最終更新日：2026年7月18日
sg threat_vulnerability security_awareness risk_assessment sg-security-overview
まず結論
ハッカーとは、本来はコンピュータやネットワークに高い技術力を持つ人を指す中立的な言葉です。
SG試験では、「ハッカー＝必ず犯罪者」と決めつけないことが重要です。
ただし、現場で行為の適切さを判断するときは、次の3点を確認します。
- 目的は何か
- 組織から許可を得ているか
- 許可された範囲で行動しているか
善意の目的でも、無許可で他人のシステムへ侵入してよいわけではありません。
直感的な説明
高度な鍵開け技術を持つ人を考えてみます。
- 依頼を受けて鍵を点検する → 正当な専門家
- 許可なく他人の家へ入る → 不正行為
技術が同じでも、目的・許可・行為によって評価が変わります。
セキュリティ分野も同じです。
- 技術力を防御に使う → ホワイトハットハッカー
- 悪意を持って攻撃する → ブラックハットハッカー、クラッカー
- 善意を主張していても無許可で調査する → グレーハットと呼ばれることがある
SG試験では、技術力だけで善悪を判断しないことがポイントです。
定義・仕組み
ハッカーの本来の意味
ハッカーは、システムやネットワークの仕組みを深く理解し、工夫して問題を解決する高い技術力を持つ人を指します。
言葉そのものには、必ずしも悪意は含まれません。
攻撃者の代表的な分類
| 用語 | 目的・立場 | 許可 |
|---|---|---|
| ホワイトハット | セキュリティ向上、防御、診断 | 原則として組織の許可を得る |
| ブラックハット | 金銭、破壊、情報窃取など | 許可なし |
| グレーハット | 善意や問題提起を主張することがある | 無許可の場合がある |
| クラッカー | 悪意を持って不正侵入や破壊を行う者 | 許可なし |
SG試験では、細かい呼び方よりも、正当な権限があるかを確認することが重要です。
ペネトレーションテストとの関係
ペネトレーションテストでは、実際の攻撃に近い方法でシステムの弱点を調べます。
ただし、実施前に次を明確にします。
- 対象システム
- 実施期間
- 使用してよい手法
- 停止してはいけない業務
- 緊急連絡先
- 取得した情報の扱い
許可された範囲を超えて調査すると、目的が防御でも問題になります。
脆弱性を発見した後
脆弱性を見つけた場合は、無断で公開・悪用するのではなく、組織や調整機関へ適切に報告します。
このように、影響を抑えながら関係者へ報告し、修正後に公開する考え方を責任ある開示と呼びます。
国内では、JVNやIPAの脆弱性関連情報が参考になります。
どんな場面で使う？
脆弱性診断
企業の許可を得て、Webサイトやネットワークの弱点を確認します。
ペネトレーションテスト
攻撃者の視点で侵入可能性や影響を確認します。
セキュリティ監視・インシデント対応
攻撃手法への理解を、防御や原因調査に利用します。
SG試験での判断手順
問題文に高度な技術者が登場したら、次の順に確認します。
- 組織から依頼・許可を受けているか
- 許可された範囲内か
- 防御・診断・研究が目的か
- 情報窃取や破壊、金銭要求が目的か
「セキュリティ向上が目的」と書いてあっても、無許可なら適切とは限りません。
よくある誤解・混同
誤解1：ハッカーは必ず犯罪者である
誤りです。
ハッカーは本来、技術力を持つ人を表す中立的な言葉です。
誤解2：善意なら無断で侵入してもよい
誤りです。
目的が善意でも、許可なく他人のシステムへアクセスする行為は正当化されません。
誤解3：ホワイトハッカーなら何をしてもよい
誤りです。
契約やルールで定められた対象・時間・手法の範囲内で活動します。
誤解4：脆弱性を見つけたらすぐ一般公開する
必ずしも適切ではありません。
修正前に詳細を公開すると、攻撃へ悪用されるおそれがあります。まず適切な窓口へ報告し、影響を抑えることが重要です。
SG試験の判断基準
- 「高い技術力を持つ人」→ ハッカーの本来の意味
- 「許可を得て診断する」→ ホワイトハット、正当な診断
- 「善意だが無許可で侵入する」→ 適切とはいえない
- 「悪意を持って情報を盗む・破壊する」→ ブラックハット、クラッカー
- 「許可された対象を超えて調査する」→ 不適切
確認問題（SG試験対策）
次のうち、セキュリティ技術者の行動として最も適切なものはどれか。
- ア. 善意であれば、許可を得ずに他社サーバへ侵入して脆弱性を確認する。
- イ. 組織と対象・期間・手法を合意したうえで、許可された範囲の脆弱性診断を行う。
- ウ. 脆弱性を発見したら、修正前に詳細な攻撃方法を一般公開する。
- エ. ホワイトハッカーは防御側なので、契約範囲を超えて調査しても問題ない。
▶ クリックして答えと解説を見る（ここを開く）
正解：イ
解説
- ア：不適切。善意でも無許可の侵入は正当化されません。
- イ：適切。診断は事前に許可と範囲を明確にして行います。
- ウ：不適切。修正前の詳細公開は悪用につながるおそれがあります。
- エ：不適切。ホワイトハッカーも契約・許可の範囲を守ります。
👉 判断ポイント
目的だけでなく、許可と実施範囲まで確認します。
まとめ（試験直前用）
- ハッカーは本来、高い技術力を持つ人を指す中立語
- ホワイトハットは防御側、ブラックハットやクラッカーは悪意ある攻撃側
- 善意でも無許可の侵入は適切ではない
- ペネトレーションテストは対象・期間・手法を合意して行う
- 脆弱性は適切な窓口へ責任を持って報告する
- 判断軸は目的・許可・行為の3点