科目A-2（多肢選択式）
情報セキュリティ監査において実施される「脆弱性診断」と「ペネトレーションテスト」の違いに関する記述として最も適切なものはどれか。
- ✓脆弱性診断は既知の脆弱性を網羅的に洗い出すことを目的とし、ペネトレーションテストは実際に侵入を試みて影響度や攻撃の実現可能性を検証することを目的とする
- B両者は同じ手法であり、名称が異なるだけで実施内容に違いはない
- C脆弱性診断は外部の攻撃者を想定し、ペネトレーションテストは内部関係者による不正を想定するという対象者の違いに基づく分類である
- Dペネトレーションテストは自動化ツールのみで実施され、脆弱性診断は必ず手動で実施される
解説
脆弱性診断は既知の脆弱性を幅広く網羅的に検出することを目的とするのに対し、ペネトレーションテストは実際の攻撃を模して侵入を試み、脆弱性が実際に悪用され得るか、悪用された場合の影響度はどの程度かを検証する点に主眼がある。
根拠情報セキュリティ監査（脆弱性診断・ペネトレーションテスト）