ランサムウェアの被害では、VPN機器やリモートデスクトップといった「境界の機器」を突破されて社内に入り込まれる事例が大半を占めています。警察庁の調査でも、令和6年中のランサムウェア被害に関する調査で、感染経路が判明した有効回答100件のうち、VPN機器経由が55件、リモートデスクトップ経由が31件を占めました。入口さえ固めれば安心という前提は、すでに崩れつつあります。
そこで、攻撃者がすでに社内に侵入した状態を想定して行うのが「内部ペネトレーションテスト」です。この記事では、内部ペネトレーションテストが社内で具体的に何を試すのか、外部ペネトレーションテストや脆弱性診断とどう違うのか、進め方・期間・費用の目安までを、情報システム・セキュリティ担当者の視点で解説します。
出典・参考資料（1件）
- 出典：令和7年版 警察白書 第3章｜警察庁（リンク）
目次
一括ダウンロードする
内部ペネトレーションテストとは？攻撃者が社内に侵入した前提で行う侵入テスト
内部ペネトレーションテストとは、攻撃者がすでに社内ネットワークに入り込んだ状態を前提に、そこから被害がどこまで広がるかを実際に試す侵入テストです。社内の端末が1台乗っ取られた、あるいは内部に不正な関係者がいるといった想定で、専門家が攻撃者と同じ手口を使い、重要なサーバーやデータにどこまで到達できるかを検証します。
ペネトレーションテスト（侵入テスト）そのものは、米国国立標準技術研究所（NIST）の情報セキュリティ試験ガイド「SP 800-115」で、攻撃者が実際に使うツールや手法で現実の攻撃を模倣し、単一の脆弱性だけでは得られない範囲までアクセスを広げられるかを調べるセキュリティテストと位置づけられています。
そのうち内部ペネトレーションテストは、テスト実施者が「ファイアウォールの内側」にいる点が外部テストと異なります。
An internal penetration test is similar to an external test, except that the testers are on the internal network (i.e., behind the firewall) and have been granted some level of access to the network or specific network systems. Using this access, the penetration testers try to gain a greater level of access to the network and its systems through privilege escalation.
出典：NIST SP 800-115 §5.2｜米国国立標準技術研究所（NIST）
（訳：内部ペネトレーションテストは外部テストとほぼ同じですが、テスト実施者がファイアウォールの内側にいて、ネットワークや特定システムへの一定のアクセス権を与えられている点が異なります。実施者はそのアクセスを足がかりに、権限昇格によってより大きなアクセスの獲得を試みます。）
この記述のとおり、内部ペネトレーションテストは「一定の権限を与えられた状態から出発し、権限昇格によってさらに深くアクセスを広げられるか」を確かめる点に特徴があります。境界を守る外部テストとは出発点が逆で、「もし中に入られたら」という最悪のケースへの耐性を測るものだと考えると分かりやすくなります。
出典・参考資料（1件）
- 出典：NIST SP 800-115 “Technical Guide to Information Security Testing and Assessment”｜米国国立標準技術研究所（NIST）（リンク）
社内で実際に何を試すのか（攻撃シナリオの段階）
ここからは、内部ペネトレーションテストが社内で具体的に何を試すのかを、攻撃の段階を追って見ていきます。多くの場合、テストは「権限の小さな入口」から始まり、段階的にアクセスを広げていきます。
1. 侵入の起点（端末1台の乗っ取りを想定）
出発点は、フィッシングやマルウェア感染で従業員の端末が1台乗っ取られた、という想定です。テスト実施者には、一般の社員と同程度の限られたアクセス権だけが与えられます。NIST SP 800-115 も、ペネトレーションテストを「最小限のアクセスを足がかりに、より大きなアクセスを得ていく反復的なプロセス」と説明しており、まさにこの小さな入口が起点になります。
2. 権限昇格（より高い権限の奪取）
次に試されるのが権限昇格です。権限昇格とは、攻撃者が一般ユーザー権限から管理者権限など、より高い権限を得ようとする動きを指します。セキュリティ攻撃の知識体系であるMITRE ATT&CK（マイター・アタック）でも、権限昇格は「攻撃者がより高いレベルの権限を得ようとする」独立した戦術（TA0004）として整理されています。
端末の設定不備や古い脆弱性を突いて、どこまで権限を引き上げられるかを確認します。
3. 横移動（ラテラルムーブメント）
権限を得たあとは、横移動（ラテラルムーブメント）を試します。横移動とは、社内ネットワーク内の別の端末やサーバーへ次々と入り込み、支配範囲を広げていく動きです。MITRE ATT&CKでも「攻撃者が環境内を移動しようとする」戦術（TA0008）として定義されています。1台の端末からどの範囲まで被害が波及しうるかが、ここで見えてきます。
4. 重要サーバー・Active Directoryへの到達
最終的に試されるのが、基幹サーバーや、社内の利用者・権限をまとめて管理するActive Directory（アクティブディレクトリ）のドメイン管理者権限への到達です。ここを奪われると、社内のほぼすべての端末・データが攻撃者の支配下に入ります。内部ペネトレーションテストは、この「最悪のゴール」に実際に到達できてしまうのか、途中でどの対策が効いて止められるのかを、事実として突き止めるものです。
出典・参考資料（3件）
外部ペネトレーションテスト・脆弱性診断との違い
内部ペネトレーションテストが自社に必要かを判断するには、近い位置にある「外部ペネトレーションテスト」と「脆弱性診断」との違いを押さえておくことが近道です。ここでは、それぞれとの違いを整理します。
外部ペネトレーションテストとの違い
外部ペネトレーションテストは、インターネットに公開されたWebサーバーやVPN機器など「境界の外側」から、攻撃者がそもそも社内に入り込めるかを試します。これに対して内部ペネトレーションテストは、入り込まれた後を前提に「内側」から被害の広がりを試します。起点が境界の外か内かが最大の違いで、守りたい対象も、外部は入口の堅さ、内部は侵入後の封じ込め力というように分かれます。
そのため、どちらか一方で十分というものではありません。入口対策を外部テストで、万一突破されたときの備えを内部テストで確かめる、という組み合わせで初めて全体像が見えてきます。
脆弱性診断との違い（網羅的に洗い出す vs 侵入して被害を実証する）
脆弱性診断は、システムに潜む既知の弱点を網羅的に洗い出すことを目的とした検査です。一方、ペネトレーションテストは、見つかった弱点を実際に悪用し、どこまで侵入できるかを実証します。NIST SP 800-115 は、両者の違いを次のように端的に示しています。
While vulnerability scanners check only for the possible existence of a vulnerability, the attack phase of a penetration test exploits the vulnerability to confirm its existence.
出典：NIST SP 800-115 §5.2｜米国国立標準技術研究所（NIST）
（訳：脆弱性スキャナは脆弱性が存在する可能性を確認するだけですが、ペネトレーションテストの攻撃フェーズでは、その脆弱性を実際に悪用して存在を確定します。）
脆弱性診断は「弱点がありそうな箇所」を幅広く示し、ペネトレーションテストは「その弱点が本当に悪用できるか」を実際に突いて確かめる、という関係です。どちらが優れているというものではなく、まず脆弱性診断で全体の弱点を把握し、重要なシステムについてはペネトレーションテストで実際の耐性を確かめる、という使い分け・併用が現実的です。
出典・参考資料（1件）
- 出典：NIST SP 800-115 §5.2｜米国国立標準技術研究所（NIST）（リンク）
ここで触れた脆弱性診断について、診断の種類や費用相場、ペネトレーションテストとの違いをさらに詳しく知りたい場合は、以下の記事で解説しています。
ブラックボックス・ホワイトボックス・グレーボックスの違い
内部ペネトレーションテストは、実施者にどこまで社内の情報を事前に渡すかによって、大きく3つの方式に分かれます。渡す情報が多いほど効率的に深く検証でき、少ないほど実際の攻撃者に近い条件を再現できます。
- ブラックボックステスト：システムの内部構成をほとんど知らされない状態で実施します。外部の攻撃者に最も近い条件を再現できますが、限られた情報から探るため時間がかかりやすい方式です。
- ホワイトボックステスト：ネットワーク構成や設定情報、場合によってはソースコードまで共有した上で実施します。内部を深く・漏れなく検証できる一方、準備やコストは大きくなりがちです。
- グレーボックステスト：一部のアカウント情報やシステム概要だけを共有して実施する中間的な方式です。攻撃者視点と検証効率のバランスが取りやすく、内部テストでよく選ばれます。
内部ペネトレーションテストでは、「社内の一般ユーザー程度の情報は持っている」という想定に合うグレーボックス型が選ばれることが多くなっています。どの方式が適切かは、検証したいシナリオ（どこまでの前提知識を持った攻撃者を想定するか）によって変わります。
一括ダウンロードする
内部ペネトレーションテストを実施するメリット
内部ペネトレーションテストを実施すると、次のような点が明らかになります。いずれも、脆弱性診断の結果一覧だけでは見えにくい「実際に起きたらどうなるか」に踏み込める点が特徴です。
- 侵入後の被害範囲が具体的に分かる：端末1台から重要サーバーまでどの経路でたどり着けるかが可視化され、守るべき急所が特定できます。
- 既存対策の実効性を検証できる：導入済みのEDR（端末での不審な挙動の検知・対応）やネットワーク分離が、実際の攻撃の流れの中で機能するのかを事実として確かめられます。
- 対策の優先順位を付けられる：数ある脆弱性のうち、実際に悪用されて致命傷になりうるものが分かるため、限られた予算を効果の高い対策に集中しやすくなります。
- 経営層・関係者への説明材料になる：「侵入されたらここまで到達される」という具体的な結果は、追加投資の判断材料として説得力を持ちます。
内部ペネトレーションテスト実施時の注意点
一方で、実施前に押さえておきたい注意点もあります。実際の攻撃に近い操作を行うため、準備と合意が不十分だと業務に影響が及ぶおそれがあります。
- 通常業務への影響がありうる：実際に攻撃操作を行うため、対象システムに負荷がかかったり、想定外の動作を引き起こしたりする可能性があります。実施時間帯やバックアップの準備を事前に決めておくことが欠かせません。
- 実施者のスキルに結果が左右される：攻撃シナリオは計画どおりに進むとは限らず、状況に応じて侵入経路を組み替える技術力が求められます。実績のある専門会社を選ぶことが重要です。
- 事前の合意形成が前提になる：対象範囲・禁止事項・緊急時の連絡体制を契約段階で明確にしておく必要があります。NIST SP 800-115 も、計画段階ではルールの確定と経営層の承認を済ませ、この段階では実際のテストを行わないとしています。
内部ペネトレーションテストの進め方・期間・費用の目安
ここからは、内部ペネトレーションテストの一般的な進め方と、期間・費用の目安を見ていきます。
進め方（準備→実施→報告）
NIST SP 800-115 は、ペネトレーションテストを「計画（Planning）」「探索（Discovery）」「攻撃（Attack）」「報告（Reporting）」の4段階で整理しています。実務では、これを「事前準備」「実施」「報告」の3ステップとして進めることが一般的です。
- 事前準備：テストの目的・対象範囲・起点とゴール・禁止事項を定義し、関係者で合意します。攻撃シナリオの設計もここで行います。
- 実施：情報収集・脆弱性の調査から始め、権限昇格・横移動を試しながら、設定したゴールにどこまで到達できるかを検証します。
- 報告：到達できた経路、悪用された弱点、想定される被害、優先度付きの改善策をレポートにまとめ、報告会で共有します。
出典・参考資料（1件）
- 出典：NIST SP 800-115 §5.2「Penetration Testing」｜米国国立標準技術研究所（NIST）（リンク）
期間の目安
期間は対象の範囲やシナリオによって変わりますが、テストの実施そのものは数日から2週間程度、計画と報告まで含めると1〜数か月規模になることが多くなっています。
たとえばNRIセキュアのペネトレーションテストサービスは、テスト実施が5〜10営業日程度、プロジェクト全体では約2.5か月からと公表されています。社内ネットワークの通信を分析する診断では、機器を2週間ほど設置して通信を収集し、その後に分析・報告を行う進め方もあります。
費用の目安
費用は対象範囲と深さによって変わります。ネットワークを対象としたペネトレーションテストは100万円から、Webアプリケーションを対象としたペネトレーションテストは60万円からが一つの目安です（CoWorker 脆弱性診断サービスの公表値）。
一方、専門会社による本格的な受託型のペネトレーションテストでは、NRIセキュアのサービスが800万円から（税別）と公表されているように、数百万円以上になるケースもあります。
内部ペネトレーションテストは社内ネットワークを対象とするため、上記のネットワーク型の価格帯（100万円〜）が一つの参考になります。ただし対象の構成によっては、要点を絞った小規模なものから本格的な受託型まで幅があります。
実際の見積もりは、対象の台数・範囲やシナリオの複雑さに左右されるため、各サービスへの問い合わせで確認するのが確実です。重要度の高いシステムから依頼すれば、費用を抑えつつ要点を押さえられます。
出典・参考資料（2件）
ここで示したのはおおまかな目安です。対象別・規模別で料金がどう変わるのか、適正な見積もりをどう取ればよいのかまで踏み込んだ費用の詳細は、以下の記事で解説しています。
自社に必要かの判断と依頼先の選び方
内部ペネトレーションテストが自社に必要かどうかは、「境界の外側だけ固めていればよいか」を自問すると見えてきます。次のような状況に当てはまる場合は、侵入された後の備えを確かめる価値が高いといえます。
- VPN機器やリモートアクセスを業務で日常的に使っている
- すでに脆弱性診断は受けているが、侵入後にどこまで被害が広がるかは確かめていない
- Active Directoryで多数の端末・権限を集中管理している
- 金融・インフラなど、侵入時の影響が大きく対策の実効性を客観的に示す必要がある
依頼先を選ぶときは、次の点を確認すると自社に合うかを見極めやすくなります。
- 実績と技術力：攻撃シナリオを柔軟に組み替えられる経験があるか。自社の業種・システム構成に近い実施実績があるか。
- 報告書の質：到達経路や被害想定が具体的に示され、優先度付きの改善提案まで含まれるか。結果を社内の対策につなげられる内容か。
- 対象範囲の適合：社内ネットワーク・Active Directory・端末など、自社が確かめたい対象をカバーできるか。小さく始められる選択肢があるか。
- 情報の取り扱い：テスト中に扱う機密情報の保存・共有・廃棄の扱いが明確か。社内環境内で完結できる方式があるか。
社内の弱点検証に使えるサービス
ここからは、内部ペネトレーションテストや、社内に侵入された前提での弱点検証に使えるサービスを紹介します。大きく分けて、実際に侵入を試す「ペネトレーションテスト型」と、侵入はせず社内ネットワークの通信から内部に潜むリスクを可視化する「診断型」の2系統があり、下の比較表の「アプローチ」欄で見分けられます。自社の目的に合わせて選びましょう。
| サービス | セキュア・レントゲン | CoWorker 脆弱性診断サービス | NRIセキュア | GMOサイバーセキュリティ byイエラエ |
|---|---|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | CoWorker株式会社 | NRIセキュアテクノロジーズ株式会社 | GMOサイバーセキュリティ byイエラエ株式会社 |
| アプローチ | 通信分析型 （侵入はせず通信を診断） | 能動的な侵入テスト型 （ペネトレーションテスト） | 能動的な侵入テスト型 （ペネトレーションテスト） | 能動的な侵入テスト型 （ペネトレーションテスト） |
| 主な対象・検証範囲 | 社内ネットワークの通信 （IT・制御系（OT）両環境） | ネットワーク・ Webアプリ・API | 社内ネットワーク・端末・ Active Directory（Fast Pentest） | 社内ネットワーク （Web・IoT・レッドチーム演習も） |
| 費用の目安 | 要問い合わせ （手法・設置台数で変動） | ネットワーク型 100万円〜 Web型 60万円〜 （カタログ掲載インタビューの公表値） | 800万円〜（税別） Fast Pentestは要問い合わせ | 要問い合わせ（非公開） |
| 期間の目安 | 最短1カ月 （機器設置 約2週間＋分析） | 要問い合わせ | 約2.5カ月〜 （テスト実施 5〜10営業日） | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る |
また、以下の記事では脆弱性診断サービス全般を、診断方法・費用相場・選び方の観点で比較しています。内部テストに限らず社内の弱点検証を本格的に進めたい方は、サービス選びの全体像をつかむのにあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
1. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、社内ネットワークに実際に流れている通信を100%フルパケットで保存し、専門のアナリストが分析する「ネットワークのリスク診断」サービスです。能動的に侵入を試すペネトレーションテストとは方向が異なり、「すでに侵入されていないか」「内部に危険な通信が潜んでいないか」を、推測ではなく通信の事実から洗い出せる点が特徴です。
フルパケット型のネットワーク検知・対応（NDR）製品「Network Blackbox」を土台に、機器を2週間ほど設置して通信を収集し、脆弱なプロトコルや外部との不審な通信がないかを診断します。境界は固めているが「中に入られた後が弱い」と感じている企業が、内部の現状リスクを客観的に把握する入口として活用できます。
同サービスを提供するクワッドマイナージャパンの白垣氏は、境界やエンドポイントの対策を固めた企業でも内部に弱さが残るという現場の声を、次のように説明しています。
金融機関のお客様は、脆弱性診断やペネトレーションテストをすでに実施されていたり、ネットワーク分離によって、境界防御やエンドポイント、つまり入り口と出口の対策はしっかり固めていらっしゃるところが大多数です。ただ、お話を伺うと「侵入されない前提で設計しているからこそ、そこを突破されてひとたび中に入られてしまうと、内部は弱いんだよね」という現状があるとおっしゃいます。そうした中で、入り口を通り抜けられてしまった後の、現状の内部リスクを可視化できるという点が決め手になっていると感じています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断サービスです。ソースコード診断や動的診断に加えて、実際に攻撃を仕掛けて侵入範囲を確かめるペネトレーションテストまでをメニューとして用意しています。
料金の目安は、ネットワークを対象としたペネトレーションテストが100万円から、Webペネトレーションテストが60万円からと公表されており、内部テストの予算感をつかみやすいのが利点です。クラウドにデータを出したくない場合は、自社環境内でAIを動かして閉域で実施する構成も選べます。
3. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア
NRIセキュアは、脆弱性診断からペネトレーションテスト、レッドチーム演習（攻撃者を模した総合的な侵入訓練）まで幅広いセキュリティアセスメントを提供する専門会社です。ペネトレーションテストサービスでは、攻撃目標・攻撃者・初期侵入地点・侵入拡大経路の4要素でシナリオを設計し、攻撃者が目標を達成できるかを検証します。
短期間・低コストで実施する「Fast Pentest」も用意されており、こちらはドメイン参加端末1台とActive Directory 1つを対象とするなど、内部ペネトレーションテストの典型的な想定（端末1台から管理基盤への到達）にそのまま対応します。まず要点を絞って内部の耐性を確かめたい企業に向いています。
4. GMOサイバーセキュリティ byイエラエ
GMOサイバーセキュリティ byイエラエは、ペネトレーションテストのメニューとして、社内ネットワークペネトレーションテストをはじめ、Web・IoT・レッドチーム演習まで幅広く取りそろえるセキュリティ専門会社です。
社内ネットワークペネトレーションテストでは、内部に侵入された状況を想定して、社内システムへの侵入可否や被害の広がりを検証します。すでに脆弱性診断を終え、より実戦的な観点で社内の耐性を確かめたい段階の企業に適しています。
まとめ
内部ペネトレーションテストは、攻撃者がすでに社内に侵入した状態を前提に、端末1台の乗っ取りから権限昇格・横移動を経て重要サーバーやActive Directoryへ到達できるかを実際に試す侵入テストです。入口を守る外部テストや、弱点を網羅的に洗い出す脆弱性診断とは役割が異なり、「もし中に入られたら」という最悪のケースへの耐性を事実で確かめられます。
VPN機器やリモートデスクトップ経由の侵入が被害の大半を占めるいま、境界対策だけでは足りないという前提に立った検証の価値は高まっています。まずは重要度の高いシステムに絞って小さく始め、結果をもとに範囲を広げていくのが現実的な進め方です。自社に合うサービスの資料を取り寄せて、費用感や対象範囲を比べるところから始めてみてください。
一括ダウンロードする
よくあるご質問（FAQ）
Q. 内部ペネトレーションテストとは何ですか？
A. 内部ペネトレーションテストとは、攻撃者がすでに社内ネットワークに侵入した状態を前提に、そこから重要なサーバーやデータにどこまで被害が広がるかを実際に試す侵入テストです。社内の端末が1台乗っ取られた、あるいは内部に不正な関係者がいるといった想定で、専門家が攻撃者と同じ手口で権限昇格や横移動を試みます。
インターネット側の入口を守れるかを試す外部ペネトレーションテストとは、出発点が「社内の内側」である点が異なります。
Q. 内部ペネトレーションテストと外部ペネトレーションテストは、どちらを先に実施すべきですか？
A. どちらか一方で十分というものではなく、入口を守る外部テストと、侵入後の封じ込めを確かめる内部テストは、組み合わせて初めて全体像が見える関係です。
そのうえで優先順位は自社の状況によって変わります。VPNやリモートアクセスを日常的に使っていて、入口を突破された後にどこまで被害が広がるかを確かめていないなら内部テストの価値が高く、インターネットに公開したサーバーの入口の堅さをまず確かめたい段階なら外部テストが起点になります。
Q. 内部ペネトレーションテストと脆弱性診断は、どう使い分ければよいですか？
A. 脆弱性診断でシステム全体の弱点を網羅的に洗い出し、重要なシステムについては内部ペネトレーションテストで実際に悪用されうるかを確かめる、という併用が現実的です。
脆弱性診断は「弱点がありそうな箇所」を幅広く示す検査で、ペネトレーションテストは「その弱点を突いてどこまで侵入できるか」を実証するテストです。目的が異なるため優劣で選ぶものではなく、まず診断で全体像を把握し、次に重要資産へペネトレーションテストという順序で進めると無駄になりません。
Q. 内部ペネトレーションテストはどのくらいの頻度で実施すべきですか？
A. 実施頻度を一律に定めた決まりはなく、ネットワーク構成や重要システムに大きな変更があったタイミングと、定期的な見直しの機会に実施するのが一般的です。
新たなサーバーの追加やActive Directoryの構成変更、M&Aによる社内ネットワークの統合などは、侵入後の被害範囲が変わるため再実施の目安になります。まず重要度の高いシステムに絞って実施し、結果を見て対象範囲や頻度を調整していくのが現実的です。
Q. 内部ペネトレーションテストの費用の目安はどのくらいですか？
A. 費用は対象範囲と深さによって変わり、ネットワークを対象としたペネトレーションテストは100万円から、Webアプリケーションを対象としたものは60万円からが一つの目安です（CoWorker脆弱性診断サービスの公表値）。
一方、専門会社による本格的な受託型では数百万円以上になることもあり、NRIセキュアのサービスは800万円から（税別）と公表されています。対象の台数やシナリオの複雑さで変動するため、正確な金額は各サービスへの見積もりで確認するのが確実です。
Q. 内部ペネトレーションテストにはどのくらいの期間がかかりますか？
A. テストの実施そのものは数日から2週間程度、計画と報告まで含めると1〜数か月規模になることが多くなっています。たとえばNRIセキュアのペネトレーションテストサービスは、テスト実施が5〜10営業日程度、プロジェクト全体では約2.5か月からと公表されています。社内ネットワークの通信を分析する診断では、機器を2週間ほど設置して通信を収集したうえで分析・報告を行う進め方もあります。
Q. 内部ペネトレーションテストの実施中は、業務を停止する必要がありますか？
A. 業務の全面停止が必須というわけではありませんが、実際の攻撃に近い操作を行うため、対象システムに負荷がかかったり想定外の動作を引き起こしたりする可能性はあります。そのため、実施時間帯の調整や事前のバックアップ取得、緊急時の連絡体制を事前に決めておくことが欠かせません。対象範囲や禁止事項を契約段階で明確にしておくことで、業務へのリスクを抑えられます。
Q. 内部ペネトレーションテストを実施する前に、社内で何を準備すればよいですか？
A. テストの目的・対象範囲・攻撃の起点とゴール・禁止事項を定義し、関係者と経営層の合意を得ておくことが準備の中心です。あわせて、実施時間帯やバックアップ、緊急時の連絡体制も事前に決めておきます。NIST SP 800-115も計画段階でルールの確定と経営層の承認を済ませるべきとしており、この合意形成が十分かどうかが、業務への影響を抑えつつ有効な結果を得られるかを左右します。
脆弱性診断・ペネトレーションテストの料金・資料を一括チェック
MCB FinTechカタログでは、内部ペネトレーションテストや社内ネットワークの弱点検証に使えるサービスの最新資料を無料で一括請求できます。対象範囲や費用の目安をまとめて比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
