点検レポートの読み方。対象・根拠・未確認を見る

確認できたこと、確認していないこと、改善の提案を分けて読み、業務の担当へ引き継ぐ。

最初に、何を確かめた報告かを見る

NCSCの侵入テストの資料は、合意した対象や手法、実施した時点と、結果を継続的な改善へ使うことの重要性を説明しています。SONAEは、設定や運用の点検レポートを読む際にも、対象と確認方法を最初に見ることを提案します。書面の確認、画面の閲覧、架空対象の試験、実環境での試験は異なります。会社の一部を見た結果を、全社の安全性を保証する報告へ広げないようにしましょう。

対象の一覧と、除外した範囲を照合する

サービス名、組織や拠点、アカウント、設定の範囲、対象期間を確認します。会社が依頼したと思っていた範囲と、実施した範囲に差があれば質問します。除外した対象や、情報不足で見られなかった部分も必要な情報です。架空の例では、共有設定を一つの部署で確認した報告を、別の部署の共有まで問題なしと読まないようにします。報告の版と確認日、根拠を参照する場所をそろえると、後の変更も追いやすくなります。

観測した事実と、影響の説明を分ける

外部リンクが一件有効だった、権限の所有者が不明だったなど、何を見たかを確認します。その状態から想定される影響と、既に実際に起きた被害は同じではありません。根拠が示せない推測を、発生した事件として読まないようにします。秘密や個人情報が報告へ過剰に載っていないかにも注意します。詳しい証拠は必要な担当だけが参照できる場所へ置き、経営向けの要約から安全にたどれる形にします。

優先度の理由を、自社の仕事と照らす

高い点数や赤い表示だけで対応の順番を決めず、公開範囲、扱う情報、影響する業務、実行に必要な条件を見ます。一般的な深刻度と、自社で急ぐ理由が異なる場合は、提供者と責任者が説明をそろえます。同じ指摘でも、既に暫定の制限があるか、別の更新を待つ必要があるかで作業は変わります。指摘を少なく見せるために評価を下げるのではなく、判断した前提と残るリスクを記録しましょう。

未確認を、問題なしへ読み替えない

権限不足で確認できなかった、ログの期間が足りなかった、実送信を行わなかったなど、限界には理由があります。未確認の項目をそのまま合格の分母へ入れないようにします。追加で何を誰が確かめるか、今は判断を保留するかを決めます。実際の被害が見つからなかったことも、すべての履歴を調べていなければ範囲を限定して説明します。図の鍵やチェックマークを、安全性を完全に証明した印として扱わないことが重要です。

次の作業が決まる読み合わせにする

完了の目安は、会社が対象、事実、未確認、優先度の理由を理解し、次の作業と担当を決められることです。提供者へ質問した回答も、報告の版と対応させて残します。設定や契約、利用者が変われば、報告時点の結果はそのまま続くとは限りません。改善後の確認と、次の定期点検へつなげましょう。SONAEの架空レポートも読み方の参考であり、実顧客の診断実績や侵入試験の完了を示すものではありません。

相談前の確認表

• 対象と方法と時点を最初に読む
• 事実と想定影響と実被害を分ける
• 未確認を問題なしに変えない
• 優先度の理由と次の担当を合意する

参考資料（確認日：2026年10月23日）：NCSC：Penetration testing — scope and follow-up ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。