VAPT กับ Penetration Testing ต่างกันอย่างไร

VAPT ย่อมาจาก Vulnerability Assessment and Penetration Testing เป็นคำที่ใช้ในการจัดซื้อเพื่อสั่งงานทั้งสองอย่างพร้อมกัน ไม่ใช่เทคนิคการทดสอบแยกต่างหาก

ไม่ใช่ Penetration Testing เป็นเพียงครึ่งหนึ่งของ VAPT อีกครึ่งหนึ่งคือ Vulnerability Assessment ซึ่งครอบคลุมระบบได้กว้างกว่ามากแต่ไม่ลงมือเจาะใช้ช่องโหว่ เอกสารประกวดราคาที่ระบุว่า VAPT มักต้องการทั้งสองอย่าง

โดยทั่วไปควรเริ่มจาก Vulnerability Assessment เพราะช่วยให้เห็นว่าช่องโหว่กระจุกตัวอยู่ที่ใด และทำให้กำหนดขอบเขต Penetration Testing ได้จากความเสี่ยงจริงแทนการคาดเดา แต่หากเป็นการเปิดใช้งานแอปพลิเคชันใหม่เพียงตัวเดียว การทำ Penetration Testing อย่างเดียวมักเหมาะสมกว่า

ขึ้นอยู่กับกรอบมาตรฐาน PCI DSS กำหนดให้ทำ Penetration Testing อย่างน้อยปีละครั้งและเมื่อมีการเปลี่ยนแปลงสำคัญ โดยผู้ให้บริการต้องทดสอบการแบ่งแยกเครือข่ายถี่กว่านั้น ส่วน MAS Technology Risk Management ข้อกำหนดของ OJK และแนวทางความเสี่ยงด้าน ICT ของธนาคารแห่งประเทศไทย ต่างกำหนดความคาดหวังของตนเอง โดยทั่วไป Vulnerability Assessment จะทำบ่อยกว่า Penetration Testing มาก