システムテストの監査におけるチェックポイント｜情報セキュリティマネジメント 令和4年 サンプル問題 問35

システムテストでは、システム全体が要求どおりに動作するかを確認するために、必要なテストケースが漏れなく想定されていることが重要です。正常系だけでなく、異常系や境界値なども含めて十分に検証できるようにします。

1. テスト計画は、開発責任者及びテスト責任者が承認する。これにより、テストの目的、範囲、体制、スケジュール、判定基準を明確にする。
2. システム要求事項を網羅するように、テストケースを設定する。要求された機能や性能、セキュリティ要件などが確認対象から漏れないようにする。
3. テストデータの作成及びシステムテストは、テスト計画に基づいて実施する。場当たり的にテストするのではなく、あらかじめ決めた手順や条件に従って行う。
4. システムテストは、本番環境と隔離された環境で行う。本番データの破損や本番業務への影響を防ぐためである。
5. システムテストには、開発当事者以外の者も参画する。開発者だけで確認すると見落としが生じやすいため、客観的な確認を行う。
6. 適切なテスト手法及び標準を使用する。機能テスト、性能テスト、障害テスト、セキュリティテストなど、目的に応じた方法で確認する。
7. テスト結果は、ユーザー部門、開発部門、運用部門及び保守部門の責任者が承認する。システムが業務上問題なく利用でき、運用・保守にも支障がないことを確認する。
8. システムテストの経過及び結果は、記録し保管する。不具合の内容、対応状況、再テスト結果、承認記録などを残し、後から確認できるようにする。

本問では、「監査におけるチェックポイント」として適切かどうかを考えます。テストケースが網羅的に想定されていることは、テストの十分性を確認する重要な監査ポイントなので、アが適切です。

❌他選択肢が誤りの理由
イ：テスト計画は利用者側の責任者だけで承認されていること
⇒「利用者側の責任者だけ」で承認することが適切とは限りません。システムテストでは、開発側や関係部門なども含め、必要な関係者による確認・承認が求められます。

---

ウ：テストは実際に業務が行われている環境で実施されていること
⇒実際の業務が行われている本番環境でテストすると、業務データの破損やサービス停止などの影響を与えるおそれがあります。原則として、本番環境とは分離された適切なテスト環境で実施します。

---

エ：テストは利用者側の担当者だけで行われていること
⇒利用者側の担当者だけで実施することが適切とは限りません。システムテストでは、必要に応じて開発側や運用側など関係者が参加し、役割を分担して検証することが重要です。

---