ペネトレーションテストやサイバーセキュリティの分野において、不正システムアクセスの経験を持つコンサルタントを雇用することは、リスクとメリットの両方をもたらす可能性があります。リスク管理の観点から、候補者2の不正システムアクセスの履歴は重大な危険信号です。このような過去の行動は、法的および倫理的境界線を逸脱する行動を厭わない姿勢を示しており、特に信頼関係の構築と法的ガイドラインの遵守が求められる職務においては、企業とその顧客にリスクをもたらす可能性があります。
しかし、不正アクセスを可能にしたスキルこそが、ハッカーの手口に関する深い洞察を企業にもたらし、そのような侵入からシステムを保護する能力を高める可能性を秘めています。サイバーセキュリティ業界では、ハッキング経験のある人材を、彼らが貢献できる役割、いわゆる「倫理的ハッキング」または「ホワイトハット」の役割に採用することが一般的です。
しかしながら、サイバーセキュリティ業務に内在する法的および倫理的責任を考慮すると、候補者2の不正システムアクセスに関する過去の刑事告発は、この職務に最も関連しており、会社の業務と評判に最も直接的なリスクをもたらします。採用を決定する前に、不正アクセスの性質、候補者のその後の行動、更生、そして現在の能力を含め、徹底的なリスク評価を実施することが不可欠です。
提供された情報から判断すると、候補者2は、刑事告発が当該職務に直接関連しているため、選考対象から除外される可能性が高いと考えられます。更生の証拠と明確な倫理基準の実証がなければ、法的責任リスクが企業にとっての潜在的な利益を上回る可能性があります。

テスト対象のアプリケーションが既にマルウェアに感染していることが判明した場合、評価を中止し、契約書に定められた報告手順に従うことが最善の対応策です。評価を継続すると、進行中の調査や侵害証拠の収集に支障をきたす可能性があるためです。報告手順は契約書に定められており、侵入テスト実施中に発生した重大な問題やインシデントへの対応方法を規定しています。連絡先、提供すべき情報、実施すべき手順などの詳細が記載されている必要があります。

説明
この画像は、TCP および UDP プロトコルのアクティブなインターネット接続を表示する netstat -antu コマンドの出力を示しています。出力から、ホスト上に確立済みの TCP 接続が 4 つと、待機中の UDP 接続が 2 つあることがわかります。確立済みの TCP 接続のローカル アドレスには、49152、49153、49154、49155 などの大きな番号のポートが割り当てられています。これらのポートは、アプリケーションやプロセスが一時的に使用するためにオペレーティング システムによって動的に割り当てられるエフェメラル ポートの範囲内にあります。これらの接続の外部アドレスも、4433、4434、4435、4436 などの大きな番号のポートです。これらのポートは、一般的なサービスやプロトコルでは、よく知られたポートでも登録済みのポートでもありません。ローカル アドレスと外部アドレスの両方に大きな番号のポートが使用されている場合、これらの接続は疑わしく、ホストにバックドアまたは隠れチャネルが存在する可能性を示唆しています。したがって、侵入テスターは次にこれらの接続を調査し、その性質と目的を判断する必要があります。その他のオプションは、現段階では侵入テスターにとって適切なアクションではありません。

免責事項とは、テスト活動によって予期せぬ結果や損害が発生した場合に、ペネトレーションテスターとクライアントの責任を制限する声明です。両者の役割と責任を明確にし、法的紛争や誤解を避けるために、免責事項をテスト範囲文書に含める必要があります。サービスアカウント、テスターの経験、テスト回数などはテスト範囲文書の必須要素ではありませんが、ペネトレーションテストプロセスの他の側面に関連する場合があります。参考資料：『公式CompTIA PenTest+学習ガイド（試験PT0-002）』第1章：ペネトレーションテストの計画とスコープ設定1、『公式CompTIA PenTest+受講者ガイド（試験PT0-002）』第1章：ペネトレーションテストの計画とスコープ設定2、『ペネトレーションテストのスコープとは？』3