システム監査技術者 2013年午前2 問04

問題文

システム監査において、ペネトレーションテストが最も適合するチェックポイントはどれか。

🖊️ 解答を隠して解いてみる

ア：オフィスへの入退に、不正防止及び機密保護の物理的な対策が講じられているか。

イ：データ入力が漏れなく、重複なく正確に行われているか。

ウ：ネットワークの負荷状況の推移が記録、分析されているか。

エ：ネットワークへのアクセスコントロールが有効に機能しているか。（正解）

🔒 解説は解答すると表示されます

ペネトレーションテストは、実際に攻撃者の視点でシステムへの侵入を試み、セキュリティ対策が有効に機能しているかを確認するテストです。

ネットワークへの不正アクセスを試みて、アクセス制御を回避できないか、許可されていない利用者がアクセスできないかなどを検証します。そのため、最も適合するチェックポイントは、ネットワークへのアクセスコントロールが有効に機能しているかを確認するエです。

ア：オフィスへの入退に関する物理的な対策を確認する項目です。物理的セキュリティの監査には関係しますが、ネットワークへの侵入を試みるペネトレーションテストとは異なります。
イ：データ入力の漏れや重複、正確性を確認する項目です。業務処理や入力統制のチェックに該当します。
ウ：ネットワーク負荷の記録や分析状況を確認する項目です。ネットワークの性能管理や運用状況の監査に関する内容です。
エ：ネットワークへの不正アクセスを試み、アクセス制御が有効に機能しているかを確認する項目です。ペネトレーションテストの目的に適合します。

ネットワークに関する項目なら、どれもペネトレーションテストに該当する
ネットワークの負荷状況を記録・分析することは性能管理です。ペネトレーションテストは、攻撃を試みてセキュリティ対策の有効性を検証します。
セキュリティ対策の有無を確認するだけでよい
ペネトレーションテストでは、対策が存在するかだけでなく、実際の攻撃に対して機能するかを検証します。
物理的な侵入も必ずペネトレーションテストに含まれる
ペネトレーションテストの対象は、実施範囲によって異なります。この問題では、ネットワークへのアクセス制御が焦点です。

ペネトレーションテストは、許可された範囲で実際に攻撃を試みる点が特徴です。テストを行う際は、対象となるシステムや実施期間、許可する手法を事前に定めます。無断で実施すると、システム障害や不正アクセスとみなされるおそれがあります。

Q. 脆弱性診断とペネトレーションテストは同じですか？
A. 目的や手法が異なります。脆弱性診断は、既知の脆弱性や設定上の問題を広く調査します。ペネトレーションテストは、攻撃を試みて、実際にどこまで侵入できるかを検証します。

Q. アクセス制御とは何ですか？
A. 利用者や端末などに応じて、システムやデータへのアクセスを許可・制限する仕組みです。認証や権限設定などが含まれます。

関連キーワード: ペネトレーションテスト、アクセス制御、脆弱性診断、セキュリティ監査

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！