情報処理安全確保支援士試験 令和5年度 春期 午前II 問22

【正解】エ

ペネトレーションテストは、攻撃者の立場で実際の攻撃手法を試し、機器やシステムへ侵入できるかを確認するテストです。IoT機器では、通常のネットワーク接続だけでなく、機器内部の通信バス、保守用ポート、デバッグインタフェースなども攻撃経路になります。これらに存在する脆弱性を利用し、不正な情報の読出し、認証の回避、制御の奪取などが可能かを検証するエが適切です。

アの説明は誤りです。仕様書どおりにシステム全体が動作するかを確認するのは、結合テストやシステムテストなどの機能・動作確認です。攻撃による侵入可能性を確認するペネトレーションテストではありません。

イの説明は誤りです。回路図やソースコードなど、内部構造を参照して仕様との整合性を確認するのは、ホワイトボックステストやレビューに当たります。内部情報を使う場合でも、攻撃や侵入を試みなければペネトレーションテストとはいえません。

ウの説明は誤りです。温度や湿度を変化させて動作や耐久性を確認するのは、環境試験又は信頼性試験です。物理的な使用環境への耐性を評価するもので、セキュリティ上の侵入可能性を調べる試験ではありません。

【ポイント】 脆弱性診断が弱点の発見を主眼とするのに対し、ペネトレーションテストは弱点を実際に悪用できるかまで検証します。 実施時は、対象範囲、許可する攻撃手法、実施時間、復旧手順を事前に定める必要があります。