システム適格性確認テスト・受入れテストとは？しすてむてきかくせいかくにんてすと・うけいれてすと
システム適格性確認テストは供給者（開発側）がシステム要件への適合と納入可否を評価するテスト、受入れテストは取得者（発注側）が利害関係者の要件と実際の業務での適合性を確認するテスト。誰が主体かで区別する。支援士では、セキュリティ要件をこの両段階でどう確認するか、つまり脆弱性診断の実施と、その結果を受入れ基準にどう組み込むかが問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
納入後に脆弱性が見つかると、修正費用を誰が持つかで発注側と開発側が争いになる。受入れ基準に「診断で高リスクの指摘が残っていないこと」を書いておけば、納入前に開発側が自ら確認し、発注側も同じ基準で受け入れられる。支援士のシラバスは、委託先からの成果物の確認をセキュリティの観点から指導・助言することを支援士の業務として挙げている。
具体例
IPAの「非機能要求グレード」はセキュリティ要件を発注時に数値で書く型を示している。開発側はOWASP ZAPなどで診断してから適格性確認テストの結果に添えて納入し、発注側は自社の担当者が実業務のシナリオで操作しながら、診断結果と受入れ基準を突き合わせて受入れの可否を判断する。
試験での引っ掛け
誰が主体かで区別する。適格性確認は開発側、受入れは顧客側。受入れテストは運用環境で運用部門が行う運用テストとも別物。開発側の診断結果をそのまま受入れの根拠にせず、発注側が基準に照らして確認するのが受入れであり、確認を省いた受入れは取得者の責任放棄になる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。