エシカルハッカー

組織の許可を得たうえで、攻撃者と同じ技術を使ってシステムの脆弱性を調べ、対策のために報告するセキュリティの専門家。ホワイトハッカーともいう。ペネトレーションテストや脆弱性診断、脆弱性を報告して報奨金を受け取るバグバウンティなどで活動する。

攻撃者と同等の技術を、所有者の許可を得た範囲で防御のために用いる技術者。ペネトレーションテストや脆弱性診断、レッドチーム演習を担当し、法令と契約に基づく実施範囲の明確化が前提となる。

攻撃者と同等の技術を用いつつ、依頼を受けた正当な範囲で脆弱性を発見・報告する技術者。ペネトレーションテストやレッドチーム演習を担い、実施範囲と権限を契約で明確にしたうえで活動する。

システムがセキュリティの要件を満たし、脆弱性がないかを確かめるテスト。認証やアクセス制御などの機能の確認に加え、脆弱性診断やペネトレーションテストで、実際の攻撃の手法で侵入や情報の漏えいが起きないかを確かめる。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。