脆弱性診断と実際の攻撃は、目的も方法も視点も異なります。そのギャップこそが、診断の抜け穴となります。実務で繰り返し確認される6つのポイントを挙げてみます。

1. 診断対象の範囲と実際の攻撃者のターゲットは異なります。

脆弱性診断は範囲が決められます。日程が周知され、対象システムが合意され、運用に影響を与える可能性のある機密性の高い資産は、大抵の場合、範囲から除外されます。診断を安定して実施するための合理的な選択です。

しかし、実際の攻撃者にはそのような制約は存在しません。診断対象から漏れたレガシーサーバー、外注開発後の引き継ぎが途絶えたシステム、一時的に起動して忘れ去られたサービス、一時的に開けておいたポートに至るまで、そのすべてが実際の侵入経路となります。エンキホワイトハットのレッドチームプロジェクトでも、実際に侵入の起点となった資産が、脆弱性診断の範囲のどこにも含まれていなかったケースが多々あります。診断は私たちが「見せたい場所」を見て、攻撃者は私たちが「忘れた場所」を見ます。

2. 診断は「チェックリスト」、攻撃は「シナリオ」です。

脆弱性診断には、本質的に限界が存在します。既知の脆弱性リストとシステムを項目別に照らし合わせ、その結果を整理します。

レッドチームは、項目を埋めることではなく、目標を達成することを目指します。顧客データの奪取、営業秘密へのアクセス、決済・送金の改ざん、サーバーの乗っ取りといった目標を掲げ、実際の攻撃者の戦術・技術・手順（TTP）をそのまま再現し、個別には「低」と判定された脆弱性を1つの攻撃として繋ぎ合わせます。サービス情報がわずかに露出している欠陥、権限検証が緩いポイント、内部ネットワークで不要に開いているポートを順番に接続することで、外部から核心的なデータにまで到達する経路が完成します。チェックリストは構造的にこの組み合わせを見つけることができません。項目一つひとつはすべて「良好」または「低」であったのに、シナリオとして繋ぎ合わせると「致命的」になること、これこそが診断と攻撃の最大の難しさであり違いです。

3. 診断は一時点であり、攻撃は継続です。

四半期・半期ごとの診断は、本質的にその瞬間のスナップショットに過ぎません。しかし、今日のシステムは1日に何度もデプロイされ、設定は運用の最中にも少しずつ変化します。

前回の診断と次回の診断の間の長い空白期間に生じたアップデートや新しい資産は、事実上無防備な状態です。変化の周期は分単位になっているのに対し、検証の周期はいまだに四半期または半期単位です。診断直後に追加されたAPIが1つ、急遽開放したファイアウォールポリシーが1つ、次回の診断まで数ヶ月間、検証なしで公開される構造なのです。このギャップが致命的な脆弱性が発生する起点となります。

4. 脆弱性診断はシステムだけを見て、人とプロセスは見ません。

脆弱性診断はシステムを見ます。しかし、実際のインシデントの起点は、1通のフィッシングメール、権限管理が緩いパートナー企業ののアカウント、信頼を悪用するソーシャルエンジニアリングであるケースが多々あります。

これはデータでも実証されています。毎年発表されるグローバルなインシデント分析レポートは、インシデントの大部分がフィッシング、盗まれた認証情報、内部者の権限管理不足といった「人」を経由しているという事実を繰り返し示しています。しかし、このような経路は、いかなるセキュアコーディングガイドでも「脆弱」とは判断されません。レッドチームは、人、プロセス、システムすべてを1つの攻撃対象領域（アタックサーフェス）として統合して検証します。

5. 「防げるか」は見ますが、「検知できるか」は見ません。

脆弱性診断は「穴があるか」を問います。しかし、より重要な点は「誰かが侵入したときに、私たちはそれを検知できるか」です。

多くの企業が脆弱性診断を通じて初期侵入は遮断します。しかし、一旦一歩足を踏み入れられた後は、内部での横展開（ラテラルムーブメント）、権限昇格、データの収集と外部への流出というプロセスにおいて、ほとんどの場合検知に失敗します。1件の侵入を識別して対応するまでに依然として平均数10日から数100日かかっているということは、多くの組織が「防御」に投資したほどには「検知」に投資できていないことを露呈しています。実際、攻撃者が数日間にわたって内部を荒らし回っている間、セキュリティ監視でアラートが1件も発生しないということが大半です。侵入可能性と検知・対応能力を同時に実証すること、これこそがレッドチームの核心的な価値です。

6. 「良好レポート」が作り出す「安心の罠」

最後は技術ではなく組織の問題です。毎年「良好」のレポートが積み重なると、「私たちはきちんと診断を受けている会社だ」という安全の物語が生まれます。より根本的な原因は、評価の方向にあります。上層部や上位機関が「どれほど深刻な脆弱性を見つけたか」よりも「チェックリストをすべて満たしたか」をまず問う限り、組織全体はリスクを見つけ出す方向ではなく、「良好」の判定をもらう方向に最適化されます。診断ベンダーも関係を維持しなければならない立場上、不都合な結論を強く提示するモチベーションは小さくなります。

レッドチームが独立した敵対的な視点として存在する理由がここにあります。関係性ではなく結果で評価される検証こそが、報告書に隠された本質的なリスクを浮き彫りにします。