平成29年度 春期 システム監査技術者試験 午前Ⅱ 問21

解説

ペネトレーションテストとは，実際に攻撃者が用いる手法を模して，ファイアウォールや公開サーバなどに侵入できないかどうかを実際に試みることによって，システムのセキュリティ上の弱点を検証するテストである。暗号方式や鍵長が設計仕様と一致することの確認は暗号実装の適合性検証，プログラムの入出力結果が出力仕様と一致することの確認は機能テスト，ファイアウォールが単位時間当たりに処理できるセッション数の確認は性能テスト（負荷テスト）であり，いずれもペネトレーションテストには該当しない。

選択肢ごとの解説

• ア誤り。暗号化で使用している暗号方式と鍵長が設計仕様と一致することを確認することは，暗号実装に関する適合性の検証であり，ペネトレーションテストには該当しません。
• イ誤り。対象プログラムの入力に対する出力結果が出力仕様と一致することを確認することは，機能テストの説明であり，ペネトレーションテストには該当しません。
• ウ誤り。ファイアウォールが単位時間当たりに処理できるセッション数を確認することは，性能テスト（負荷テスト）の説明であり，ペネトレーションテストには該当しません。
• エ正しい。ファイアウォールや公開サーバに侵入できないかどうかを確認することが，ペネトレーションテストに該当します。