覆面座談会「優れたペネトレーションテスト会社の選び方」第1回　いいペンテストとは（ダイジェスト版）

情報セキュリティのプロフェッショナルの皆様に役に立つ情報をお届けするために、ScanNetSecurityでは10月某日、専門家をお招きして、都内某所で座談会形式でディスカッションを実施しました。

特集コラム

2011年11月11日（金） 17時00分

情報セキュリティのプロフェッショナルの皆様に役に立つ情報をお届けするために、ScanNetSecurityでは10月某日、専門家をお招きして、都内某所で座談会形式でディスカッションを実施しました。

テーマは「優れたペネトレーションテスト会社の選び方」です。

ペネトレーションテストの現場や現状に詳しい識者をお招きし、フリーディスカッションを行うことで、良いペネトレーションテストを実施している会社とビジネスを盛り上げ、なんちゃってペネトレーション会社に御退場いただこうという趣旨です。趣旨にご賛同いただいた参加者の皆様は、国内外の第一線で活躍する方ばかりです。

本座談会は、さまざまな団体や企業の枠を超えて、自由闊達な本音のご意見を頂戴するため、氏名はもちろん、所属組織の商号や名称一切を誌面非公開とする、覆面形式でのディスカッションとさせていただきました。

なお、座談会冒頭では、専門家としてのプロ意識を新たにするために、ビールによる乾杯が行われました。

●参加者一覧（敬称略）

・アナゴ情報ソリューションズ株式会社　穴井昭彦
略歴：業務上ペネトレーションテストの発注を多数行い、多くのペンテストサービスを利用し一家言持つ。今回唯一のユーザー企業側参加者

・株式会社イイダコシステム　飯田生馬
略歴：イイダコシステム社のエース級ペネトレーションテスト技術者、「どんなシステムにも穴はある」が口癖

・ウナギコミュニケーションズ株式会社　宇野右京
略歴：高いシェアを誇る自動診断ツール「eel analyzer」の販売を行う企業で研究開発を行うエンジニア

・株式会社エボシダイネットワークス　恵方栄一
略歴：エンジニアとしてキャリアをスタートしペンテストに数年従事後、現在ペネトレーションテストの第一線を離れプロジェクトマネージャーを務める

※註：参加者一覧の社名、商品名及び氏名は仮名であり実在しません

・司会進行　ScanNetSecurity編集長　上野宣

---

上野：
今日はお集まりいただきありがとうございます。

実は昨日まで、今回の座談会の議題となるテーマや質問を募集していました。20件近くの議題やご質問をお寄せいただきました。この場を借りて御礼を申し上げます。

その中に、Twitterから「何をもって優れているとするのでしょうか？　基準はあるのですか？」という座談会そのもののゴールとも言える質問をいただいています。これからの議論を通じてゴールを目指したいと思いますが、最初にこの質問に答えることで座談会を開始したいと思います。多数のペンテスト案件の発注経験を持つ穴井さんにまず伺います。優れたペンテストサービス、優れたペンテスト企業って、一言でいうと何でしょうか？

アナゴ情報穴井：
ペンテストは職人ですよね。どこに差があるかというと、深さか網羅性かということになると思いますが、ペンテストを選ぶということは、人を選ぶということと同義だと思います。

うちではもともと、私の以前の同僚がやっている会社にペンテストをお願いしていました。そこからスタートして、その後いろいろな業者を試しました。

たとえば一番名の通った××××とかは、正直料金が高いですし、あとピンキリという印象があります。

いろんな会社にお仕事をお願いしていますが、いいペンテスターがいるかどうかは、たとえばまだ手法が確立していない××××とかの難しい診断で、これまで見つかっていなかった脆弱性が見つかったりすることでわかります。

ですから私は、今では発注する際に「この人なら任せられる」という人を指名しています。しかし、普通指名はできない。だから、誰がやっているのかわからないときには実際に発注して試してみるしかありません。

個々のスキルに依存しないように、レビューの仕組みなどで標準化して誰がやっても同じようにしているところもありますが、実際に試すと担当者による違いが出てきます。だから人を選ぶことと同義であると考えます。

エボシダイネット恵方：
ただ、ユーザ企業から見ると一般的には安定したサービス、人に依存しないサービスが求められている現状があります。

上野：
ペンテストは実績を聞いても社名まではもちろん教えてくれません。業種と件数くらいです。それはあまり検討材料にならない。ツールを実行して終わりなのかも知れないからです。実際、ツールだけでやってる企業って、最近は減っているんでしょうか。

アナゴ情報穴井：
××××と思います。ツールだけでサービスを始めている会社もあります。××××としてやっていたりするので、逆に増えているかも知れません。

ウナギコム宇野：
最近、ツールの監査用のライセンスを売って欲しいという依頼がたまにあります。

上野：じゃあ、その社名を挙げていけばダメなところがわかりますね。割合はどうでしょう。ちゃんとやってるところとツールだけのところ。

アナゴ情報穴井：
ホントに誠実にちゃんとやっているところは実に少ないですから、数えられます。やっている人が見えて、なおかつ信頼できるところは、それこそ、××××、××××、××××など合計××社か××社くらいじゃないですか。まあ、「優れた」というのは、ユーザがどこまで求めるかにもよりますが。

上野：
どこまで求めるかという話が出たところで、ここで、「診断」と「ペネトレーションテスト」という言葉を整理しておきたいと思います。どちらも似た意味で使われていますが、穴井さんは少し違うものとして考えていましたよね。

アナゴ情報穴井：
私は「診断」は挙動までと考えています。一方「ペネトレーションテスト」は、例えば実際にコードを書くなどして、その脆弱性でどんな悪さができるかの証明まで行う違いがあると考えています。

※本記事はダイジェスト版です。有料版に全文を掲載しました

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

覆面座談会「優れたペネトレーションテスト会社の選び方」第1回　いいペンテストとは（ダイジェスト版）

関連記事

Scan PREMIUM 会員限定記事

ガートナークラウドクッキング教室～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

関連記事

Scan PREMIUM 会員限定記事

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Proscend Communications 製 M330-W および M330-W5 に OS コマンドインジェクションの脆弱性

Oracle Java に攻撃された場合の影響が大きい脆弱性、修正プログラムの適用を呼びかけ

Ivanti Connect Secure と Ivanti Policy Secure Gateways に複数の脆弱性、1 月以降の状況を整理

Windows DNS の脆弱性情報が公開

バッファロー製無線 LAN ルータに複数の脆弱性

Palo Alto Networks 社製 PAN-OS GlobalProtect に OS コマンドインジェクションの脆弱性

インシデント・事故 記事一覧へ

東京高速道路のメールアカウントを不正利用、大量のメールを送信

組込み機器のイーアールアイに不正アクセス、スパムメール送信の踏み台に

インフォマート 公式 Facebook ページに不正ログイン

フュートレックにランサムウェア攻撃、本番環境への侵入形跡は存在せず

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

調査・レポート・白書・ガイドライン 記事一覧へ

セキュリティ対策は株価を上げるのか ～ 株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍 時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス 記事一覧へ

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

脆弱性診断自動化ツール「AeyeScan」の SSO 機能が SAML 認証に対応

セキュリティ診断会社と開発会社が業務提携 ～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ 国内 1 位

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

インフォマート公式 Facebook ページに不正ログイン

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

調査・レポート・白書・ガイドライン記事一覧へ

セキュリティ対策は株価を上げるのか～株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

Reject 運用のポイント他～日本プルーフポイント「DMARC Conference 2024」5 月末大手町で開催

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

セキュリティ診断会社と開発会社が業務提携～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ国内 1 位

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ