レビュー（ウォークスルー・インスペクション）とは？

レビュー（ウォークスルー・インスペクション）の意味

設計書や成果物を関係者で読み合わせ、誤りや漏れを早い段階で見つける活動。作成者中心で気軽に行うものと、進行役を置いて記録を残す公式なものがあり、早く見つけるほど手戻りが小さくなる点が問われる。指摘した内容は記録に残して追跡する。

レビュー（ウォークスルー・インスペクション）の具体例

個人情報を扱う新システムの設計書を、情報システム部と法務・利用部門の担当者で読み合わせた。アクセス権限の記載漏れと、保存期間が規程と矛盾している箇所がその場で見つかり、開発着手前に修正できた。指摘は一覧表にして修正まで管理した。

レビュー（ウォークスルー・インスペクション）は試験でどう引っ掛けられる？

作成者を評価する場ではなく、成果物の欠陥を見つける場である点が問われる。人事評価と結び付けると指摘が出なくなる。テストで見つけるより前の工程で潰すほうが、修正の費用は小さい。

レビュー（ウォークスルー・インスペクション）と関連する用語

• システム開発プロセス（要件定義・設計・実装・テスト・運用）
• セキュリティバイデザイン

レビュー（ウォークスルー・インスペクション）が出た過去問

• サービスマネジメントシステムにPDCA方法論を適用するとき，Actに該当するものはどれか。

  正解：サービスマネジメントシステム及びサービスのパフォーマンスを継続的に改善するための処置を実施する。

  要点：Actは点検結果を受けて継続的改善の処置を実施する段階

  PDCAサイクルのAct（処置・改善）は、Checkでの監視・測定・レビューの結果を踏まえ、仕組みやサービスを継続的に改善するための処置を実施する段階である。ここでの改善が次のPlanへつながっていく。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問41（IPA）

• データの生成から入力、処理、出力、活用までのプロセス、及び組み込まれているコントロールを、システム監査人が書面上で又は実際に追跡する技法はどれか。

  正解：ウォークスルー法

  要点：ウォークスルー法はデータの流れと統制を追跡する技法

  ウォークスルー法は、監査人がデータの生成から入力・処理・出力・活用までの流れを、書面上または実際の処理に沿って一件ずつ追跡し、組み込まれた統制が意図どおり機能しているかを確かめる技法である。処理の全体像と統制の実在性を確認できる点が特徴である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から、改善が必要な状況はどれか。

  正解：正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。

  要点：教育対象は雇用形態を問わず情報を扱う全員

  JIS Q 27002は、意識向上・教育・訓練の対象を「組織の全ての従業員、及び関連する場合は契約相手」としており、雇用形態にかかわらず組織の情報を扱う者は対象に含まれる。正規従業員と同じ業務に就く派遣従業員だけを教育から外せば、その部分が情報セキュリティの弱点になる。攻撃者は最も守りの薄いところを突くため、教育対象に穴を作らないことが重要である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）

• 社内ネットワークとインターネットの接続点に，ステートフルインスペクション機能をもたない，静的なパケットフィルタリング型のファイアウォールを設置している。このネッ…

  正解：PC→SMTPサーバ：送信元1024以上／宛先25，SMTPサーバ→PC：送信元25／宛先1024以上

  要点：SMTPはサーバ側25番、クライアント側は1024以上の動的ポート

  TCPでは、クライアントは1024以上のポートを送信元として使い、サーバの決められたポートに宛てて接続する。SMTPのサーバ側ポートは25なので、行きのパケットは送信元が1024以上・宛先が25、戻りのパケットはその逆になる。ステートフルインスペクションがないため、戻り方向の通信も明示的に許可する必要がある。なお110はPOP3のポートである。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問18（IPA）

• JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者が承認する必要がある

  ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）