平成25年度春期 システム監査技術者 午前Ⅱ 問4

検査対象と証拠の対応を考える

検査手法の名称や印象だけで判断せず、確認したい対象から得られる証拠の性質と、手続が確かめようとする事実の関係を対応づけ、どの観点で整理すべきかを落ち着いて考えます。

この問題で問われていること

一つの観点として、各手続が直接確かめるものと、別の情報から推測するものを区別し、確認対象との対応関係に無理や飛躍がないかを丁寧に見直し、根拠のつながりを確認してください。

視点

検査手法を単独で覚えるのではなく、確認対象、得られる証拠、確かめたい事実の三者を対応づけて考えます。表面的な語句の一致ではなく、証拠がどの主張を支えるかという関係を整理すると、判断の軸を保ちやすくなります。

確認ポイント

• 確認対象と、確かめたい事実を分けて整理する
• 得られる証拠が何を支えるものかを考える
• 手続と証拠のつながりに飛躍がないか見直す

正解

エ

解説

ペネトレーションテストは、攻撃者を想定した試行を行い、ネットワークやシステムへの不正なアクセスが防止されるかを確認する手続です。そのため、ネットワークへのアクセスコントロールの有効性を確認する設問に最も適合する。

理由

ペネトレーションテストでは、許可された範囲で実際に侵入や不正アクセスを試み、アクセス制御や防御機能が有効に働くかを検証する。したがって、ネットワークへのアクセスコントロールの有効性を問うエが最も適合する。

比較

アはオフィスへの入退に関する物理的対策、イはデータ入力の正確性、ウはネットワーク負荷の記録と分析を確認する観点です。いずれも、攻撃を模したアクセス試行で直接検証する対象とは異なる。

選択肢ア

これは不正解だよ。オフィスへの入退に関する不正防止及び機密保護の物理的な対策は、入退室管理設備や運用状況を確認する物理的セキュリティの監査対象である。ネットワークへの侵入を試みてアクセス制御の有効性を確かめるペネトレーションテストとは、主な確認対象が異なる。

選択肢イ

これは不正解だよ。データ入力が漏れなく、重複なく正確に行われているかは、入力処理の正確性や業務手順、照合などを確認する観点である。攻撃を模した試行によってネットワークやシステムの防御機能を検証するペネトレーションテストの対象とは一致しない。

選択肢ウ

これは不正解だよ。ネットワークの負荷状況の推移が記録、分析されているかは、性能管理や運用監視の記録を確認するチェックポイントである。負荷の推移を記録しているかどうかは、実際の侵入を試みてアクセス制御の有効性を調べる手続とは異なる。

選択肢エ（正解）

これは正解だよ。ネットワークへのアクセスコントロールが有効に機能しているかは、許可されていないアクセスを試み、その防止状況を確認するペネトレーションテストで検証しやすい。攻撃を模した実地の確認内容と、設問のチェックポイントが直接対応している。

学習のポイント

監査手続の特徴と、各チェックポイントの確認対象を対応付ける。