脆弱性診断とペネトレーションテストはどう違う？　セキュリティ診断の選び方

　複数の脆弱性を併用するマルチベクトル型攻撃や、段階的に侵入を行うサプライチェーンリスク攻撃が増加している。こうした中、Webサイトの運営者が脆弱性の検出から修正までに1カ月以上を要するケースが60％に上っており、早急な改善が必要とされている。そこで取り入れたいのが、「セキュリティ診断」だ。

　その種類は、パッチ適用漏れなど基本的な内容を検査する「プラットフォーム診断」や、アプリケーションを含む公開環境の脆弱性を検査する「脆弱性診断」、経営／営業面などに関わる攻撃リスクを洗い出す「ペネトレーションテスト」の3つに分けられる。網羅性と専門性においてそれぞれ違いがあるため、目的に応じてサービスを選定したい。

　本資料では、自社に最適なセキュリティ診断を選ぶ方法について、マッピングやフローチャートを用いて具体的に解説する。あわせて、経験豊富なエンジニアとAIの活用により、外部（リモート）からの実際の攻撃を模したテストが短期間で安価に実施が可能で、海外の金融機関や政府機関からの評価も高いセキュリティ診断サービスも紹介しているので、ぜひ検討してみてほしい。