ペネトレーションテスト · 準備キット
ペネトレーションテストの準備
対象範囲の定義、実施ルール（RoE）から是正の確認まで、ペネトレーションテストの準備資料です。ISO 27001（A.8.8）、SOC 2（CC7.1）、PCI-DSS（要件 11）、HIPAA Security Rule で求められます。
pTrackly に相談する →1. 対象範囲と目的
- □ 対象範囲を定義：テスト対象の IP 範囲、ドメイン、アプリケーション
- □ 対象外：テストしないシステム（顧客データストア、サードパーティのサービス）
- □ テストの種類：外部、内部、Web アプリ、API、クラウドのペネトレーションテスト
- □ テスト方式：ブラックボックス（情報なし）、グレーボックス（一部）、ホワイトボックス（全情報）
2. 実施ルール（RoE）
- □ 実施時間帯：いつテストするか（業務時間内、時間外、週末）
- □ 許可されたテスター：テストチームの IP アドレス一覧
- □ 連絡先リスト：緊急時（システム停止、データ露出）に誰へ連絡するか
- □ エスカレーション経路：重大な指摘事項は即時報告か、終了時にまとめて報告か
- □ ソーシャルエンジニアリングの範囲：従業員へのフィッシングは許可するか
3. テスト事業者の選定
- □ 資格：OSCP、GPEN、CREST、CEH（チームに 1 つ以上の資格保有者がいること）
- □ 実績：同業種での経験はあるか（HealthTech、Fintech、SaaS）
- □ 手法：OWASP Testing Guide、PTES、NIST SP 800-115
- □ 報告書の品質：契約前にサンプル報告書を依頼
- □ コンプライアンスへの理解：ISO 27001／SOC 2／PCI-DSS の要件を理解しているか
4. テストの実施
- □ キックオフ：対象範囲、RoE、連絡先リストを確認
- □ 実施期間：範囲に応じて通常 1〜3 週間
- □ デイリースタンドアップ（任意）：進捗をリアルタイムで把握したい場合
- □ 中間確認：すぐに対処すべき重大な指摘事項はないか
5. 報告書と是正
- □ 報告書：エグゼクティブサマリー、CVSS スコア付きの指摘事項、再現手順、推奨事項
- □ 指摘事項の優先順位：critical → high → medium → low
- □ 是正計画：どの指摘事項を誰がいつまでに対応するか
- □ 再テスト：修正後に再テストを依頼して確認（通常は契約に含まれる）
- □ 実施証明書：監査人によってはテストの実施証明書を求める
6. 実施頻度とコンプライアンス要件
- □ ISO 27001：定期的なペネトレーションテスト（頻度の規定はないが通常は年 1 回）
- □ SOC 2：年 1 回の実施を推奨。要否は TSC の範囲による
- □ PCI-DSS：年 1 回の外部ペネトレーションテスト＋重要な変更の後（必須）
- □ HIPAA：必須ではないが強く推奨（addressable として検討）
pTrackly のテンプレートとエビデンスの自動収集で、ペネトレーションテスト の導入を効率よく進められます。
無料デモを予約
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。