システム監査技術者 2020年 午前2 問04
問題文
システム監査において、ペネトレーションテストが最も適合するチェックポイントはどれか。
選択肢
ア：オフィスへの入退室に、不正防止及び機密保護の物理的な対策が講じられているか。
イ：データ入力が漏れなく、重複なく正確に行われているか。
ウ：ネットワークの負荷状況の推移が記録、分析されているか。
エ：ネットワークへのアクセスコントロールが有効に機能しているか。（正解）
🔒 解説は解答すると表示されます
ペネトレーションテスト【午前2解説】
正解の理由
ペネトレーションテストは、攻撃者の視点でシステムやネットワークに侵入を試み、セキュリティ上の弱点や防御機能の有効性を確認するテストです。
したがって、ネットワークへのアクセス制御が実際に機能しているかを確かめるエが最も適合します。設定の有無を確認するだけでなく、侵入を試みて制御を突破できないかを検証する点がポイントです。
解法ステップ
- ペネトレーションテストの目的を確認します。
攻撃を模擬して、システムやネットワークの防御状況を確かめるテストです。 - 選択肢から、攻撃や不正アクセスへの対策を直接確認する項目を探します。
- ネットワークのアクセス制御の有効性を確認するエを選びます。
選択肢別の誤答解説
- ア：オフィスの入退室に関する物理的セキュリティのチェックです。施設への不正侵入を防ぐ対策を確認するもので、ネットワークへの侵入を試みるテストとは異なります。
- イ：データ入力の漏れや重複、正確性を確認するチェックです。入力統制に関する監査項目です。
- ウ：ネットワーク負荷の記録や分析状況を確認するチェックです。性能や運用状況の管理に関する項目で、侵入耐性の検証ではありません。
- エ：ネットワークへのアクセス制御が機能しているかを確認します。攻撃を模擬して不正アクセスの可否を検証するペネトレーションテストに最も適しています。
よくある誤解
- セキュリティに関係する項目なら、どれもペネトレーションテストに当てはまる
物理的な入退室管理などもセキュリティ対策ですが、ペネトレーションテストは主にシステムやネットワークへの侵入を試みて検証します。 - アクセス制御の設定を確認すれば、ペネトレーションテストになる
設定の確認だけでなく、攻撃を模擬して実際に制御が機能するかを試す点が重要です。 - テストで侵入できなければ、脆弱性は存在しない
テストした範囲や方法で問題が見つからなかったことを示すもので、脆弱性が一切ないことの保証にはなりません。
補足コラム
ペネトレーションテストは、英語の「penetration（侵入）」に由来します。実際の攻撃者を想定して侵入を試みるため、脆弱性の有無だけでなく、アクセス制御や監視・対応体制がどの程度機能するかも確認できます。テストの対象や実施方法を適切に定めて行うことが大切です。
FAQ
脆弱性診断とペネトレーションテストは同じですか？
同じではありません。脆弱性診断は既知の脆弱性などを調べることが中心です。一方、ペネトレーションテストは攻撃を模擬し、実際に侵入できるかや、目的を達成できるかを検証します。
同じではありません。脆弱性診断は既知の脆弱性などを調べることが中心です。一方、ペネトレーションテストは攻撃を模擬し、実際に侵入できるかや、目的を達成できるかを検証します。
ペネトレーションテストはネットワーク以外にも行いますか？
はい。Webアプリケーションやクラウド環境なども対象になり得ます。対象や手法は、テストの目的に応じて決めます。
はい。Webアプリケーションやクラウド環境なども対象になり得ます。対象や手法は、テストの目的に応じて決めます。
関連キーワード: システム監査、ペネトレーションテスト、アクセス制御、脆弱性診断、セキュリティテスト
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！