ペネトレーションテスト（侵入テスト）

総務省の用語集は「侵入テスト」の項目で、こう説明しています[1]。

コンピュータやネットワークの脆弱性を調査するために行うテストのひとつ。外部からさまざまな攻撃方法を試しながら、特定のコンピュータやネットワークに侵入できるかどうかを実際に検証するテストのことです。

— 総務省「国民のためのサイバーセキュリティサイト」用語集

続けて「ペネトレーションテストとも言います。」と書いています[1]。日本語の「侵入テスト」と英語由来の「ペネトレーションテスト」は、同じものを指します。

調べる対象は脆弱性、つまりシステムの弱いところです。「弱いところがありそうだ」で終わらせず、実際に攻撃を試して、入り込めるかどうかまで確かめるのが特徴です[1]。

米国立標準技術研究所（NIST）の用語集は、出典ごとに複数の定義を載せています[2]。そのうち3つです。

• 「A test methodology in which assessors, typically working under specific constraints, attempt to circumvent or defeat the security features of a system.」（評価者が、通常は特定の制約の下で、システムのセキュリティ機能をすり抜けたり打ち破ったりしようと試みるテストの方法）[2]
• 「Testing that verifies the extent to which a system, device or process resists active attempts to compromise its security.」（システムや機器、手順が、セキュリティを破ろうとする能動的な試みにどこまで耐えられるかを確かめるテスト）[2]
• 「Testing used in vulnerability analysis for vulnerability assessment, trying to reveal vulnerabilities of the system based on the information about the system gathered during the relevant evaluation activities.」（脆弱性評価のための脆弱性分析で使うテストで、集めた情報をもとにシステムの脆弱性を明らかにしようとするもの）[2]

どの定義も、守る側がシステムの強さを確かめるためのテストとして書かれています。1つめの定義には「特定の制約の下で（under specific constraints）」とあり、決められた条件の中で行うものとされています[2]。

侵入テストは「外部からさまざまな攻撃方法を試しながら」行うものです[1]。一方で資料の定義は、評価者が制約の下で行うものとして書かれています[2]。

そのため、侵入テスト用のツールが攻撃に使われたというニュースは、定義の上では点検に使う種類の道具が、不正アクセスに使われた、という意味で読むことになります。相次ぐ国内企業への不正アクセスでAIの自律型侵入テストツールの使用を確認したという速報が、その例です。

1. 総務省「国民のためのサイバーセキュリティサイト」用語集（さ行）
2. NIST CSRC Glossary「penetration testing」