CREST、AI活用型ペネトレーションテスト認定の第1期認定企業を発表

サイバーセキュリティ業界団体のCRESTは、ペネトレーションテストサービスにおけるAIの責任ある利用を認める新設の認定資格を10社に付与しました。

このAI活用型ペネトレーションテスト認定(AI-Enabled Penetration Testing accreditation)は、CRESTの既存のペネトレーションテスト認定基準に2026年7月に統合された新たな任意モジュールです。

第1期の認定プロバイダーには、欧州、インド、米国にまたがる企業が名を連ねています。

• Closed Door Security Ltd
• ImmuniWeb
• JUMPSEC Ltd
• Packetlabs
• Pentesys
• REDSECLABS Private Ltd
• Risk Associates
• SECNORA OÜ
• Solusec Ltd
• Thoropass Inc.

新たなAI基準により、AIを日常業務に積極的に統合している認定プロバイダーは、独立した評価を受け、責任あるセキュアなAIガバナンスを顧客や規制当局に対して正式に証明できるようになります。

この新モジュールは標準的な会員資格には影響しませんが、AIを利用するプロバイダーが自社の取り組みを検証し、信頼性という付加的な保証を得るための手段となります。

ペネトレーションテストにおけるAI活用：業界での採用と責任ある統合

英国とUAEを拠点とするCREST会員企業、Closed Door SecurityのCEOであるウィリアム・ライト氏は、ペネトレーションテストに対するAIの影響を強調し、AIは「セキュリティチームがより効率的に規模を拡大して業務を行い、脆弱性をより迅速に特定するのに役立っている」と述べました。

「しかし、AIは適切に管理される必要があります。Closed Door Securityは、この技術が安全に導入され、組織のセキュリティに真に貢献し向上させることを保証する、AI活用型ペネトレーションテストの認定を受けたCRESTの第1期メンバーの一員となれたことを誇りに思います」と同氏は付け加えました。

カナダを拠点とするCREST会員企業、Packetlabsの運用担当バイスプレジデントであるデニス・クチニッチ氏も同意見です。「AIはPacketlabsのようなセキュリティプロバイダーにとって革命的な存在となるでしょう。しかし、それが責任を持って導入・利用されていることを顧客や業界全体に保証することが不可欠です。CRESTのような認定機関は、まさにそれを実現する手助けをしてくれます。独立した検証可能な基準があれば、プロバイダーは自主的な約束を具体的な保証によって裏付けることができます」。

CRESTのCEOであるニック・ベンソン氏は、今回のAI関連項目の追加により、サイバーセキュリティ業界が「AIに関する議論や原則の段階から、独立した保証を伴う責任ある導入の段階へと移行する」助けになると述べました。

CRESTのAI原則と憲章が責任ある導入を後押し

AI活用型ペネトレーションテスト認定モジュールの開始に先立ち、2026年3月にはCRESTの「ペネトレーションテストにおけるAI」レポートが発表されていました。

同レポートによると、サイバーセキュリティプロバイダーの4分の3以上(76%)が過去1年間でAIの利用を増やしており、69%がすでに日常のサービス提供にAIを組み込んでいることが分かりました。

このレポートを受けて、CRESTは3月にAI原則(AI Principles)を発表し、6月にはAI憲章(AI Charter)を公表しました。この憲章には100社を超えるサイバーセキュリティ組織が公に署名しています。

画像提供：CREST / Matt Fowler KC / Shutterstock.com