ペネトレーションテスターの仕事とキャリア。侵入テストで問われる経験とは

「脆弱性診断士とペネトレーションテスター、求人票では同じ枠に見えるんですけど、僕は何を目指せばいいんでしょうか」

面談でこの質問を受けたのは、脆弱性診断エンジニアとして3年ほど経験を積んだ方でした。この二つの職種は名前こそ似ていますが、目的も評価される力も別物です。本稿では違いを整理し、ペネトレーションテスターとして評価されるために必要な経験、未経験や脆弱性診断エンジニアからの現実的な道筋、そして僕が転職支援の現場で繰り返し見てきた失敗のパターンまでお伝えします。

0.「診断士とペンテスターって、何が違うんですか」と聞かれて

求人票を見ると「ペネトレーションテスター」という肩書きの仕事内容が、自分がやっているWebアプリケーション診断とほとんど同じに見える。でも別の求人では、明らかに違う仕事を求めている。この混乱、僕は転職支援の現場で何度も見てきました。原因ははっきりしていて、企業ごとに「ペネトレーションテスト」という言葉の使い方がバラバラだからです。ツールを使った網羅的な脆弱性診断を指す会社もあれば、人手による攻撃シナリオの再現、いわゆる本来の意味でのペネトレーションテストを指す会社もある。この記事では、後者――攻撃者視点でゴールを達成しにいく仕事――を前提に、実際の業務内容とキャリアの道筋を整理します。

1. ペネトレーションテスターとは何をする仕事か

脆弱性診断が「対象システムに存在する既知の脆弱性を、チェックリストに沿って網羅的に洗い出す」仕事だとすると、ペネトレーションテストは「特定のゴール（例：ドメイン管理者権限の奪取、機密情報の持ち出し）を実際に達成できるかどうかを、攻撃者の視点で検証する」仕事です。網羅性より再現性、件数より「そのゴールに到達する経路が現実に存在するか」が評価の軸になります。

さらに範囲を広げたのがレッドチーム演習で、こちらは技術的な侵入だけでなく、標的型メールやなりすまし電話といった人的な手口、物理侵入まで含めて、組織全体の検知・対応能力を試します。3つを並べると、目的と成果物の違いがわかりやすくなります。

求人票の肩書きだけでこの違いを判断せず、面接で「診断はチェックリスト運用ですか、それともゴール設定型ですか」と具体的に聞くことを、僕は候補者の皆さんに勧めています。実際、同じ「ペネトレーションテスター募集」という求人でも、面談してみたらツールベースの脆弱性診断業務だった、というミスマッチを何度か見てきました。入社後にギャップを感じないためにも、ここは遠慮せず確認していい部分です。

2. 実際の仕事の流れ－シナリオ設計から報告まで

案件は概ね、スコープ策定→キックオフ→偵察→侵入・権限昇格→横展開→報告書作成→報告会、という流れで進みます。僕の体感値では、期間は対象規模にもよりますが1〜3週間程度、そのうち報告書作成に充てる時間が全体の3〜4割を占めることが少なくありません。実際に侵入経路を見つける作業よりも、「なぜその経路が危険なのか」「事業影響はどの程度か」を、技術者以外にも伝わる形で言語化する作業の方に時間がかかる、というのが現場の実感です。

ある案件で、外部から侵入して社内ADのドメイン管理者権限まで到達できたケースがありました。技術的には成功でも、報告書で「この経路をどう塞げば再発しないか」まで具体的に書けなければ、お客様にとっての価値は半分しか出せていません。ペネトレーションテスターの評価は、突破できたかどうかと同じくらい、その後の説明責任で決まると考えています。

もう一つ、僕が現場で見てきた失敗として、偵察フェーズを軽く見て侵入手順に急ぐケースがあります。ある若手メンバーは、対象組織の公開情報調査（OSINT）を数時間で切り上げて侵入を試み、結局有効な糸口が見つからず期間の半分を浪費しました。偵察に案件全体の1〜2割程度の時間を意図的に確保しておくことが、結果的に近道になると僕は感じています。

3. 求められる経験とスキル－技術・言語化・倫理

技術面では、ネットワークとActive Directoryの仕組みへの理解、Python・PowerShellなどでの簡易ツール作成、Webアプリケーションの脆弱性知識が土台になります。ただ、僕が採用側から聞く「差がつくポイント」は技術力だけではありません。

• 技術スキル：ネットワーク・AD・スクリプティングの実務経験
• 言語化力：非技術者にも伝わるリスク説明と報告書作成力
• 倫理観：許可範囲を厳守し、証跡を残す規律

この3つは重ならないので、面接対策も別々に準備する必要があります。技術力はCTFやHackTheBox・TryHackMeのようなハンズオン環境での実績、言語化力は模擬報告書の提出、倫理観は「なぜその手順を踏んだか」を筋道立てて説明できるかで見られます。資格ではOSCPやGPENが実務力の証明として機能しますが、これらは「代わり」ではなく「証明の一手段」です。情報処理安全確保支援士のような国家資格は、法令や組織対応の理解を補完する位置づけで持っておくと、コンサル的な会話でも役立ちます。

言語化力について付け加えると、僕が見てきた中で評価が伸び悩む方の多くは、技術力は十分でも報告書が「攻撃手順の羅列」で終わっているケースでした。誰が読んでも意思決定できる報告書に仕上げるには、技術的な正確さだけでなく、経営層や開発チームそれぞれに向けた説明の書き分けが必要です。ここは独学だけでは伸びにくく、先輩の報告書レビューを受けられる環境を選ぶことをお勧めします。

4. 未経験・隣接職種からの現実的な道筋

僕が支援してきた中で、最も現実的だと感じるルートは脆弱性診断エンジニアからのステップアップです。診断業務で培った「脆弱性を見つける」力に、CTFやラボ環境での「侵入経路を組み立てる」訓練を積み重ねることで、1〜2年ほどでペネトレーションテスト案件にアサインされるケースを何度か見てきました。

インフラエンジニアやSOCアナリストからの転向も可能ですが、この場合は攻撃側の視点をゼロから身につける必要があるため、道のりはやや長くなる傾向があります。ある候補者は、SOC業務の傍らHackTheBoxで半年ほど演習を積み、社内で希望を伝え続けた結果、小規模案件のアシスタントから実務に入ることができました。共通しているのは、業務外の時間で「攻撃者側の手を動かす」経験を自分で作っていた点です。

一方で、未経験からいきなり求人に応募して壁にぶつかった方も見てきました。実務経験ゼロのままOSCP取得だけを目指し、資格取得後にペネトレーションテスターの求人へ応募したものの、実務未経験を理由に書類選考で止まってしまったケースです。資格は技術力の証明にはなっても、報告書作成や案件対応の経験を代替はしません。まず脆弱性診断やSOCで足場を作り、その上で攻撃側の演習実績を積み上げる方が、遠回りに見えて確実だと僕は考えています。

5. よくある失敗と、その対処

転職支援の現場で繰り返し見てきた失敗を、3つのパターンに整理しておきます。

一つ目は、前述した「偵察軽視」です。侵入手順の技術力に自信がある人ほど、対象の情報収集を省略して手を動かしたがる傾向があります。対処法はシンプルで、案件開始時にタイムボックスを切り、偵察フェーズに一定時間を確保するルールを自分の中に持っておくことです。

二つ目は「報告書の後回し」です。侵入成功に達成感を覚えて、報告書作成のモチベーションが下がってしまう。僕が見てきた中で評価が高いメンバーは、侵入と並行してメモを取り、報告書のドラフトを作りながら進めていました。作業ログをその場で残す習慣が、後工程の負荷を大きく減らします。

三つ目は「許可範囲の逸脱」です。テスト対象外のシステムに誤って触れてしまう、あるいはスコープ外の情報を持ち帰ってしまうといったミスは、信頼を一気に失うリスクがあります。契約書のスコープを毎案件必ず読み合わせる、対象外に触れた可能性がある場合は即座に報告する、という基本動作を徹底することが、長くこの仕事を続けるための土台になると僕は考えています。

6.（結論）年収相場とキャリアの分岐

年収は経験と案件の難易度に大きく左右されるため一律には言えませんが、僕が求人票や候補者の内定条件から見ている目安値で言うと、脆弱性診断エンジニアの相場より一段上、セキュリティコンサルタントと近いレンジに位置づけられることが多い印象です。インハウスで事業会社に所属するか、診断会社・コンサル会社で受託案件をこなすか、経験を積んだ後にフリーランスとして単発案件を受けるか、という3つの分岐が主なキャリアパスになります。フリーランス化は収入の上振れが見込める一方、案件の切れ目が収入の切れ目に直結するため、僕は最低でも受託経験を2〜3年積んでから検討することを勧めています。

皆さんいかがでしたでしょうか。ペネトレーションテスターは、脆弱性診断の延長線上にありながら、求められる視点と説明責任がひとまわり違う仕事です。まずは足元の診断業務やCTFでの経験を、攻撃者視点で語れる形に育てていくところから、そして今日お伝えした3つの失敗パターンを頭の片隅に置きながら、少しずつ準備を進めてみてください。では今日もがんばりましょう。