セキュリティテスト

システムが不正アクセスや情報漏えいなどの脅威に対して、要件で定めたセキュリティの機能と強度を備えているかを確かめるテスト。認証やアクセス制御の確認、脆弱性診断、ペネトレーションテスト、ファジングなどの手法がある。

認証やアクセス制御が正しく働くか、既知の攻撃手法で脆弱性を突かれないかを確認するテスト。ソースコードの静的検査、動的検査、ファジング、ペネトレーションテストなどの技法を組み合わせて実施する。

組織の許可を得たうえで、攻撃者と同じ技術を使ってシステムの脆弱性を調べ、対策のために報告するセキュリティの専門家。ホワイトハッカーともいう。ペネトレーションテストや脆弱性診断、脆弱性を報告して報奨金を受け取るバグバウンティなどで活動する。

システムやソフトウェアが、要件定義や仕様書で定めた機能を正しく実現しているかを確かめるテスト。入力と期待する出力の対応を、利用者の業務の流れに沿って確かめる。性能やセキュリティなどを確かめる非機能要件テストと対比される。

性能、可用性、セキュリティ、運用性、移行性など、機能以外の要件を満たしているかを確かめるテスト。性能テスト、負荷テスト、障害回復テスト、セキュリティテストなどを含み、要件で定めた定量的な目標値と比べて合否を判断する。

あらかじめテストケースを詳細に設計せず、テスト担当者がシステムを操作しながら得た知見を基に次に試すことを考え、テストの設計と実行を同時に進める技法。担当者の経験と知識に左右されるが、仕様書からは想定しにくい不具合を短時間で見つけやすい。

実際の攻撃者と同じ手法で、対象のシステムやネットワークへの侵入を試み、目的とする情報の取得や操作ができてしまうかを確かめる検査。侵入テストとも呼ぶ。脆弱性を網羅的に洗い出す脆弱性診断と異なり、攻撃の筋道を想定して、対策が実際の攻撃に耐えられるかを評価する。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。