説明
侵入テストは、実際の攻撃をシミュレートし、アプリケーション サーバーの脆弱性と弱点を悪用するため、アプリケーション サーバーのセキュリティ制御のギャップを特定するのに最も有効な方法です。侵入テストでは、セキュリティ制御のギャップの実際の影響とリスクを明らかにし、修復と改善のための推奨事項を提供できます。
参考資料: CISMレビューマニュアル2023では、侵入テストを「悪意のあるソースからの攻撃をシミュレートして情報システムまたはネットワークのセキュリティを評価する方法」と定義し、次のように述べています。
「侵入テストは、セキュリティ管理のギャップを特定し、ギャップの潜在的な影響とリスクの証拠を提供するのに役立ちます」（185ページ）。CISMレビュー問題、回答、および解説マニュアル2023では、この回答の根拠として次のことも示しています。「侵入テストは、実際の攻撃をシミュレートし、アプリケーションサーバーの脆弱性と弱点を悪用し、修復と改善の推奨事項を提供するため、アプリケーションサーバーのセキュリティ管理のギャップを特定する最も有用な方法であるため、正解です」（95ページ）。さらに、Web検索結果4には、「侵入テストは、アプリケーションサーバーとネットワークインフラストラクチャのセキュリティギャップを発見するための貴重なツールです」と記載されており、
「侵入テストは、セキュリティ制御の有効性と効率性を評価し、改善または強化が必要な領域を特定するのに役立ちます」（p. 1）。

説明/参照:
Explanation:
リスク評価プロセスは継続的であり、確立されたプロセスを変更する場合は、新しいリスク評価を含める必要があります。SAS 70 レポートのレビューと脆弱性評価はリスク評価の構成要素となる場合がありますが、どちらも単独では十分なデューデリジェンスにはなりません。