ペネトレーションテスト

実際の攻撃手法を用いてシステムの脆弱性を検証するテスト。攻撃者の視点から侵入を試み、セキュリティ対策の有効性を評価する。侵入テストとも呼ばれる。

攻撃者の視点でシステムに擬似的な攻撃を行い、セキュリティの弱点を検証するテスト。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確認し、攻撃による影響範囲を評価する。侵入テストとも呼ばれる。

対象システムに対して実際に攻撃を試み、セキュリティ上の脆弱性や侵入経路を検証するテスト。専門のテスターが攻撃者の視点で疑似攻撃を行い、防御策の有効性を評価する。

攻撃者と同じ手口で実際に侵入を試み、システムの防御が突破できるかを検証するテスト。脆弱性を網羅的に列挙する脆弱性診断と異なり、侵入経路をつないで目的の資産に到達できるかという実効性を確かめる点に主眼がある。

攻撃者の視点でシステムに対して実際に攻撃を試み、セキュリティ上の弱点を発見するテスト手法。ネットワーク、Webアプリケーション、IoT機器などを対象に、脆弱性の悪用可能性や侵入の影響範囲を検証する。脆弱性診断より実践的な評価が得られる。

実際の攻撃者と同じ手法で、対象のシステムやネットワークへの侵入を試み、目的とする情報の取得や操作ができてしまうかを確かめる検査。侵入テストとも呼ぶ。脆弱性を網羅的に洗い出す脆弱性診断と異なり、攻撃の筋道を想定して、対策が実際の攻撃に耐えられるかを評価する。

攻撃者と同じ手法で実際にシステムへの侵入を試み、セキュリティ対策が有効に機能しているかを検証するテスト。「機密情報を持ち出せるか」のような目的を定めて実施し、複数の脆弱性を組み合わせた攻撃のシナリオでどこまで到達できるかを確かめる。網羅的に脆弱性を洗い出す脆弱性診断に対し、実際の被害につながるかを評価する点が異なる。

内部統制が規定どおりに運用されているかを検証するための監査手続。統制の運用状況をサンプルに基づいて確認し、統制が一貫して有効に機能しているかを評価する。コントロールテストとも呼ばれる。

データや取引の正確性・完全性を直接的に検証するための監査手続。統制に依拠せず、個別の取引やデータの実態を確認することで、虚偽表示や不備の有無を検出する。

システム開発における各種テスト（単体テスト、結合テスト、総合テスト、受入テスト等）の目的、方法、基準、体制、スケジュールを定めた計画。監査ではテスト計画の妥当性とテスト結果の十分性を検証する。

開発されたシステムがユーザの要件を満たしているかを利用者が確認するテスト。ユーザ受入テスト（UAT）とも呼ばれ、本番移行前の最終的な検証として位置づけられる。監査ではテスト結果の妥当性を検証する。

2つ以上のバリエーションを用意し、どちらがより効果的かを実際のユーザの反応で比較検証する手法。Webサイトのデザインや広告文の最適化などに用いられ、データに基づく意思決定を支援する。

プログラムの内部構造（ロジック、分岐、ループなど）に着目して行うテスト。命令網羅、分岐網羅などのカバレッジ基準を用い、すべての処理経路が正しく動作するか検証する。単体テストで主に用いられる。