平成27年度春期 システム監査技術者 午前Ⅱ 問3

適用対象を見極める視点整理

テスト手法を考えるときは、名称や印象だけで判断せず、何を確かめるための活動なのか、対象となる範囲や確認の目的がどこに置かれているのかを整理して、丁寧に考えましょう。

この問題で問われていること

選択肢を読む際は、テストが向けられる対象と、そこで確認しようとしている内容の対応関係に注目し、手法そのものの細部ではなく、適用先との整合性を一つの軸で比べてください。

視点

手法を名称だけで覚えず、確認の目的、対象の範囲、実施する段階の関係を整理して捉えると、適用対象を考えるための土台になります。

確認ポイント

• 何を確認する活動か
• 対象の範囲はどこか
• 目的と対象が整合しているか

正解

エ

解説

ペネトレーションテストは、攻撃者を想定してネットワークやシステムへの侵入を試み、アクセス制御などのセキュリティ対策が有効に機能しているかを検証する。したがって、ネットワークへのアクセスコントロールを確認するチェックポイントが最も適合する。

理由

ペネトレーションテストは、実際の攻撃を想定した侵入試験によって、ネットワークやシステムの脆弱性、認証、認可、アクセス制御などが有効に機能しているかを調べる。アクセス制御の有効性は、このテストの目的と直接一致する。

比較

入退室管理は物理的セキュリティ、データ入力の正確性は入力管理、ネットワーク負荷の推移は性能や運用状況の管理に関する確認です。これらはペネトレーションテストが直接検証する侵入防止機能とは異なる。

選択肢ア

これは不正解だよ。オフィスへの入退に関する不正防止や機密保護の物理的対策は、入退室管理や施設の物理セキュリティを確認する項目です。ペネトレーションテストが主に対象とする、ネットワークやシステムへの侵入可能性の検証とは焦点が異なります。

選択肢イ

これは不正解だよ。データ入力が漏れなく、重複なく正確に行われているかは、入力処理の正確性や完全性を確認するチェックポイントです。攻撃者を想定してネットワークやシステムへの侵入を試み、セキュリティ対策の有効性を調べるペネトレーションテストとは目的が異なります。

選択肢ウ

これは不正解だよ。ネットワークの負荷状況の推移を記録、分析しているかは、性能監視や運用管理に関するチェックポイントです。負荷の変化を把握することは重要ですが、攻撃を想定して侵入の可否や防御機能を確かめるペネトレーションテストの直接的な対象ではありません。

選択肢エ（正解）

これは正解だよ。ネットワークへのアクセスコントロールが有効に機能しているかは、攻撃者を想定して侵入を試みるペネトレーションテストによって直接検証できる事項です。認証や認可などの制御を突破できないかを確認し、セキュリティ対策の実効性を評価します。

学習のポイント

監査手続とチェックポイントの目的を対応付け、ペネトレーションテストの対象を理解する。