TLPT（脅威ベースのペネトレーションテスト）サービス

TLPT（脅威ベースのペネトレーションテスト）とは

TLPT（Threat-Led Penetration Test）とは、実際の攻撃者が用いる高度な手法や脅威に基づいた攻撃シナリオを使用するセキュリティテストです。疑似サイバー攻撃を通じて組織の防御力・検知力・対応力を総合的に評価し、課題の明確化とセキュリティレベル向上に繋げるサービスです。

ペネトレーションテストとの違い

ペネトレーションテストは、攻撃者視点で侵入が可能かどうかを評価する手法ですが、TLPTではそれに加えて、検知や対応といった防御側の能力も含め、セキュリティ対策の有効性を総合的に評価します。実際の攻撃者の戦術や手法（TTPs：Tactics, Techniques, and Procedures 、戦術・技術・手順）に基づき、現実的な脅威シナリオを用いて侵入を試み、攻撃発生時に組織が迅速かつ適切に対応できるかどうかまで確認することで、実践的なサイバー攻撃耐性の向上に繋げていただくことができます。

このようなお客様におすすめします

本サービスは、以下のようなお客様におすすめします。

• 定期的にペネトレーションテストや脆弱性診断を実施しているが、実際のサイバー攻撃に対して組織がどれだけ防御・対応できるか確認したい
• 様々なセキュリティ対策を実施しているが、防御側の対応力や運用面に抜けがないか総合的に評価したい
• PCI-DSSなどの認証取得に向けて、攻撃シナリオに基づいた実践的なテストを実施したい

サービスの特長

1. お客様の課題に最も適したテストシナリオを提案

当社は業界ごとの脅威トレンド、最新の攻撃手法、過去事例をもとに、具体的な脅威シナリオを作成します。例えば「巧妙な標的型フィッシングで認証情報を窃取→正規端末を踏み台に社内ネットワークで横展開→機密データの抽出を狙う」といった一連の攻撃ストーリーを描き、そこから想定される侵入経路、攻撃者の目的、成功条件を明確化します。検討した脅威シナリオに沿って、攻撃者視点で最適なテストシナリオを設計・実行し、実際に同様の経路で侵入が成立するか、検知・封止をどの時点で行えるかを検証します。シナリオはお客様の業務実態やご要望に合わせて柔軟にカスタマイズ可能です。

2. 実際の攻撃者と同じ手法を用いて、疑似攻撃を実施

MITRE ATT&CK®フレームワークを活用し、実際の攻撃者が用いる手法・経路を再現してテストを行います。公的資格を持つホワイトハッカーが診断を実施し、シナリオに沿った疑似攻撃を通じて、組織の防御・検知・対応能力を総合的に評価します。

3. 経営・事業インパクト重視の評価と改善提案

テスト結果を基に、サイバー攻撃による経営への影響（収益・信用リスクなど）を明示し、対策の優先順位付けを支援します。さらに、事業目標や経営戦略に連動した改善ロードマップを策定し、投資対効果の高いセキュリティ対策をご提案します。経営層への説明にあたっては、専門用語を排し、リスクを事業インパクトと紐づけて解説することで、経営層のセキュリティの理解とコミットメントを促進します。

サービスのイメージ

本サービスは、実戦的な「TLPT（脅威ベースのペネトレーションテスト）」を包括的に支援します。

支援範囲とステップ（例）

下図はTLPT（Threat-Led Penetration Test）サービスの一般的な流れです。お客様のご要望に応じて支援範囲をカスタマイズできます。
例えば、汎用的な脅威シナリオを活用してシナリオ作成期間を短縮し、そのうえで攻撃シナリオの策定、疑似攻撃の実施、課題抽出および改善提案までを中心に支援することも可能です。

主な成果物（例）

成果物については、支援内容に応じて異なります。基本的には、FISC（金融情報システムセンター）が公開している「金融機関におけるTLPT実施にあたっての手引書」※に準拠した成果物を作成し、納品します。しかし、我々がご提供する価値はそのガイドライン準拠に留まりません。当社が数多くのインシデント対応現場で培ってきた、最新の攻撃（TTPs）に関する独自の知見を報告書に反映させます。

これにより、単なる技術的な脆弱性の列挙ではなく、検知から対応プロセスにおける具体的なボトルネックを特定、そのリスクが経営（収益・信用リスク）に与える事業インパクトを明示し、実効性の高い対策の優先順位付けを支援します。

さらに、お客様の事業目標に基づき、投資対効果の高い改善ロードマップを策定。専門用語を排し、リスクを事業インパクトと紐づけて解説することで、経営層の深いご理解とセキュリティ強化へのコミットメントを促進する、”次につながる”報告をご提供します。

※「金融機関等におけるTLPT実施にあたっての手引書」
https://www.fisc.or.jp/publication/book/004197.php