スコーピングシートテンプレート（Pentest）

本テンプレートは、Pentest 実施前に「対象範囲」「許可された手法」「連絡体制」などの合意事項を 1 枚に整理するためのフォーマットである。
演習では、このシートをベースに記入し、合意事項が後続の作業でブレない状態にする。

1. 基本情報

• 対象システム名：
• 実施期間：
• 連絡窓口（システム側）：
• 連絡窓口（評価側）：
• 緊急連絡先（障害・インシデント時）：

2. 目的とゴール

• 目的（例：リリース前評価、教育、監査対応 等）：
• ゴール（例：主要なリスクの洗い出し、攻撃チェーンの成立可否確認 等）：
• 成果物（例：レポート、PoC、ログ、学習ログ 等）：
• 参照標準と確認日（例：OWASP Top 10:2025、API Security Top 10 2023、ASVS 5.0.0、WSTG、MASVS / MASTG 等）：

3. 対象範囲（In Scope）

• 対象環境（例：本番 / 準本番 / ステージング / 演習環境）：
• 対象ドメイン / URL：
• 対象 IP / CIDR：
• 対象コンポーネント：
  • Web：
  • API：
  • モバイル：
  • クラウド / インフラ：
• 提供されるアカウント / 権限（必要な場合）：

4. 除外範囲（Out of Scope）

• 明示的に除外するドメイン / IP / 機能：
• テスト対象外の時間帯（メンテナンス等）：

5. 許可された手法 / 禁止事項

• 許可された手法（例：手動検証、限定的な自動化、認証試行 等）：
• 負荷試験（DoS 相当）の可否：
• ソーシャルエンジニアリングの有無：
• 禁止事項（例：データ破壊、権限変更、サービス停止を伴う操作 等）：
• 明示許可が必要な高リスク操作（例：DoS 相当の負荷、横展開、実認証情報の取得、外部送信、永続化 等）：

6. データ取り扱い

• 取得したデータの保存先：
• 保存期間：
• 共有範囲：
• 認証情報・鍵・トークン等の取り扱い（収集・保管・破棄）：
• 個人情報・顧客データ・機微情報のマスク方針：
• PoC / ログ / スクリーンショットに含めてよい情報と禁止情報：

7. 監視・影響時の運用

• 監視方法（例：ログ監視、アラート、連絡手順）：
• 想定される影響（例：アカウントロック、メール送信、課金増等）：
• 異常検知時の停止条件：
• 停止後の連絡・復旧・ローテーション依頼手順：