令和2年度 10月 システム監査技術者試験 午前Ⅱ 問4

解説

ペネトレーションテストとは，実際に攻撃者が用いるような手法を用いて，対象システムやネットワークに疑似的に侵入を試み，セキュリティ上の脆弱性や防御機構の有効性を実地に検証する監査技法である。ネットワークへのアクセスコントロールが，想定どおりに不正アクセスを防止できているかどうかを検証するチェックポイントに最も適合する。物理的な入退室対策，データ入力の正確性，ネットワーク負荷の監視状況は，いずれも実際に侵入を試みて確認する性質のものではなく，他の監査技法（実地調査，データ照合，ログ分析など）で確認すべき事項である。

選択肢ごとの解説

• ア誤り。オフィスへの入退室に関する物理的対策の状況は，現地視察や記録確認などによって検証すべき事項であり，ペネトレーションテストが最も適合するチェックポイントではありません。
• イ誤り。データ入力の網羅性・正確性は，入力データとソース資料の照合など，データ検証の技法によって確認すべき事項です。
• ウ誤り。ネットワークの負荷状況の推移は，監視ログの記録・分析状況の確認によって検証すべき事項です。
• エ正しい。ネットワークへのアクセスコントロールが有効に機能しているかどうかは，実際に侵入を試みて検証するペネトレーションテストが最も適合するチェックポイントです。