令和2年度10月 システム監査技術者 午前Ⅱ 問4

監査手法を見分ける基本の視点

システム監査の検査手法を考えるときは、名称や印象ではなく、監査人が何を確かめるために、どの対象からどのような証拠を得ようとしているかという目的との対応に注目します。

この問題で問われていること

一つの観点として、各手法が確認しようとする対象と、そこで得られる証拠の性質が、監査上の目的にどう結び付くかを問題文の記述から整理し、手法名ではなく目的との対応に注目してください。

視点

検査手法は、監査で確かめたい目的と、そこから得られる証拠の関係に着目して整理すると、場面との対応を落ち着いて考えられます。

確認ポイント

• 監査で確かめたい目的を捉える
• 得られる証拠が何を示すか考える
• 目的と証拠の対応関係を確認する

正解

エ

解説

ペネトレーションテストは、攻撃者の立場からシステムへの侵入や不正利用を試み、セキュリティ対策の有効性を検証する。したがって、ネットワークへの接続を制御する仕組みが実際に機能しているかを確認するチェックポイントが最も適合する。

理由

ペネトレーションテストは、攻撃者を想定してシステムやネットワークへの侵入を試みる実践的なテストです。その結果から、アクセス制御などのセキュリティ対策が有効に機能しているかを確認する。

比較

入退室の物理対策は物理的セキュリティ、入力の漏れや重複はデータの正確性、負荷状況の記録と分析は性能管理に関する確認です。これらは侵入可能性を試すペネトレーションテストの主対象とは異なる。

選択肢ア

これは不正解だよ。内容はオフィスへの入退室に関する物理的な対策の確認であり、入退室管理や機密保護設備を対象とする。攻撃者がネットワークなどへ侵入できるかを試してアクセス制御の有効性を確かめるペネトレーションテストとは、確認対象の領域が異なる。

選択肢イ

これは不正解だよ。内容はデータ入力が漏れなく、重複なく、正確に行われているかを確認するもので、入力処理やデータの完全性に関するチェックポイントである。不正な侵入や利用を試みてセキュリティ対策を検証するペネトレーションテストの対象とは異なる。

選択肢ウ

これは不正解だよ。内容はネットワークの負荷状況の推移を記録し、分析しているかを確認するもので、性能や運用管理に関するチェックポイントである。攻撃者を想定して侵入や不正利用への対策を試験するペネトレーションテストとは目的が異なる。

選択肢エ（正解）

これは正解だよ。内容はネットワークへのアクセスコントロールが有効に機能しているかを確認するものである。ペネトレーションテストでは、攻撃者を想定して侵入や不正利用を試みるため、接続や利用を制御するセキュリティ対策の実効性を検証するチェックポイントとして最も適合する。

学習のポイント

監査手法の名称だけでなく、試験する対象と確認する統制の種類を対応付けて判断する。