ペネトレーションテストの方法
最終更新日：2026年10月14日
このページでは、最初の取り決めから再テストまで、当社がどのようにシステムの安全性を検証するかを説明します。
テストを始める前に
- 書面による範囲の決定。 テストしてよいアドレス、アプリケーション、サーバーと、一切触れてはいけないものを取り決めます。
- 書面での許可を、そのシステムの権限を持つ方からいただきます。システムが他社のサービス（クラウド、ホスティング、SaaSアプリ）上で動いている場合は、そのサービス事業者の規約に沿ってテストします。
- 実施ルール。 テストの日程、双方の緊急連絡先、テストに使うIPアドレス、禁止事項を決めます。
- 秘密保持契約を、システムの中身を拝見する前に結びます。
この4つがそろわない限り、テストは始めません。
採用する基準
- Webアプリケーション・API： OWASP Web Security Testing GuideとOWASP Top 10。認証、アクセス権限、業務ロジック、入力の処理、設定を検証します。
- インフラ・ネットワーク： 外部に公開されているサービスを洗い出し、設定とセキュリティ更新を確認したうえで、リスクの高い部分を手動でテストします。
- 各検出事項の深刻度はCVSSで評価し、業務への影響を分かりやすい言葉でご説明します。
自動ツールはあくまで補助です。検出事項はすべて手作業で確認・実証するため、報告書が誤検知だらけになることはありません。
テスト中
- テストするのは範囲内のものだけで、事前にお伝えしたIPアドレスからのみ行います。
- 業務を止めないことを前提にテストを設計します。システムを停止させることを目的とした攻撃は行わず、実データの削除や変更もしません。リスクのある手順は、事前に確認を取ります。
- 顧客データが誰でも見られる状態など、重大な穴を見つけた場合は、最終報告書を待たずにすぐお知らせします。
- すでに第三者に侵入された形跡がある場合は、その部分のテストを中止し、ただちにお知らせします。
お客様のデータ
- テスト中に目にしたデータは、穴の存在を実証するためだけに使います。データベース全体ではなく1件のサンプルなど、必要最小限にとどめ、報告書ではマスキングします。
- テストデータと証拠（データのサンプル、スクリーンショット、ツールの出力）は、再テスト完了後30日以内にすべて削除します。最終報告書は次回テストの参考として暗号化したうえで1年間保管します。早めの削除をご希望の場合はお申し付けください。
- お客様のシステムに関する検出事項を公開することは決してありません。当社が公開するリサーチは、自社サイトのデータと、すでに公式に発表された脆弱性に関するものだけです。
報告書の内容
- 経営層向けの要約： 主なリスクと修正の優先順位を、専門用語に頼らずにまとめます。
- 検出事項の一覧をリスクの高い順に。各項目に深刻度、業務への影響、再現手順、修正方法を記載します。
- すでに十分な点も記録し、変更不要な部分が分かるようにします。
- 報告書はインドネシア語または英語でお渡しします。
再テスト
修正が済んだら、報告書のお渡しから60日以内であれば、同じ検出事項を追加費用なしで1回再テストします。結果は報告書に追記するため、穴がふさがったことの記録として残ります。
当社が行わないこと
- 書面での許可なく、または取り決めた範囲を超えてテストすること。
- システムを停止させることを目的とした攻撃（DoS）。
- フィッシングメールや偽の電話など、従業員を対象としたソーシャルエンジニアリング。現時点では当社のサービスに含まれていません。
- お客様のデータの保管、販売、共有。
お問い合わせ
テストがお客様のシステムに合うか知りたい場合は、お問い合わせページからご連絡ください。当社サイトにセキュリティ上の問題を見つけた場合は、security@digimasi.comまでお知らせください。