システムテストの監査で確かめるべきチェックポイント
情報セキュリティマネジメント試験 2022年 サンプル問題 問35 ／ システム監査 › システム監査
過去問にチャレンジ
システムテストの監査におけるチェックポイントのうち，最も適切なものはどれか。
- ア
テストケースが網羅的に想定されていること
- イ
テスト計画は利用者側の責任者だけで承認されていること
- ウ
テストは実際に業務が行われている環境で実施されていること
- エ
テストは利用者側の担当者だけで行われていること
会話形式の解説
講師今回は、システムテストを監査するときにどこを確認すべきかを選ぶ問題です。システムテストとは、完成したシステムがシステム要件を満たしているかを確かめるテストのことです。
受験者選択肢には、テストケース、計画の承認者、テスト環境、テストをする人が並んでいますね。どこから考えればよいですか。
講師まずはシステムテストの目的を押さえましょう。目的は、要件定義で決めた機能や能力が備わっているかを確かめることです。この目的に合うかどうかで各選択肢を見ていきます。
受験者要件を確かめるのが目的なら、テストケースが網羅的に想定されていることは大事そうです。
講師その通りです。テストケースは、システムの要求事項を漏れなくカバーするように設定します。正常な処理だけでなく、異常時の条件も含めます。
受験者網羅できていないと、確かめていない要件が出てしまうからですね。
講師はい。そこに漏れがあると要件の確認が不十分になるので、監査で確認する点として適切です。これが正解です。
受験者実際に業務が行われている環境でテストするという選択肢も、本番に近くて確実に思えます。
講師そこは迷いやすいところです。テスト環境は、本番環境、つまり実際の業務で使っている環境から切り離して用意します。
受験者本番環境でテストすると、何がまずいのですか。
講師テスト中の誤った処理やデータが、本番業務に影響するおそれがあります。そのため、本番環境でのテストは不適切です。
受験者残りの2つは、テスト計画の承認もテストの実施も利用者側の人だけで行う、という内容でした。利用者の目で見るのは良いことだと思いましたが。
講師利用者側が関わること自体は正しいです。問題は「だけ」と一方に限っている点です。テスト計画は、開発とテストの責任者が承認するものです。
受験者利用者側だけで承認すると、計画を実行する開発側の確認が抜けてしまうのですね。
講師そうです。テストの実施も同じで、開発側が中心になって行い、開発の当事者以外の人も加わります。利用者側の担当者も参加しますが、利用者側だけで行うものではありません。
受験者整理すると、正解はテストケースの網羅性で、本番環境でのテストは不適切。「だけ」と関係者を絞る選択肢は役割の偏りを疑う、ということですね。
講師はい。補足すると、テスト結果は利用者・開発・運用・保守のそれぞれの責任者が承認します。計画の承認と結果の承認では関わる範囲が違うので、分けて覚えると混同しにくくなります。
まとめ
システムテストの目的は、要件定義で決めた機能や能力が備わっているかを確かめることです。そのため、テストケースが要求事項を網羅し、異常時の条件も含んでいるかは、監査で確認すべき点になります。テスト環境は本番業務に影響しないよう本番環境から切り離して用意し、テスト計画は開発とテストの責任者が承認します。利用者側もテストに加わりますが、利用者側だけで行うものではありません。「〜だけで」と関係者を一方に限る選択肢は、役割の偏りがないかを疑って確かめます。
解答・解説
正解はアです
この問題のテーマ
システムテスト（完成したシステムがシステム要件を満たしているかを確かめるテスト）の監査で、何を確認すべきかを問う問題です。テストケースの網羅性、計画の承認者、テスト環境、テストに加わる人の4つの観点が並んでいます。
解き方の考え方
まず、システムテストの目的を確かめます。目的は、要件定義で決めた機能や能力が備わっているかを確かめることです。次に、各選択肢を「本番業務に影響を与えないか」「開発側と利用者側の役割が偏っていないか」という観点で照らします。最後に、「だけ」のように関係者を一方に限る表現がないかを確認します。
選択肢ごとの解説
- ○ア テストケースが網羅的に想定されていることアは、テストケースが網羅的に想定されていることを確認するという内容です。システムテストでは、システムの要求事項を漏れなくカバーするようにテストケースを設定します。正常な処理だけでなく、異常時の条件も想定に含めます。網羅性が欠けると要件の確認に漏れが出るため、監査で確認する点として適切です。したがって、アが正解です。
- ×イ テスト計画は利用者側の責任者だけで承認されていることイは、テスト計画を利用者側の責任者だけが承認するという内容です。テスト計画は、開発とテストの責任者が承認するものです。利用者側の責任者も計画を確認しますが、承認者を利用者側だけに限ると、計画を実行する開発側の確認が抜けます。そのため、イは不適切です。
- ×ウ テストは実際に業務が行われている環境で実施されていることウは、実際に業務が行われている環境でテストするという内容です。テスト環境は、本番環境（実際の業務で使っている環境）から切り離して用意します。本番環境でテストすると、誤った処理やデータが本番業務に影響するおそれがあるからです。したがって、ウは不適切です。
- ×エ テストは利用者側の担当者だけで行われていることエは、利用者側の担当者だけでテストを行うという内容です。システムテストには利用者側の担当者も加わるべきですが、利用者側だけで実施するものではありません。テストは開発側が中心となって行い、開発の当事者以外の人も加わることが求められます。そのため、エは不適切です。
補足
テスト結果は、利用者・開発・運用・保守のそれぞれの責任者が承認します。計画の承認と結果の承認では関わる責任者の範囲が違うため、分けて覚えると混同を防げます。
POINT
- システムテストのテストケースは、システムの要求事項を網羅し、異常時の条件も含めて設定します。
- テスト環境は本番環境から切り離し、本番業務に影響を与えないようにします。
- テスト計画は、開発とテストの責任者が承認します。
- 利用者側の担当者もテストに加わりますが、利用者側だけで行うものではありません。
- 「〜だけで」と関係者を一方に限る選択肢は、役割の偏りがないかを疑って確かめます。