システム監査技術者 2015年午前2 問03

問題文

システム監査において、ペネトレーションテストが最も適合するチェックポイントはどれか。

🖊️ 解答を隠して解いてみる

ア：オフィスへの入退に、不正防止及び機密保護の物理的な対策が講じられているか。

イ：データ入力が漏れなく、重複なく正確に行われているか。

ウ：ネットワークの負荷状況の推移が記録、分析されているか。

エ：ネットワークへのアクセスコントロールが有効に機能しているか。（正解）

🔒 解説は解答すると表示されます

ペネトレーションテストは、攻撃者の視点でシステムやネットワークに侵入を試み、セキュリティ対策が有効に機能しているかを確認するテストです。

そのため、ネットワークへのアクセス制御が実際に有効かを確認するチェックポイントに最も適合します。アクセス制御の有効性を検証する項目であるエが正解です。

ア：オフィスへの物理的な入退管理
建物や施設への不正侵入を防ぐ物理的セキュリティの確認です。ネットワークへの侵入を試みるペネトレーションテストとは、主な対象が異なります。
イ：データ入力の正確性
入力データの漏れや重複、誤りを防ぐ入力統制の確認です。侵入やアクセス制御の有効性を調べるものではありません。
ウ：ネットワーク負荷の記録・分析
ネットワークの性能管理や容量管理に関する確認です。負荷の推移を分析することと、攻撃を試みて防御の有効性を検証することは別の観点です。
エ：ネットワークへのアクセス制御の有効性
ペネトレーションテストでは、許可されていないアクセスや侵入が可能かを試し、アクセス制御などのセキュリティ対策が機能しているかを確認します。この観点が最も適合します。

「ネットワークに関する項目なら、どれでも該当する」と考える
ウもネットワークに関する項目ですが、確認しているのは負荷の記録・分析です。ペネトレーションテストの目的である侵入可能性の検証とは異なります。
「ペネトレーションテストは脆弱性を探すだけ」と考える
脆弱性の発見に加えて、実際の攻撃を想定してセキュリティ対策が有効に機能するかを確認するテストです。
「物理的な侵入も、ネットワークへの侵入も同じ観点」と考える
施設への入退管理は物理的セキュリティ、ネットワークへのアクセス制御は技術的セキュリティです。対象を区別して判断します。

システム監査では、監査対象となる統制に応じて確認手続を選びます。たとえば、アクセス制御の有効性を確認するには、設定内容の閲覧だけでなく、実際に不正なアクセスが可能かを試す方法もあります。

ただし、ペネトレーションテストはシステムに影響を与える可能性があります。実施範囲や方法を事前に定め、関係者の承認を得て安全に行うことが重要です。

Q. ペネトレーションテストと脆弱性診断は同じですか？
A. 関連する手法ですが、一般に脆弱性診断は既知の脆弱性や設定不備を調べることが中心です。ペネトレーションテストは、攻撃を想定した侵入の試みを通じて、対策を突破できるかを検証します。

Q. アクセス制御とは何ですか？
A. 利用者やシステムが、どの情報や機能にアクセスできるかを制限する仕組みです。利用者認証や権限設定などが含まれます。

関連キーワード: ペネトレーションテスト、アクセス制御、脆弱性診断、セキュリティ監査、物理的セキュリティ

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！