平成29年度 プロジェクトマネージャ試験 午前II 問25

正解：エ

AI解説

ペネトレーションテスト(侵入テスト)は、ファイアウォールや公開サーバに対して攻撃者と同じ手法で実際に侵入を試み、システムに侵入できるか(脆弱性が悪用可能か)を確認するテストである。「実際に攻撃・侵入を試行して防御を検証する」ことが判断基準で、エが該当する。 ア: 暗号方式や鍵長が設計仕様どおりかを確認するのは、設計・実装の仕様適合性確認(セキュリティレビュー)であり、侵入の試行ではない。 イ: 入力に対する出力が仕様と一致するかの確認は、一般の機能テストの説明である。 ウ: 単位時間当たりの処理可能セッション数の確認は、性能テスト(負荷テスト)の説明である。 エ: 正しい。ファイアウォールや公開サーバに実際に侵入を試み、侵入できないかどうかを確認するのがペネトレーションテストである。 💡 「ペネトレーション=貫通・侵入」。脆弱性診断がツールで弱点を洗い出すのに対し、ペネトレーションテストは攻撃者視点で実際に侵入を試みる点まで踏み込む、という違いも押さえておくとよい。