理的侵入、SNSや漏洩情報の悪用まで含めた評価を行う点が特徴です。
検知を回避しながら侵入を続け、権限を維持する（永続化）ところまで踏み込む攻撃者目線の深さが強みで、freeeやカンム、Sansanといった導入事例も公開されています。手動での高度な攻撃を重視する事業者を探す場合の候補になります。
4. TLPT（脅威ベースペネトレーションテスト）／三井物産セキュアディレクション
三井物産セキュアディレクション（MBSD）は、TLPTを正式なサービス名として掲げて提供しています。脅威情報を提供する担当と、攻撃役・防御役・調整役を合わせた4つの役割で体制を組み、金融庁ガイドラインやG7の基礎的要素にも触れながら、金融分野を意識した設計になっています。
本格的なTLPTをいきなり実施するのが難しい企業向けに、段階的に始められるプラン（TLPT Essential Plan）を用意している点も特徴です。まずは小さく試したい場合の相談先として検討できます。
5. RedTeamサービス／NTTセキュリティ・ジャパン株式会社
NTTセキュリティ・ジャパンのRedTeamサービスは、人・プロセス・技術の3つの観点から防御体制を試します。標的型メールや物理的な侵入、ソーシャルエンジニアリングを組み合わせ、防御側（BlueTeam）の検知・対応を評価するフリースタイル型の演習で、NTTグループのセキュリティ専門会社が担います。
金融業界の指針改定などを背景に、規制対応も見据えたサービス設計になっており、幅広い攻撃手法を組み合わせた実戦的な評価を求める企業に向いています。
6. 脅威ベースペネトレーションテストサービス（TLPT／TBPT）／NTTデータ先端技術
NTTデータ先端技術は、脅威ベースペネトレーションテスト（TLPT／TBPT）を正式なサービス名として提供しています。金融庁の2018年の方針やFISCの手引書（2019年）を導入の背景として明示し、金融分野の実務を意識した内容になっています。
攻撃役・防御役・調整役の3チーム体制に加えて、社内に調整役（ホワイトチーム）の体制を立ち上げること自体を支援するメニューも用意しており、初めてTLPTに取り組む企業が体制づくりから相談できる点が特徴です。
7. レッドチーム演習（TLPT）／PwC
制度の設計側にも関わってきたのが、大手コンサルティングファームであるPwCのレッドチーム演習・TLPTです。FISCの「TLPT実施にあたっての手引書」の策定にオブザーバーとして参画し、金融庁からの委託でTLPTに関する諸外国の調査も手がけてきた点が大きな特徴です。
欧州のTIBER-EUに準拠した実施や、攻撃役と防御役が協働して改善を図るパープルチームまで対応しており、国際的な枠組みを踏まえた実施を重視する企業の相談先になります。
まとめ
TLPT（脅威ベースのペネトレーションテスト）は、実在する攻撃者の手口を再現し、システムだけでなく人・組織・プロセスまで含めた対応力を実戦形式で試す取り組みです。弱点を洗い出す脆弱性診断や、侵入可否を確かめる通常のペネトレーションテストとは目的が異なり、「攻撃を受けたときに気づいて対処できるか」を測る点に特徴があります。
金融庁のガイドライン（2024年10月）では、TLPTは義務ではなく「対応が望ましい事項」として、主に大手金融機関や社会的影響の大きい機関が参照する優良事例に位置づけられています。費用は1,000万円前後からの桁、期間は半年前後が目安です。
自社の資産の重要性とインシデント時の影響の大きさを踏まえ、まずは既存の診断との棲み分けを整理したうえで、実績のある事業者に相談し、比較する材料を集めることから始めるとよいでしょう。
一括ダウンロードする
よくある質問（FAQ）
Q. TLPTとは何ですか？
A. TLPT（Threat-Led Penetration Test）とは、実在する攻撃者の手口を再現し、システムだけでなく人・組織・プロセスまで含めて検知・対応の力を実戦形式で試す取り組みです。日本語では「脅威ベースのペネトレーションテスト」と呼ばれます。
弱点を洗い出す脆弱性診断や、侵入できるかを確かめる通常のペネトレーションテストとは目的が異なり、実際に攻撃を受けたときに組織として気づき対処できるか（サイバーレジリエンス）を評価する点に特徴があります。
Q. TLPTは金融機関以外の一般企業でも実施すべきですか？
A. TLPTは金融機関以外でも実施できますが、すべての企業に一律で必要なものではなく、自社が守る資産の重要性とインシデント時の社会的影響の大きさから、要否を判断するのが基本です。
金融庁のガイドラインでもTLPTは義務ではなく「対応が望ましい事項」として、主に大手金融機関や社会的影響の大きい機関が参照する優良事例に位置づけられており、各社がリスクに見合った対応をとる「リスクベース・アプローチ」が求められています。したがって、高度な標的型攻撃の標的になりやすい重要インフラ事業者や、機微な情報を大量に扱う大企業であれば、規制上の対象でなくても検討する価値があります。
出典・参考資料（1件）
Q. TLPTはどのくらいの頻度で実施すべきですか？
A. TLPTの実施頻度に法令上の決まりはありませんが、一般的な運用としては年1回程度を目安としつつ、脅威動向や大きなシステム変更・組織体制の変化があったタイミングで見直すのが現実的です。金融庁のガイドラインもTLPTを「定期的に」実施することを望ましいとしていますが、具体的な間隔までは定めていません。
費用が1,000万円前後からと高額で、準備から評価・報告まで数か月〜半年を要するため、毎年機械的に繰り返すよりも、自社のリスク状況の変化に合わせて実施時期を計画するのが適しています。
Q. 自社にSOCやCSIRTがなくてもTLPTは実施できますか？
A. TLPTは防御側（ブルーチーム）の検知・対応を評価する演習のため、SOCやCSIRTなど守る側の体制がある程度整っていることが前提になります。監視や対応の体制が未整備の段階でTLPTを実施しても、測った「対応力」を改善につなげにくいためです。
その場合は、まず脆弱性診断や通常のペネトレーションテストで守りの土台を固め、監視・対応の体制を整えてからTLPTに進むのが現実的です。事業者によっては、社内の体制づくりの支援や、要素を絞った小規模なプランから始められる場合もあります。
Q. TLPTを実施する前に社内で準備しておくべきことは何ですか？
A. TLPTを始める前には、「守るべき重要資産の特定」「予告を受けずに対応する防御側（ブルーチーム）と、テストを把握して統制する調整役（ホワイトチーム）の切り分け」「経営層の合意形成」の3点を固めておくことが重要です。TLPTは本番環境で、自社のSOCやCSIRTに予告せず実施するため、社内の誰を「予告される少数の関係者」にするかをあらかじめ決めておく必要があります。
また、費用が1,000万円前後からと高額で、判明した課題は経営陣に報告して改善につなげることが求められるため、実施の目的（規制対応か、対応力の底上げか）と予算を経営層と合意しておくと、事業者との相談を進めやすくなります。
脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、TLPTやペネトレーションテスト、脆弱性診断に対応する各サービスの資料をまとめて取り寄せられます。対応できる範囲や体制、報告書の内容を見比べ、自社が検証したい対象に合う依頼先を効率的に絞り込む材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
