ペネトレーションテストのレポート例とチェックすべき項目
セキュリティ対策の一環として「ペネトレーションテスト（侵入テスト）」を実施する企業は増えています。しかし、テストを受けたとしても、その レポートの質 が低ければ実際の改善にはつながりません。
この記事では、一般的なペネトレーションテストのレポートに含まれるべき項目と、チェックすべき重要なポイントを整理します。最後に、OWASP に準拠した標準的な方法でテストを行う lanjut がなぜ安心できるのかをご紹介します。
1. ペネトレーションテストレポートの役割
レポートは単なる「診断結果の一覧」ではありません。
経営層にとっては「リスクの全体像を把握する資料」
システム担当者にとっては「修正作業のロードマップ」
監査対応においては「第三者証明」として利用可能
つまりレポートの質は、テストそのものと同じくらい重要です。
2. 一般的なレポートに含まれるべき項目
以下は、ペネトレーションテストのレポートに必須とされる代表的な要素です。
(1) エグゼクティブサマリー
システム全体の脆弱性リスクを俯瞰
発見された脆弱性の深刻度（Critical / High / Medium / Low）の分布
経営層にも理解できる平易な言葉でまとめられているか
(2) テスト範囲と前提条件
対象システム・アプリ・ネットワーク範囲
使用したテスト手法とツール
テストの前提（例：認証済みテストか、ブラックボックスか）
この記載が不十分だと「本当に必要な範囲をカバーしているのか」が不明確になります。
(3) 発見された脆弱性の詳細
脆弱性の内容と発生個所
再現手順（どのように攻撃可能だったか）
CVEやOWASP Top 10 との関連付け
影響範囲（どのデータや機能に影響するか）
(4) 深刻度の評価基準
CVSS（Common Vulnerability Scoring System）や独自基準に基づく評価
評価基準の説明があるかどうか
(5) 修正推奨事項
具体的な修正方法や設定変更例
修正の優先度（すぐ対応すべきか、次期リリースでよいか）
長期的な改善策（セキュア開発プロセスの導入など）
(6) 改善後の再テスト推奨
再テスト（リテスト）を前提にしているか
継続的なセキュリティ改善のプロセスが示されているか
3. チェックすべきポイント
ペネトレーションテストを依頼した際、以下の点をレポートで必ず確認してください。
網羅性
→ システム全体をきちんとテストしているか。
例：WebアプリだけでなくAPIや認証機構も含まれているか。再現性
→ 誰が見ても同じ脆弱性を再現できるように手順が書かれているか。実効性
→ 修正提案が現実的で、システム担当者が実装できるレベルか。優先順位
→ 「どこから直すべきか」が明確にされているか。ビジネスへの影響説明
→ 技術者だけでなく経営層も理解できるよう、リスクの影響度（信用失墜・法令違反・金銭的損失など）が示されているか。
4. 不十分なレポートにありがちな例
発見した脆弱性を単に羅列するだけ（修正方法が書かれていない）
「危険度：高い」としか書かれておらず、なぜ危険か説明がない
テストの範囲が明記されていない
経営層に伝わるサマリーがなく、現場担当しか理解できない
こうしたレポートでは、改善につながらず「やった感」だけで終わってしまいます。
5. lanjutのアプローチ
lanjut では、国際的に認知されている OWASP Testing Guide に準拠し、ペネトレーションテストを実施しています。これにより以下が保証されます。
網羅的な検査：OWASP Top 10 をはじめとする代表的脅威を必ずカバー
明確な報告：脆弱性ごとに影響範囲・再現手順・修正方法を提示
経営層向けサマリー：非技術者でも理解できる形でリスクを整理
継続的な改善提案：単発の診断に留まらず、セキュリティ文化の定着を支援
6. まとめ
ペネトレーションテストを実施するだけでは十分ではありません。
「どんなレポートが出てくるか」こそが、実際の改善につながるカギ です。
エグゼクティブサマリーがあるか
範囲と手法が明示されているか
再現性・優先度・修正提案が明確か
これらが欠けているレポートは危険信号です。
lanjut は OWASP に準拠したテストを実施し、信頼できるレポートを提供します。
安心して、ペネトレーションテストは lanjut にご依頼ください。
