セキュリティテスト

認証やアクセス制御が正しく働くか、既知の攻撃手法で脆弱性を突かれないかを確認するテスト。ソースコードの静的検査、動的検査、ファジング、ペネトレーションテストなどの技法を組み合わせて実施する。

システムがセキュリティの要件を満たし、脆弱性がないかを確かめるテスト。認証やアクセス制御などの機能の確認に加え、脆弱性診断やペネトレーションテストで、実際の攻撃の手法で侵入や情報の漏えいが起きないかを確かめる。

システムやソフトウェアが、要件で定めた機能を仕様どおりに提供しているかを確かめるテスト。入力に対して期待される出力が得られるかを、主にブラックボックステストの技法で確認する。

性能、信頼性、使用性、保守性、セキュリティなど、機能以外の要件（非機能要件）を満たしているかを確かめるテスト。性能テスト、負荷テスト、セキュリティテストなどが含まれる。

事前に詳細なテストケースを用意せず、テスト担当者が対象を操作して学びながら、その場でテストの設計と実行を繰り返す方法。担当者の経験を生かして、仕様書から導くテストでは見落としやすい不具合を見つける。

組織の許可を得たうえで、攻撃者と同じ技術を使ってシステムの脆弱性を調べ、対策のために報告するセキュリティの専門家。ホワイトハッカーともいう。ペネトレーションテストや脆弱性診断、脆弱性を報告して報奨金を受け取るバグバウンティなどで活動する。

実際の攻撃者と同じ手法で、対象のシステムやネットワークへの侵入を試み、目的とする情報の取得や操作ができてしまうかを確かめる検査。侵入テストとも呼ぶ。脆弱性を網羅的に洗い出す脆弱性診断と異なり、攻撃の筋道を想定して、対策が実際の攻撃に耐えられるかを評価する。

情報セキュリティ監査、脆弱性診断、デジタルフォレンジック、セキュリティ監視・運用、機器検証の各サービスについて、一定の品質を保つために満たすべき技術要件と品質管理要件を定めた経済産業省の基準。審査を経て基準を満たすとされたサービスはIPAの「情報セキュリティサービス基準適合サービスリスト」に掲載され、利用者がサービスを選ぶ目安となる。