title: “レポート作成と振り返り” part: “Part 7” chapter: “7-4”
レポート作成と振り返り
本章では、総合演習の成果をレポートとしてまとめ、今後の改善に繋げるための振り返り方法を示す。
本章のゴール
- 前提：発見事項と攻撃チェーンが整理され、再現手順と証拠が揃っている。
- 到達目標：演習版レポートをテンプレートに沿って作成し、技術・プロセス・組織観点の振り返りに接続できる。
- 対応演習：付録『Pentest レポートテンプレート』をベースにレポートを作成し、レトロスペクティブの観点で次アクションを決める。
レポートの構成（演習版）
Part 3 で示したレポート構成をベースに、演習用に次のような項目を含める。
- エグゼクティブサマリ
- 演習環境の概要、実施期間、主な攻撃チェーンとリスク
- 評価範囲と前提条件
- スコーピング結果、テスト計画の要点、利用したツール
- 発見事項一覧
- 脆弱性／ミスコンフィグごとに、概要・影響度・再現手順・証拠・推奨対策
- 攻撃チェーンのまとめ
- 図やテキストでの攻撃シナリオの説明
- 学習ポイントと今後のアクション
- チームとして強化すべき領域、プロセス改善案
図7-4: レポート作成と振り返りの接続（概要）
flowchart LR
Evidence[証拠の整理\n（リクエスト/レスポンス、設定値、ログ等）] --> Findings[発見事項の整理\n（影響・再現手順・対策案）]
Findings --> Chain[攻撃チェーンの説明]
Chain --> Report[レポート提出\n（テンプレート準拠）]
Report --> Retro[振り返り\n（技術/プロセス/組織）]
Retro --> Actions[次アクション\n（改善タスク化）]
図7-4 のように、レポートは単に成果を列挙するのではなく、根拠（証拠）→説明（発見事項・攻撃チェーン）→合意（対策）までを接続する成果物として扱う。振り返りでは、次アクション（改善タスク）に落とし込み、継続的な学習と改善サイクルに接続する。
付録『Pentest レポートテンプレート』に、これに対応する Markdown テンプレートを用意し、演習参加者が直接記入できる形とする。
振り返り（レトロスペクティブ）
演習終了後には、次の観点での振り返りを行う。
- 技術的観点
- どのレイヤ（Web / API / モバイル / クラウド / インフラ）で弱点が多かったか
- どのツールやテクニックの習熟が不足していたか
- プロセス観点
- スコーピングや計画が現実に即していたか
- チーム内の役割分担やコミュニケーションに課題はなかったか
- 組織的観点（実務への転用）
- 実際のプロジェクトに適用する際の障壁（工数、権限、文化など）
- トレーニングを継続するための仕組み（定期的な演習、CTF、勉強会等）
本書の目標は、単に「演習を完了すること」ではなく、「演習を通じて組織のセキュリティケイパビリティを継続的に向上させるための基盤」を提供することである。
次に読む付録
本章のポイント
- 演習版レポートは、エグゼクティブサマリ、スコープ・前提、発見事項、攻撃チェーン、学習ポイントとアクションを含め、再現可能性を担保する。
- 付録のテンプレート（例：『Pentest レポートテンプレート』）を用いて成果物を標準化し、受講者が記入して提出できる運用を前提にする。
- 振り返りは技術・プロセス・組織の 3 観点で実施し、継続的なトレーニングと改善サイクルに接続する。