脆弱性診断・ペネトレーションテスト・侵入テストの違い

安全性確認は目的・範囲・許可・影響を明確にして行う

脆弱性診断は、設定やソフトウェアなどの弱点を見つける活動です。ペネトレーションテストは、想定した攻撃者の視点で侵入や影響範囲を検証する活動です。いずれも対象範囲、実施時間、禁止行為、連絡先、報告方法を合意した上で行います。

SG試験では、技術用語だけでなく、組織の情報資産、利用者、業務、規程、法令、事故発生時の対応を結び付けて判断します。問題文で守る対象と起きている事象を先に整理します。

確認するポイント

• 脆弱性診断の目的と結果
• ペネトレーションテストの目的
• 対象範囲・許可・影響管理
• 検出事項の優先順位・是正
• 再診断・記録・継続的な改善

許可なく他者のシステムへ診断・侵入を試みることは避けます。実施は契約・規程に基づき、業務影響を抑える計画の下で行います。

問題演習での確かめ方

選択肢を読むときは、脅威、脆弱性、被害、技術的対策、組織的対策、対応の順序を区別します。名称が似た対策でも、予防・検知・封じ込め・復旧のどこで役立つかを確認します。

この記事は試験学習のための一般的な整理です。個別のセキュリティ事故、法的対応、システム設定、契約上の判断を示すものではありません。

公式情報を確認する

試験方式、シラバス、関連法令、ガイドラインは更新されます。IPAの試験要綱・シラバスを確認してください。最終確認日: 2026年7月24日。

IPA 試験要綱・シラバス

5問から確認する

迷った選択肢について、守る情報資産、脅威、対策、担当者のどれを取り違えたか記録します。

情報セキュリティマネジメントの問題を5問解く