エシカルハッカー

攻撃者と同等の知識や技術を持ち、システムの所有者から許可を得た範囲で、防御のために脆弱性の発見や攻撃の模擬を行う技術者。ホワイトハッカーとも呼ばれ、ペネトレーションテストなどを担う。

攻撃者と同等の技術を、所有者の許可を得た範囲で防御のために用いる技術者。ペネトレーションテストや脆弱性診断、レッドチーム演習を担当し、法令と契約に基づく実施範囲の明確化が前提となる。

攻撃者と同等の技術を用いつつ、依頼を受けた正当な範囲で脆弱性を発見・報告する技術者。ペネトレーションテストやレッドチーム演習を担い、実施範囲と権限を契約で明確にしたうえで活動する。

システムがセキュリティの要件を満たし、脆弱性がないかを確かめるテスト。認証やアクセス制御などの機能の確認に加え、脆弱性診断やペネトレーションテストで、実際の攻撃の手法で侵入や情報の漏えいが起きないかを確かめる。

実際の攻撃者と同じ手法で、対象のシステムやネットワークへの侵入を試み、目的とする情報の取得や操作ができてしまうかを確かめる検査。侵入テストとも呼ぶ。脆弱性を網羅的に洗い出す脆弱性診断と異なり、攻撃の筋道を想定して、対策が実際の攻撃に耐えられるかを評価する。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

情報セキュリティ監査、脆弱性診断、デジタルフォレンジック、セキュリティ監視・運用、機器検証の各サービスについて、一定の品質を保つために満たすべき技術要件と品質管理要件を定めた経済産業省の基準。審査を経て基準を満たすとされたサービスはIPAの「情報セキュリティサービス基準適合サービスリスト」に掲載され、利用者がサービスを選ぶ目安となる。