重要ポイント
VAPT（Vulnerability Assessment and Penetration Testing）は2部構成のセキュリティ評価です。診断では自動化ツールで既知の弱点を広く洗い出し、ペネトレーションテストでは熟練したテスターが手動で悪用・連鎖させ、実際のビジネス影響を実証して修正の優先順位を決めます。
脆弱性診断とペネトレーションテストの違い
脆弱性診断は広さを重視します。自動スキャナーが既知の問題や設定不備のデータベースとシステムを照合し、潜在的な弱点の一覧を短時間かつ低コストで作成します。
ペネトレーションテストは深さを重視します。熟練したテスターが検出結果を手動で検証し、誤検知を取り除き、弱点を連鎖させて機微データへのアクセスなど実際の目標に到達します。何が脆弱かだけでなく、攻撃者に何ができるのかまで示します。
VAPTの対象範囲
範囲は攻撃対象領域によって決まります。一般的なプログラムは複数のレイヤーにまたがります。
- Web・モバイルアプリケーションとそのAPI（OWASP WSTG、MASVS）
- Active Directoryを含む外部・内部ネットワーク
- クラウド環境（AWS、Azure、GCP）とそのIAM
- IoT、OT、そして増加するAI/LLMシステム
テストの厳密さを支える標準
信頼できるVAPTは、場当たり的な調査ではなく確立された方法論に従います。Webテストは OWASP Web Security Testing Guide と Top 10、インフラは PTES と NIST SP 800-115 に対応し、検出結果は MITRE ATT&CK にマッピングされて防御側が行動できるようにします。
成果物は、CVSS評価、概念実証の証跡、開発者がそのまま使える修正指針、そして修正確認のための無償再テストを含む優先順位付きレポートであるべきです。
IntelligenceXのVAPT提供方法
IntelligenceXは、Web、モバイル、ネットワーク、クラウド、IoT、OT、AIの各システムに対し、OWASP、PTES、NIST、MITRE ATT&CKに準拠した手動主体のVAPTを実施します。修正後の再テストと、顧客または監査人向けの証明書レターも含まれます。
貴社環境に合わせたテスト範囲の検討は、当社チームにご相談ください。
よくある質問
厳密には異なります。VAPTは脆弱性診断（広範な自動スキャン）とペネトレーションテスト（深い手動での悪用）を組み合わせたものです。診断は多くの潜在的な問題を見つけ、ペネトレーションテストはそのうちどれが本当に悪用可能かを実証します。
少なくとも年1回に加え、大型リリース前と重要な変更後に実施してください。PCI DSSやインドのCERT-In・RBI規則を含む多くのコンプライアンス枠組みが定期的なテストを求めています。