ペンテストでは「侵入口を見つけられるか」を確認するのに対し、レッドチームサービスでは「最重要資産（The Gold）に到達できるか、そして貴社はそれに気づけるか」という点を検証する。レッドチーミングは、組織のレジリエンスとSOC（セキュリティ・オペレーション・センタ）の能力を総合的に試す最も厳しい検証である。

レッドチーミングは「チェック項目を満たせば安心」という発想を超え、コンプライアンスが必ずしもセキュリティを意味しないことを示す。

APT（高度持続的脅威）を模擬した、目的（オブジェクティブ）ベースのフルスケール攻撃シミュレーションである。個別システムに限らず、人・プロセス・技術の観点で、組織全体のセキュリティ態勢を検証する。

最大の成果は、検知・対応（Detection & Response）能力を検証できる点にある。セキュリティチームにとっての重要な「チェックボックス思考」からの脱却「火災訓練」として機能する。

レジリエンスとは、ハッキングされないことではなく、止められない（業務を継続できる）ことである。
レッドチームは、「固定観念」やセキュリティソリューション間のギャップに挑戦することで、これを強化する。

3. 視点の拡大：バグバウンティの価値

レッドチームが目標達成できなかったとしても、それだけで安全が保証されるわけではない。継続的な評価には、単一チームの視点に依存しない多角的な観点が必要である。バグバウンティは、その多様性とグローバル規模を提供する。

なぜバグバウンティを導入するのか

バグバウンティは、世界中の多数のホワイトハット／グレーハット研究者に金銭報酬を提示し、脆弱性の発見と報告を促す仕組みである。これにより、評価活動を大規模に拡張できる。

バグバウンティは1980年代に起源を持ち、1990年代にNetscapeによって制度として整備された。現在ではGoogleやMicrosoftなどの大手テック企業、さらにBugCrowdやHackerOneといったプラットフォームでも、重要なセキュリティ施策として定着している。

最も効果的な対策は、脆弱性を「見つける」ことよりも「作り込まない」ことである。開発ライフサイクル全体にセキュリティ（DevSecOps）を組み込むことで、プロジェクトの中核からセキュリティ保証を織り込める。結果として、最終段階のペンテストにかかる負担を大幅に軽減できることになる。

Pentest in Depthモデルは、複数レイヤーの評価を統合し、可能な限り高い安全性水準を目指すとともに、現実の脅威に対する即応性とレジリエンスを確保する。

Viettel Cyber SecurityはCREST認定プロバイダとして、Webアプリ／APIからモバイル、IoTに至るまで、あらゆるデジタル領域に対して戦略的かつ包括的なテストサービスを提供します。 デジタルの将来を守るため、ぜひお問い合わせください。