情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問39

ウォークスルー法【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で注目すべき語句を見つける：「生成から入力、処理、出力、活用まで」「追跡する技法」など。
2. それが「流れ（トレーサビリティ）を辿る」ことを示していると判断する。
3. 選択肢の意味を一つずつ当てはめる：
   • インタビュー：聞き取りであり、実際の処理追跡とは異なる。
   • ウォークスルー：処理を実際に辿って統制を確認する。 ← 該当
   • 監査モジュール：システム上のログ収集や監査用ソフトの手法。
   • ペネトレーション：攻撃シミュレーションでトレーサビリティ確認ではない。
4. 最も一致するものを選ぶ（ウォークスルー）。

選択肢別の誤答解説

• ア: インタビュー法
  • インタビュー法は関係者に口頭で質問して業務や統制を把握する方法です。説明や口頭の手順は得られますが、実際にデータや画面を遡って確認する「追跡」そのものではありません。聞き取りだけでは証跡が不十分な場合があります。
• イ: ウォークスルー法
  • 正答。取引やデータをサンプルに取り、書面（設計書、フローチャート）と実地（システム操作、帳票確認）で起点から終点まで辿り、実際にどのコントロールが働くかを確認します。監査証拠として有力です。
• ウ: 監査モジュール法
  • 監査モジュール（audit module）法は、システム内部に監査用のモジュールやログ機能を用意して継続的に取引を捕捉・監視する技術です。ウォークスルーのように個々の取引を手で辿るわけではなく、自動的な監視・抽出が中心です。目的は異なります。
• エ: ペネトレーションテスト法
  • ペネトレーションテスト（penetration test：侵入テスト）は、攻撃者の視点で脆弱性を見つけるセキュリティ試験です。システムの弱点発見が目的で、処理フローの追跡や統制の動作確認とは性質が違います。

よくある誤解

• ウォークスルーは「口頭での説明」だと誤解しやすい。実際は書面と実地の双方で取引を追跡して証拠を得る手法です。
• 監査モジュールとウォークスルーを混同する。監査モジュールは自動収集・監視、ウォークスルーは個別の取引追跡です。
• ペネトレーションテストを「監査の一部で処理の追跡もする」と思うのは誤り。攻撃シミュレーションが中心で、トレーサビリティ確認は主目的ではありません。

補足コラム

• 1. 対象となる業務プロセスとサンプル取引を決める（例：経費精算の1件）。
• 1. 初期書類（申請書）から始めて、承認、入力、処理、出力（支払通知・帳票）まで一つずつ文書とシステム画面を確認する。
• 1. 各段階で「どの担当者が、どの権限で、どの統制（承認、照合、整合性チェック等）が働くか」をメモ・証拠化する。
• 1. 不整合や統制の抜けがあれば、改善提案や追加検査（サンプリング）を行う。

FAQ