システムの脆弱性を診断するために、実際に攻撃を仕掛けて安全性を確認する手法はどれか。

プロジェクトのコスト見積もり手法のうち、過去の類似事例のデータを基に推計する手法はどれか。