平成30年度 秋期 午前 問59

✓ これが正解エネットワークへのアクセスコントロールが有効に機能しているか。

解説

侵入を試して防御が働くか確かめます。

システム監査で、ペネトレーションテストがいちばん合う着眼点を選ぶ問いです。この言葉は貫く、入り込むという意味で、攻撃する側と同じ手口で実際に入り込めるかどうかを試す技法を指します。確かめているのは、書類の上に規程があるかどうかではなく、防御が実際に働いているかどうかです。ですから、通信の入口で誰を通し誰を止めるかという制御が、きちんと効いているかを見る着眼点に当たります。この技法でしか分からないことを考えると、性格がはっきりします。規程は整っていて設定も書面のとおり、それでも実際には素通りできてしまうことがあります。設定の漏れ、機器を買ったままの初期の合言葉、想定していなかった抜け道といったものです。書面をいくら読んでも出てこない穴を、実際に突いて見つけるところに、この技法の値打ちがあります。対策したという記録は、効いていることの証拠にはなりません。見分けの軸は二つあります。確かめる相手が通信の経路なのかということと、見ているのが防御なのか、それとも正確さや性能なのかということです。

ほかの選択肢はなぜ違うのか

• アオフィスへの入退室に，不正防止及び機密保…：確かめる相手が建物であり、監査では現地を見て回ったり、出入りの記録を突き合わせたりして調べます。広い意味では物理的な侵入も試験の対象になりますが、この試験で問われるのは通信を経由する側です。
• イデータ入力が漏れなく，重複なく正確に行わ…：抜けも重なりもなく正しく入っているかという、正確さについての着眼点です。あらかじめ用意したデータを流して結果を確かめる技法や、記録どうしの突き合わせで調べるもので、入り込めるかとは関わりません。
• ウネットワークの負荷状況の推移が記録，分析…：同じ通信という言葉が入っているので最も紛れますが、見ているのは混み具合の移り変わり、つまり性能です。容量が足りているかを測る話であり、守りが破られるかどうかを試して確かめるものではありません。