情報セキュリティマネジメント 2017年 春期 午前（科目A） 問37

例外・異常ケースの検証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の目的を確認：監査のチェックポイントは「欠陥やリスクを見つけられるか」が中心であると認識する。
2. 各選択肢を「監査が重視する観点」で評価する：網羅性、独立性、環境の安全性、テスト内容。
3. 正常系だけでなく異常系（例：不正入力、通信断、リソース枯渇）の検証があるかを基準に選ぶ。
4. 結果として、異常・例外系を想定したテストを含む エ を選ぶ。

選択肢別の誤答解説

• ア: テスト計画は事前に利用者側の責任者だけで承認されていること
  • 誤り。承認は重要ですが、「利用者だけ」では偏りが出ます。開発側や品質保証（QA：Quality Assurance）担当、運用担当など関係者の合意と文書化が必要です。監査では誰が承認したかだけでなく、承認者の関与範囲や合意内容も確認します。
• イ: テストは実際に業務が行われている環境で実施されていること
  • 誤り。実運用（本番）環境で直接テストするのはリスクがあります。ステージング環境（本番に近い検証用環境）で本番と同等の条件を再現してテストするのが一般的です。本番でのテストは最小限かつ厳格な制御（窓口、バックアップ、ロールバック手順）下でのみ行うべきです。
• ウ: テストは独立性を考慮して、利用者側の担当者だけで行われていること
  • 誤り。「独立性」とは、テスト実施者が結果に影響されないことを意味しますが、利用者だけで行うのは独立性に反します。独立したテストチームや第三者評価が望ましく、利用者はユーザー受入（UAT：User Acceptance Test）などで関わるのが適切です。
• エ: 例外ケースや異常ケースを想定したテストが行われていること
  • 正解。異常系テストにより、エラーハンドリング、障害時の安全性、情報漏えい防止、データ保全などが確認でき、監査で重視されます。監査人は異常時のログや復旧手順の検証痕跡（テスト結果・証跡）を求めます。

よくある誤解

• 「テストは本番でやれば一番正確」
  • 本番でのテストは現実的ですがリスクが大きいです。代わりに本番に近いステージング環境で行い、問題が無ければ慎重に本番投入します。
• 「ユーザーが確認すれば十分」
  • ユーザー確認は重要ですが、独立したテストと組み合わせることでバイアスを減らし、品質やセキュリティを高められます。
• 「正常に動けばテスト完了」
  • 正常系だけではエラー・攻撃・例外時の挙動が不明瞭です。異常系テストを行わないと重大な欠陥を見落とします。

補足コラム

• テスト計画書に「正常系」「異常系」「境界値」「性能」「セキュリティ」などのテスト項目を明記する。
• 各テストケースに対して期待結果と実施結果を記録し、担当者がサイン（電子署名可）する。
• ステージング環境の構成図、テストデータの作成・消去手順、復旧（ロールバック）手順を用意する。
• 異常時のログ出力やエラーメッセージが適切か、個人情報が誤って表示/流出しないかも確認する。
  監査人はこれらの文書と実行痕跡（ログ、結果報告）を確認します。短く言えば、「どう試したか」「何が起きたか」「どう対処したか」が記録されていることが重要です。

FAQ