承認されたセキュリティテストの準備

十分な準備によって、承認されたセキュリティ評価はより明確で安全なものになります。テスト手法について話し合う前に、事業上の担当者、技術担当者、書面による権限の境界、資産とサードパーティの正確な把握が必要です。本ガイドでは、エクスプロイト、トラフィック生成、回避、破壊的な行為、実際の攻撃手法を示すことなく、チームが初期の範囲と権限の協議を準備するのに役立つ実務的な問いをまとめています。法律、契約、プロバイダーの要件、サードパーティの所有関係はいずれも、何をテストしてよいかに影響しえます。

何であるのか

準備とは、ガバナンスと調整の作業です。ドメイン、IP、アプリケーション、環境、アカウント、プロバイダー、サプライヤー、責任分担のインベントリを、想定する目的や報告に関する期待事項とまとめます。よく準備された概要書には、許可された手法（概要レベル）、禁止行為、本番環境と非本番環境のどちらが適しているか、実施禁止期間、実施時間帯、安全な運用上の制限、監視担当の連絡先、エスカレーションの連絡先、コミュニケーションのルール、即時の停止条件、証跡の取り扱い、データの最小化、除外する機微な環境を記録します。事業を所有しているからといって、すべての従業員、顧客、サプライヤー、プラットフォーム、ホスティングされたアカウント、サードパーティのサービスをテストする権限が自動的に与えられるわけではありません。

誰のために

本準備ガイドは、次のようなチームに有用です。

評価を依頼する前に、事業、技術、プロバイダー、セキュリティ、サプライヤーの各担当者の調整が必要なチーム
顧客向けシステム、ホスティングされたサービス、クラウドアカウント、ベンダーがあり、許可や依存関係に関する問いが生じているチーム
「すべてをテストしてほしい」という漠然とした依頼ではなく、より判断に使える範囲を求めるチーム
承認されたエンゲージメントの前に、安全、コミュニケーション、証跡、報告について実務的な期待事項を定める必要があるチーム

明確にするのに役立つこと

準備のプロセスで確立できること：

誰が作業を承認できるか、各対象の担当者は誰か、書面による許可や通知がほかに誰から必要になりうるか
どのドメイン、IP、アプリケーション、環境、アカウント、プロバイダー、サプライヤー、機微なシステムが対象または除外か
安全な手法と現実的な期待のもとで、どの目的と成功の問いが重要か
実施時間帯、実施禁止期間、制限、連絡先、停止条件、証跡、引き継ぎをどのように運用するか

含まれる内容

事業と技術の担当者、書面による権限、対象のインベントリ、プロバイダーとサプライヤーとの調整、サードパーティの許可に関するチェックリスト
本番／非本番の適否、目的、制限、禁止行為、実施禁止期間、実施時間帯、監視、エスカレーション、コミュニケーション、停止条件に関するガイダンス
機微なシステムや除外する環境を含む、証跡の取り扱いとデータの最小化に関する問い
承認された作業後の引き継ぎと報告に関する期待事項の実務的な概要

含まれていないもの

エクスプロイトの手順、トラフィック生成の指示、回避のガイダンス、破壊的な手法、実際の攻撃手法
法的助言、または権限、契約、法律、プロバイダーが特定のテストを認めているという表明
準備によって業務への支障、リスク、運用上の影響がなくなるという確約
事業の所有によって、サプライヤー、顧客、従業員、プラットフォーム、ホスティングされたシステムに対する許可が得られるという前提

それを選ぶべきとき

評価を検討しているものの、サプライヤーが安全に範囲を定められるようになる前に、責任分担や範囲について整理が必要な場合に本ガイドをご活用ください。アプリケーションレビュー、統制された負荷テスト、レジリエンステスト、目的主導の演習の前に有用です。必要な場合の書面による権限、プロバイダーの承認、契約の確認、資格を持つ専門家による法的助言と並行して活用できます。組織が担当者、システム、答えを得たい判断を特定できない場合は、活動の日程を決める前に、まずそうした基本事項を解決してください。

私たちのアプローチ

範囲は、技術的な要望の一覧ではなく、更新され続ける許可の記録として扱ってください。担当者と対象のインベントリから始め、自社で管理する資産と、プロバイダーやサプライヤーが運用する資産とを分けます。日程を決める前に、問い、安全な境界、監視の体制、連絡先、中止の条件について合意します。証跡の収集は妥当な範囲にとどめ、機微な情報へのアクセスは最小限にします。対象、プロバイダーの条件、事業上の実施禁止期間が変わった場合は、速やかに共有します。引き継ぎでは、承認された範囲、観測結果、制約、フォローアップを区別した報告書を想定してください。活動開始前に、各担当者に現在のインベントリとエスカレーション経路を書面で確認してもらいます。対象、プロバイダー、アカウント、環境、事業上の期間について直前に変更があった場合は、非公式な例外ではなく範囲の変更として扱うべきです。これにより、承認された境界が技術の関係者だけでなく運用チームにも理解しやすくなり、状況が変わったときに誰が作業を一時停止できるかについての混乱が減ります。報告に関する期待事項も、対象と同じくらい慎重に合意すべきです。誰に経営層向けの要約が必要か、誰に技術的な証跡が必要か、機微な資料をどのように共有するか、どの観測結果に迅速な連絡が必要か、誰が引き継ぎを受け入れられるかを決めてください。すべての関係者に同じレベルのアクセスが必要だとは考えないでください。プロバイダーへの通知、承認の参照番号、実施時間帯の変更を記録しておけば、最終報告書で承認された作業が行われた条件を正確に記述できます。準備の最後には、指名されたすべての担当者が、何が含まれ、何が除外され、懸念がどのようにエスカレーションされるかを理解していることを簡潔に確認します。最終的な範囲には不確かな点を率直に記載し、参加者が計画上の前提を許可と取り違えないようにします。また、初期の範囲検討に不要である、あるいはより制限された経路で扱うべきであるという理由で、意図的に共有しない情報も明記します。こうした共通理解は、すでに不明確なテストに対象をさらに追加することよりも価値があることが少なくありません。エンゲージメントの前に、計画した実施時間帯に連絡先一覧が機能すること、そして事業部門のチームが一時停止や停止条件の意味を理解していることを確認してください。簡単なコミュニケーションのリハーサルによって、対応可能時間、エスカレーション、証跡の所有について食い違う期待が明らかになることがあります。日常的な調整上の問題を、合意した境界を超えて続行してよいという許可と取り違えることを防ぐのに役立ちます。