Hello there, ('ω')ノ
💡 そもそも「ペネトレーションテスト」ってなに？
ペネトレーションテスト（通称：ペンテスト）とは、 「攻撃者の視点になって、システムのセキュリティ上の弱点を事前に検証する」テストです。
多くの場合、企業が専門のセキュリティ会社やコンサルタントに依頼して実施します。 調査は契約書に基づいて「決められた範囲・期間・方法」で行われ、最後に報告書が納品されます。
🔍 バグバウンティとペネトレーションテストの主な違い
| 比較項目 | バグバウンティ | ペネトレーションテスト |
|---|---|---|
| ✅ 実施主体 | 不特定多数のハッカー（公募型） | 専門企業やセキュリティ技術者 |
| 📅 実施期間 | 常時・長期的に行う | 数日〜数週間の短期間で集中実施 |
| 💰 報酬の仕組み | 成果報酬（バグが見つかれば支払い） | 時間報酬 or 定額契約 |
| 🎯 アプローチ | 特定のバグに深く集中する | 全体を広くチェックする |
| 💻 使用ツール・技法 | ハッカーごとに異なる（自由） | 決まった手順・ツールに基づく |
| ⚖ 法的・契約的な枠組み | プラットフォームの規約＋各企業のポリシー | 契約書・NDAなどの明確な法的合意 |
| 🌐 対象者 | ハッカーコミュニティ全体（公開プログラム） | 指名された技術者（限定） |
🧭 どちらが優れているの？どう使い分けるの？
どちらが「良い・悪い」ではなく、目的に応じた使い分けがポイントです。
🧱 ペネトレーションテストが向いている場面
- 社内システムや非公開システムのセキュリティ診断
- 法的・契約的なチェックが必要な場合（例：金融業界）
- 初めてのセキュリティ評価や、全体的な健康診断をしたいとき
🔍 バグバウンティが向いている場面
- 公開中のウェブサービスやモバイルアプリ
- 継続的に監視・改善したいとき
- 多様な攻撃者の視点でリスクを発見したいとき
- 修正の効果を再検証してほしいとき
🛠 両者を組み合わせると最強！
実は、多くの大手企業ではこの2つを併用しています。
- 年に1〜2回、ペネトレーションテストで網羅的にチェック
- 常時、バグバウンティでユーザー視点の攻撃をカバー
このように、「広く浅く（ペンテスト）」と「深く鋭く（バグバウンティ）」の両輪で守ることで、 セキュリティ対策の抜け漏れを減らすことができます。
🎓 例えるなら…
ペネトレーションテストは「人間ドック」、 バグバウンティは「ドクターXに依頼する特別診察」のようなものです。
- 人間ドック（ペンテスト）：体全体を一通りチェック、基本の健康状態を把握
- ドクターX（バグバウンティ）：ピンポイントで重大な病気を発見、深く切り込む
どちらも大事。 一方だけでは見つからないリスクもあるので、両方の活用が理想的です。
✅ まとめ：目的で選ぼう！“敵の目線”を取り入れるのが鍵
セキュリティ対策で重要なのは、「守る側の目線」と「攻める側の目線」をバランスよく取り入れること。
- 短期・全体把握・契約ベースならペネトレーションテスト
- 長期・発見重視・成果型ならバグバウンティ
それぞれの特性を理解し、適切な場面で使い分けることがセキュアなサービス運用への第一歩です。
Best regards, (^^ゞ
