(57)【要約】【課題】  従来の方法では、監査に掛かる労力の軽減は十分ではなく、大規模な組織全体に対する監査を行うことは困難であることによる。【解決手段】  被監査者が被監査者端末１０２より監査証拠情報の入力を行い、監査サーバ１０１の監査実施手段１０８は、監査計画書Ａ２１５に基づき人材管理ＤＢ２１２より任意に被監査者を抽出し、監査計画書Ｂ２１６を作成する。監査員が監査員端末１０３により、監査結果通知書２１９、監査報告書２２０の作成を行い、監査部門が監査部門端末１０４より、監査項目票２０９の作成、監査計画の確認、監査報告書２２０のまとめ等を行い、管理者が管理者端末１０５より、監査結果通知書２１９の確認等を行い、被監査者が監査証拠収集装置１０６より、監査証拠を収集する。【選択図】      図２
2005063339.tif 000002
【特許請求の範囲】
【請求項１】
被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納し、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示する前記監査実施手段を備える監査サーバを有することを特徴とするセキュリティ監査支援システム。
【請求項２】
監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納する監査実施手段、および、前記データベースの確認情報を表示する監査評価手段を備える監査サーバを有することを特徴とするセキュリティ監査支援システム。
【請求項３】
監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納する監査実施手段、および、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示する監査評価手段を備える監査サーバを有することを特徴とするセキュリティ監査支援システム。
【請求項４】
記憶装置内に監査項目票、データベース、第１の監査計画書を作成する監査準備手段、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する監査実施手段、および、被監査組織を抽出し、監査員を抽出する監査評価手段を備える監査サーバと、
前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う被監査者端末と、
監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う監査員端末と、
監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行う監査部門端末と、
管理者の操作により監査結果通知書の表示を行う管理者端末と、
被監査者の操作により監査証拠を収集する監査証拠収集装置と、
前記監査サーバ、前記被監査者端末、前記監査員端末、前記監査部門端末、前記管理者端末、前記監査証拠収集装置を接続するネットワークと、
を有することを特徴とするセキュリティ監査支援システム。
【請求項５】
監査サーバが、被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納するステップと、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示するステップとを含むことを特徴とするセキュリティ監査支援方法。
【請求項６】
監査サーバが、監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納するステップと、前記データベースの確認情報を表示するステップとを含むことを特徴とするセキュリティ監査支援方法。
【請求項７】
監査サーバが、監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納するステップと、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示するステップとを含むことを特徴とするセキュリティ監査支援方法。
【請求項８】
監査サーバが、記憶装置内に監査項目票、データベース、第１の監査計画書を作成する第１のステップ、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する第２のステップ、および、被監査組織を抽出し、監査員を抽出する第３のステップと、
被監査者端末が、前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う第４のステップと、
監査員端末が、監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う第５のステップと、
監査部門端末が、監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行うステップと、
管理者端末が、管理者の操作により監査結果通知書の表示を行うステップと、
監査証拠収集装置が、被監査者の操作により監査証拠を収集するステップと、
を含むことを特徴とするセキュリティ監査支援方法。
【請求項９】
被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納するステップと、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示するステップとをコンピュータに実行させることを特徴とするセキュリティ監査支援プログラム。
【請求項１０】
監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納するステップと、前記データベースの確認情報を表示するステップとをコンピュータに実行させることを特徴とするセキュリティ監査支援プログラム。
【請求項１１】
監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納するステップと、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示するステップと、をコンピュータに実行させることを特徴とするセキュリティ監査支援プログラム。
【請求項１２】
記憶装置内に監査項目票、データベース、第１の監査計画書を作成する第１のステップ、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する第２のステップ、および、被監査組織を抽出し、監査員を抽出する第３のステップと、
前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う第４のステップと、
監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う第５のステップと、
監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行うステップと、
管理者の操作により監査結果通知書の表示を行うステップと、
被監査者の操作により監査証拠を収集するステップと、
をコンピュータに実行させることを特徴とするセキュリティ監査支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ監査支援システム、セキュリティ監査支援方法、および、セキュリティ監査支援プログラムに関し、特に、セキュリティ監査の労力を軽減するセキュリティ監査支援システム、セキュリティ監査支援方法、および、セキュリティ監査支援プログラムに関する。
【背景技術】
【０００２】
従来、情報セキュリティ水準の維持、向上には、組織として統一され明文化された情報セキュリティポリシーの策定、導入、運用、評価・見直等の情報セキュリティ管理プロセスを繰返し実施する必要がある。情報セキュリティ水準は組織全体での維持、向上が求められ、一部の規則違反は組織全体の水準を低下させ脅威を生み出す原因となる。組織全体のセキュリティ水準の維持、向上には教育が有効とされるが、必要な教育を受け、所望の知識水準に達している場合であっても、情報セキュリティポリシーが遵守されるとは限らない。情報セキュリティポリシーの遵守状況の確認には監査が有効であり、その対象を組織全体とする必要がある。
【０００３】
組織全体に対する監査を行うためには監査に掛かる労力の軽減が必要となる。監査の準備作業、まとめ作業は、従来、ツール等を活用した自動化が行われている。
【０００４】
また、ネットワークを活用し、監査側および被監査側が面接しないで監査を実施する方法が提案されている。（たとえば、特許文献１）
【０００５】
【特許文献１】特開２００２−３７３２４５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来の技術の問題点は、監査に掛かる労力の軽減が十分ではなく、大規模な組織全体に対する監査を行うことは困難であることである。
【０００７】
その理由は、監査において必須の作業であり、実施に多くの労力を要する作業の一つである監査証拠収集、確認作業に掛かる労力の軽減が考慮されていないためである。
【０００８】
本発明の目的は、画像（動画、静止画）収集機能、ＧＰＳ（Global Positioning System）機能等を備えた監査証拠収集装置を利用し、監査証拠の確認情報を収集しつつ、監査証拠を被監査者自らが収集すること、監査証拠確認時に複数の監査証拠をまとめて表示することにより、監査証拠収集、確認に掛かる労力を軽減することにより、大規模な組織全体に対するセキュリティ監査を容易にするセキュリティ監査支援システムを実現することである。
【課題を解決するための手段】
【０００９】
本発明の第１のセキュリティ監査支援システムは、被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納し、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示する前記監査実施手段を備える監査サーバを有することを特徴とする。
【００１０】
本発明の第２のセキュリティ監査支援システムは、監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納する監査実施手段、および、前記データベースの確認情報を表示する監査評価手段を備える監査サーバを有することを特徴とする。
【００１１】
本発明の第３のセキュリティ監査支援システムは、監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納する監査実施手段、および、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示する監査評価手段を備える監査サーバを有することを特徴とする。
【００１２】
本発明の第４のセキュリティ監査支援システムは、記憶装置内に監査項目票、データベース、第１の監査計画書を作成する監査準備手段、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する監査実施手段、および、被監査組織を抽出し、監査員を抽出する監査評価手段を備える監査サーバと、前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う被監査者端末と、監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う監査員端末と、監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行う監査部門端末と、管理者の操作により監査結果通知書の表示を行う管理者端末と、被監査者の操作により監査証拠を収集する監査証拠収集装置と、前記監査サーバ、前記被監査者端末、前記監査員端末、前記監査部門端末、前記管理者端末、前記監査証拠収集装置を接続するネットワークと、を有することを特徴とする。
【００１３】
本発明の第１のセキュリティ監査支援方法は、監査サーバが、被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納するステップと、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示するステップとを含むことを特徴とする。
【００１４】
本発明の第２のセキュリティ監査支援方法は、監査サーバが、監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納するステップと、前記データベースの確認情報を表示するステップとを含むことを特徴とする。
【００１５】
本発明の第３のセキュリティ監査支援方法は、監査サーバが、監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納するステップと、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示するステップとを含むことを特徴とする。
【００１６】
本発明の第４のセキュリティ監査支援方法は、監査サーバが、記憶装置内に監査項目票、データベース、第１の監査計画書を作成する第１のステップ、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する第２のステップ、および、被監査組織を抽出し、監査員を抽出する第３のステップと、被監査者端末が、前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う第４のステップと、監査員端末が、監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う第５のステップと、監査部門端末が、監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行うステップと、管理者端末が、管理者の操作により監査結果通知書の表示を行うステップと、監査証拠収集装置が、被監査者の操作により監査証拠を収集するステップと、を含むことを特徴とする。
【００１７】
本発明の第１のセキュリティ監査支援プログラムは、被監査者に入力された監査証拠情報により、監査計画書を作成し、記憶装置のデータベースに格納するステップと、前記監査計画書に従い、要求項目を任意に選択し、ネットワークを介して被監査者に対し監査証拠の収集を指示するステップとをコンピュータに実行させることを特徴とする。
【００１８】
本発明の第２のセキュリティ監査支援プログラムは、監査証拠収集装置のＧＰＳ機能により監査証拠の収集場所、監査証拠の収集時刻を監査証拠の確認情報として記憶装置のネットワークを介して取得しデータベース装置に格納するステップと、前記データベースの確認情報を表示するステップとをコンピュータに実行させることを特徴とする。
【００１９】
本発明の第３のセキュリティ監査支援プログラムは、監査証拠収集装置により収集した被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像をネットワークを介して受取り、記憶装置のデータベースに格納するステップと、前記データベース内の被監査者の識別情報、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印、セキュリティ管理プロセスの実施状況、または、セキュリティ管理プロセスの実施状況の連続した画像を表示するステップと、をコンピュータに実行させることを特徴とする。
【００２０】
本発明の第４のセキュリティ監査支援プログラムは、記憶装置内に監査項目票、データベース、第１の監査計画書を作成する第１のステップ、前記第１の監査計画書に基づき前記データベースより任意に被監査者を抽出し、第２の監査計画書を作成し、前記第２の監査計画書を送信する第２のステップ、および、被監査組織を抽出し、監査員を抽出する第３のステップと、前記第２の監査計画書を受信し被監査者の操作により監査証拠情報の入力を行う第４のステップと、監査員の操作により監査証拠を表示し、監査結果通知書、監査報告書の作成を行う第５のステップと、監査部門の人員の操作により監査項目票の作成、監査計画書の表示、監査報告書のまとめを行うステップと、管理者の操作により監査結果通知書の表示を行うステップと、被監査者の操作により監査証拠を収集するステップと、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００２１】
第１の効果は、監査証拠収集作業に掛かる労力の軽減ができることである。
【００２２】
その理由は、被監査者自らが監査証拠を収集する構成とするからである。
【００２３】
第２の効果は、監査証拠確認作業に掛かる労力の軽減ができることにある。
【００２４】
その理由は、複数の監査証拠の確認が同時に行えるからである。
【００２５】
第３の効果は、監査証拠の偽造、被監査者同士が口裏をあわせることを防止できることである。
【００２６】
その理由は、監査証拠の収集をセキュリティ監査支援システムが指示する任意の順番で行うからである。
【００２７】
第４の効果は、監査証拠の確認可能日時、確認可能場所が多岐に渡る場合であっても、監査証拠の収集、確認が行えることにある。その理由は、被監査者があらかじめ申告した曜日、時間帯、場所にもと付き、セキュリティ監査支援システムが、監査証拠収集日時、場所の指定を行い、その指示にもと付き被監査者が監査証拠の収集を行うためである。
【００２８】
第５の効果は、大規模な組織全体に対する監査を容易に行えることである。
【００２９】
その理由は、監査において必須の作業であり、実施に多くの労力を要する作業の一つである監査証拠収集、確認作業に掛かる労力の軽減が可能となるからである。
【００３０】
第６の効果は、組織全体のセキュリティ水準の向上、維持ができることである。
【００３１】
その理由は、組織全体に対する監査を行うこと、被監査者自らが監査証拠の収集を行うことにより、内部統制に反する行動を防止する牽制効果が発揮されるからである。
【発明を実施するための最良の形態】
【００３２】
次に、本発明の第１の最良の形態について図面を参照して詳細に説明する。
【００３３】
図１は、本発明の第１の最良の形態の構成を示すブロック図である。
【００３４】
図１を参照すると、本発明の１の最良の形態のセキュリティ監査支援システムは、監査準備手段１０７、監査実施手段１０８、監査評価手段１０９、および、記憶装置３００を含む監査サーバ１０１と、被監査者が監査証拠情報の入力を行う被監査者端末１０２と、監査員が監査証拠を確認し、監査結果通知書２１９（後述）、監査報告書２２０（後述）の作成を行う監査員端末１０３と、監査部門が、監査項目票２０９（後述）の作成、監査計画書の確認、監査報告書２２０（後述）のまとめ等を行う監査部門端末１０４と、管理者が監査結果通知書２１９（後述）の確認等を行う管理者端末１０５と、被監査者が監査証拠を収集する監査証拠収集装置１０６と、監査サーバ１０１、被監査者端末１０２、監査員端末１０３、監査部門端末１０４、管理者端末１０５、および、監査証拠収集装置１０６を相互に接続するネットワーク１１０とから構成される。さらに、監査証拠収集装置１０６とネットワーク１１０と間は一部、無線ネットワーク１１１であってもよい。
【００３５】
監査サーバ１０１は、主記憶、中央演算装置、ハードディスク装置、表示装置、入出力装置を備えたサーバ型のコンピュータである。また、監査サーバ１０１は、ＯＳ（Operating System）と、暗号機能およびアクセス・操作履歴取得機能および個人認証機能を持ったＷＥＢサーバ２０１（world wide WEB）と、暗号機能および通信記録取得機能を持った電子メールサーバ２０２とを有する。また、監査サーバ１０１は、監査準備手段１０７、監査実施手段１０８、監査評価手段１０９を有し、監査準備手段１０７、監査実施手段１０８、監査評価手段１０９が使用するデータを管理し、このデータに対し許可されたアクセス以外を排除する機能を有している。
【００３６】
被監査者端末１０２は、主記憶、中央演算装置、ハードディスク装置、表示装置、入出力装置を備えたパーソナルコンピュータであり、ＯＳと、暗号機能および個人認証機能を持ったＷＥＢブラウザ２０３（後述）と、暗号機能を持った電子メールクライアント２０４（後述）とを有し、監査証拠情報の入力を行うことができる。
【００３７】
監査員端末１０３は、主記憶、中央演算装置、ハードディスク装置、表示装置、入出力装置を備えたパーソナルコンピュータであり、ＯＳと、暗号機能および個人認証機能を持ったＷＥＢブラウザ２０３（後述）と、暗号機能を持った電子メールクライアント２０４（後述）とを有し、監査証拠を確認し監査結果通知書２１９（後述）、監査報告書２２０（後述）の作成を行うことができる。
【００３８】
監査部門端末１０４は、主記憶、中央演算装置、ハードディスク装置、表示装置、入出力装置を備えたパーソナルコンピュータであり、ＯＳと、暗号機能および個人認証機能を持ったＷＥＢブラウザ２０３（後述）と、暗号機能を持った電子メールクライアント２０４（後述）とを有し、監査項目票２０９（後述）の作成、監査計画書の確認、監査報告書２２０（後述）のまとめ等を行うことができる。
【００３９】
管理者端末１０５は、主記憶、中央演算装置、ハードディスク装置、表示装置、入出力装置を備えたパーソナルコンピュータであり、ＯＳと、暗号機能および個人認証機能を持ったＷＥＢブラウザ２０３（後述）と、暗号機能を持った電子メールクライアント２０４（後述）とを有し、監査結果通知書２１９（後述）の確認等を行うことができる。
【００４０】
監査証拠収集装置１０６は、可搬（携帯）型端末であり、暗号機能および個人認証機能を持ったＷＥＢブラウザ２０３（後述）と、暗号機能を持った電子メールクライアント２０４（後述）とを有し、監査証拠（動画）を収集する機能、収集した監査証拠を監査サーバ１０１に送付する機能を持つ。
【００４１】
さらに、監査サーバ１０１は、ＧＰＳ機能により、監査証拠の収集場所、監査証拠の収集時刻を取得できる。
【００４２】
記憶装置３００は、ハードウェアディスク、メモリ等から構成され、各種データベース等を格納する。
【００４３】
図２は、監査サーバ１０１、監査員端末１０３、監査部門端末１０４、管理者端末１０５、被監査者端末１０２、および、監査証拠収集装置１０６の詳細を示すブロック図である。
【００４４】
図２を参照すると、監査サーバ１０１の記憶装置３００は、監査項目票２０９、情報資産管理ＤＢ２１０（データベース；Data Base）、内部監査員管理ＤＢ２１１、人材管理ＤＢ２１２、所在地管理ＤＢ２１３、監査調書管理ＤＢ２１４、監査計画書Ａ２１５、監査計画書Ｂ２１６、監査計画書Ｃ２１７、監査計画書Ｄ２１８、監査結果通知書２１９、および、監査報告書２２０を格納する。
【００４５】
また、監査員端末１０３、監査部門端末１０４、管理者端末１０５、被監査者端末１０２、および、監査証拠収集装置１０６は、ＷＥＢブラウザ２０３、および、電子メールクライアント２０４を含む。
【００４６】
図３は、監査準備手段１０７の動作を示すフローチャートである。
【００４７】
図３を参照すると、監査部門の人員は、監査準備手段１０７（たとえば、入力されたデータに基づいてデータベースを作成するデータベースソフトウェアの機能を含む）を利用し、監査項目票２０９（要求事項、情報資産属性、役職属性等の情報）、情報資産管理ＤＢ２１０（名称、情報資産属性等）、内部監査員管理ＤＢ２１１（氏名、所属組織名等）、人材管理ＤＢ２１２（氏名、所属組織名、役職、管理・利用情報資産名称、認証情報等）、所在地管理ＤＢ２１３（住所、組織名、ビル名、階名、部屋名）を作成する（図３ステップＳ０１）。
【００４８】
監査部門の人員は、図示しない他のシステムのデータベースを利用してもよい。
【００４９】
次に、監査準備手段１０７は、組織の総人数、内部監査員の人数、監査証拠収集装置１０６の数等の情報をもとに監査計画書Ａ２１５（並行監査実施人数、監査調書確認周期等）を作成する。監査準備手段１０７は、データ入力画面を表示し、操作者によりその画面に入力されたデータに基づいてあらかじめ定められたフォーマットで監査計画書Ａ２１５を作成する。さらに、監査部門の人員は、監査準備手段１０７により表示される監査計画書Ａ２１５の確認、調整を行う（ステップＳ０２）。
【００５０】
次に、監査実施手段１０８の動作について図面を参照して説明する。
【００５１】
図４は、監査実施手段１０８の動作を示すフローチャートである。
【００５２】
図４を参照すると、監査実施手段１０８は、監査計画書Ａ２１５に基づき人材管理ＤＢ２１２より任意に被監査者を抽出し、監査計画書Ｂ２１６（監査概要、監査期間Ａ（ステップＳ１２〜ステップＳ１３の実施期間）、監査期間Ｂ（ステップＳ１４〜ステップＳ１５の実施期間）、監査期間Ｃ（ステップＳ１６〜ステップＳ１８の実施期間））を作成し、抽出した被監査者の被監査者端末１０２に対し監査計画書Ｂ２１６を通知（たとえば、電子メールにて送付）する（図４ステップＳ１１）。
【００５３】
次に、被監査者は、監査計画書Ｂ２１６を受け、被監査者端末１０２より、監査サーバ１０１へ接続（ＷＥＢサーバ２０１へアクセス）する。監査実施手段１０８は、被監査者の氏名をキーに人材管理ＤＢ２１２より管理・利用情報資産名称を抽出し、抽出した管理・利用情報資産名称をキーに情報資産管理ＤＢ２１０より情報資産属性を抽出する。次に、監査実施手段１０８は、抽出した情報資産属性と、監査項目票２０９の情報資産属性とを比較し、一致する監査項目票２０９の要求事項を全て抽出し、被監査者の氏名とともに、監査調書管理ＤＢ２１４（氏名、要求事項）に保存する。さらに、監査実施手段１０８は、被監査者の氏名をキーに人材管理ＤＢ２１２より役職を抽出し、抽出した役職と、監査項目票２０９の役職属性とを比較し、一致する監査項目票２０９の要求事項を全て抽出し、被監査者の氏名、所属組織名とともに、監査調書管理ＤＢ２１４（氏名、所属組織名、要求事項）に保存する。続けて、監査実施手段１０８は、被監査者に対し被監査者の名前をキーに監査調書管理ＤＢ２１４の要求事項を１件ずつ抽出し、抽出した要求事項の遵守状況の確認を行う（たとえば、確認画面を表示する）。
【００５４】
被監査者は、前記要求事項の遵守状況の回答（肯定／否定）を行い（たとえば、確認画面に回答を入力する）、監査実施手段１０８は、前記要求事項の遵守状況の回答を監査証拠情報として監査調書管理ＤＢ２１４（要求事項遵守状況）に保存する。さらに、監査実施手段１０８は、被監査者に対し監査調書管理ＤＢ２１４の要求事項に対する監査証拠の種別（書類、電子ファイル、セキュリティ管理プロセスの実施状況（静的な状態を映した画像）、セキュリティ管理プロセスの実施状況（行動を映した画像））、監査証拠撮影の可否、監査証拠撮影可能曜日（月〜金、複数選択可）・時間帯（午前、午後、夜、複数選択可）、監査証拠撮影場所（ビル名、階名、部屋名）、監査証拠撮影不可の場合の理由の確認を行う。
【００５５】
被監査者は、監査証拠の種別、監査証拠撮影の可否、監査証拠撮影可能曜日・時間帯、監査証拠撮影場所、監査証拠撮影不可の場合の理由を含む入力情報を監査実施手段１０８に入力する。
【００５６】
監査実施手段１０８は、前記入力情報を監査証拠情報として監査調書管理ＤＢ２１４（監査証拠情報（監査証拠の種別、監査証拠撮影の可否、監査証拠撮影可能曜日・時間帯、監査証拠撮影場所、監査証拠撮影不可の場合の理由））に保存する（ステップＳ１２）。
【００５７】
図６は、監査実施手段１０８によりステップＳ１２において表示される画面を示す説明図である。
【００５８】
図６を参照すると、質問と回答の選択肢とが画面に表示される。
【００５９】
次に、監査実施手段１０８は、被監査者の氏名をキーに監査調書管理ＤＢ２１４の監査証拠情報より監査証拠撮影の可否が可の監査証拠撮影場所を全て抽出し、監査証拠撮影場所のリスト（同種情報の配列）とし、監査計画書Ａ２１５の監査期間Ｂとともに、監査計画書Ｃ２１７（監査期間Ｂ、監査証拠撮影場所のリスト）を作成し、被監査者に通知（電子メールにて送付）する（ステップＳ１３）。
【００６０】
なお、監査証拠撮影場所が所定の数を超える場合は、抽出した全ての監査証拠撮影場所の中から所定の数分の監査証拠撮影場所を任意に選択する。
【００６１】
次に、被監査者は、監査計画書Ｃ２１７の通知を受け、被監査者端末１０２より、監査サーバ１０１へ接続（ＷＥＢサーバ２０１へアクセス）する。監査実施手段１０８は、監査計画書Ｃ２１７が示す監査期間Ｂの間、被監査者が監査計画書Ｃ２１７により示される監査証拠撮影場所に所在する日・時間帯を選択するよう被監査者に要求する（たとえば、画面に表示する）。
【００６２】
被監査者は、監査期間Ｂの間、被監査者が監査証拠撮影場所に所在する日・時間帯を選択し、監査実施手段１０８は、監査計画書Ａ２１５の監査期間Ｃとともに、選択結果を監査計画書Ｄ２１８（監査期間Ｃ、監査証拠撮影場所および監査証拠撮影日・時間帯の組のリスト）として保存する（ステップＳ１４）。
【００６３】
監査実施手段１０８は、監査計画書Ｃ２１７が示す監査証拠撮影場所のリストが終了するまでステップＳ１４を繰り返す。
【００６４】
次に、監査実施手段１０８は、監査計画書Ｄ２１８を被監査者に通知（電子メールにて送付）する（ステップＳ１５）。次に、監査実施手段１０８は、被監査者の人名をキーに人材管理ＤＢ２１２より所属組織名を抽出し、抽出した所属組織名をキーに所在地管理ＤＢ２１３４よりビル名、階名、部屋名を抽出し、監査証拠収集装置１０６の宛先情報として出力する。監査部門の人員は、監査証拠収集装置１０６の宛先情報に含まれる住所に、監査証拠収集装置１０６を送付する。
【００６５】
次に、監査実施手段１０８は、監査計画書Ｄ２１８が示す監査証拠撮影日・時間帯に、監査証拠収集装置１０６を介し被監査者に監査開始を通知（電子メールにて送付）する。被監査者は、監査証拠収集装置１０６を介し被監査者自身の認証情報（指紋、顔の画像等）を監査サーバ１０１へ送信（電子メールにて送付）する。監査実施手段１０８は、監査証拠収集装置１０６を介して取得した被監査者の認証情報（指紋、顔の画像等）と人材管理ＤＢ２１２の認証情報とを比較し、被監査者の個人認証を行う（ステップＳ１６）。
【００６６】
次に、監査実施手段１０８は、被監査人の氏名、監査計画書Ｄ２１８が示す監査証拠撮影場所、および、監査証拠撮影日・時間帯をキーに監査調書管理ＤＢ２１４より一致する要求項目を１件ずつ抽出し、被監査者に対し抽出した要求項目の監査証拠の収集を指示（電子メールにて送付）する（ステップＳ１７）。なお、一致する要求項目が所定の数を超える場合は、一致する要求項目の中から所定の数分の要求項目を任意に選択する。監査実施手段１０８は、監査証拠収集装置１０６が持つＧＰＳ機能により、監査証拠の収集場所、監査証拠の収集時刻を取得し、監査調書管理ＤＢ２１４（監査証拠確認情報（監査証拠収集場所、監査証拠収集時刻））に保存する。
【００６７】
次に、被監査者は、監査証拠収集装置１０６にて、要求された要求項目の監査証拠を収集する。被監査者は、監査証拠の種別が書類、電子媒体の場合、被監査者の識別情報（顔の画像等）、監査証拠の保管場所の画像、監査証拠の名称、監査証拠の日付け情報、監査証拠の承認印を連続して撮影し、監査証拠として、監査サーバ１０１へ送信（電子メールにて送付）する。被監査者は、監査証拠の種別がセキュリティ管理プロセスの実施状況（静的な状態を映した画像）、セキュリティ管理プロセスの実施状況（行動を映した画像）の場合、被監査者の識別情報（顔の画像等）、監査証拠確認場所の画像、セキュリティ管理プロセスの実施状況の画像を連続して撮影し、監査証拠とし、監査サーバ１０１へ送信（電子メールにて送付）する。監査実施手段１０８は、受け取った監査証拠を監査調書管理ＤＢ２１４（監査証拠）に保存する（ステップＳ１８）。
【００６８】
監査実施手段１０８は、現在の日時と監査計画書Ｄ２１８に示される監査期間Ｃとを比較し、現在の日時が監査期間Ｃを超えない場合、ステップＳ１６〜ステップＳ１８を繰返し、現在の日時が監査計画書Ｄ２１８に示される監査期間Ｃを超える場合、被監査者に監査証拠収集の終了を通知（電子メールにて送付）する。被監査者は、監査証拠収集装置１０６を監査部門へ送り返す。監査実施手段１０８は、監査計画書Ａ２１５の並行監査実施人数の分、ステップＳ１１〜ステップＳ１８を並行して実施する。
【００６９】
次に、監査評価手段１０９の動作について図面を参照して説明する。
【００７０】
図５は、監査評価手段１０９の動作を示すフローチャートである。
【００７１】
監査評価手段１０９は、監査計画書Ａ２１５の監査調書確認周期ごとに、以下の図５ステップＳ２１〜図５ステップＳ２７を実施する。
【００７２】
監査評価手段１０９は、監査調書管理ＤＢ２１４より全ての氏名を抽出し、抽出した氏名をキーに人材管理ＤＢ２１２より所属組織名を抽出し、所属組織単位の監査調書収集済みの人数を算出し、所定の人数を超えた組織を被監査組織として抽出する。
【００７３】
さらに、監査評価手段１０９は、内部監査員管理ＤＢ２１１より被監査組織と所属組織とが一致しない監査員を任意に複数名抽出し、被監査組織の監査員とする。監査評価手段１０９は、監査員に対し、監査調書管理ＤＢ２１４の確認依頼を通知（電子メールにて送付）する（図５ステップＳ２１）。
【００７４】
次に、監査員は、監査調書管理ＤＢ２１４の確認依頼を受け、監査員端末１０３より、監査サーバ１０１へ接続（ＷＥＢサーバ２０１へアクセス）する。監査評価手段１０９は、監査員が監査を担当する被監査組織の組織名をキーに監査調書管理ＤＢ２１４より、氏名、所属組織名、要求事項、要求事項遵守状況、監査証拠情報、監査証拠確認情報、監査証拠を抽出し、氏名をキーに並び替えを行い、監査調書確認画面として、順次、監査員端末１０３の表示装置に表示する。
【００７５】
さらに、監査評価手段１０９は、監査員の要求に応じ、被監査組織内複数人の監査調書管理ＤＢ２１４のデータ（ＤＢ内の各項目）を並行して監査員端末１０３の表示装置に表示する。さらに、監査評価手段１０９は、監査員の要求に応じ、同一人の複数の監査調書管理ＤＢ２１４のデータを並行して、監査調書確認画面として、監査員端末１０３の表示装置に表示する。さらに、監査評価手段１０９は、監査員の要求に応じ、監査証拠（動画）の再生速度の変更を行う。監査員は、監査調書管理ＤＢ２１４のデータを確認し、監査評価手段１０９が表示する監査結果通知書テンプレートに確認結果を入力する形式で、監査結果通知書２１９（指摘事項、要望事項）を作成する。監査評価手段１０９は、監査結果通知書２１９を監査サーバ１０１に保存する（ステップＳ２２）。
【００７６】
図７は、監査員端末１０３により図５ステップ２２において表示される監査調書確認画面を示す説明図である。
【００７７】
図７を参照すると、監査員端末１０３の表示装置には、監査調書確認画面、監査結果通知書テンプレートが表示される。
【００７８】
次に、監査評価手段１０９は、被監査組織の管理者（以後管理者と記す）に対し、監査結果通知書２１９の確認依頼を通知（電子メールにて送付）する（ステップＳ２３）。
【００７９】
次に、管理者は、監査結果通知書２１９の確認依頼を受け、管理者端末１０５より、監査サーバ１０１へ接続（ＷＥＢサーバ２０１へアクセス）する。監査評価手段１０９は、監査結果通知書２１９を表示する。管理者は、監査結果通知書２１９を確認し、確認結果（指摘事項、要望事項に対する回答）を監査結果通知書２１９の確認結果記入欄に記入する。監査評価手段１０９は、確認結果が記入された監査結果通知書２１９を保存する（ステップＳ２４）。
【００８０】
次に、監査評価手段１０９は、監査員に対し、監査報告書２２０の作成依頼を通知（電子メールにて送付）する（ステップＳ２５）。
【００８１】
次に、監査員は、監査報告書２２０の作成依頼を受け、監査員端末１０３より、監査サーバ１０１へ接続（ＷＥＢサーバ２０１へアクセス）する。監査評価手段１０９は、確認結果が記入された監査結果通知書２１９を表示する。監査員は、監査評価手段１０９が表示するテンプレートに入力する形式で、監査報告書２２０を作成する。監査評価手段１０９は、監査報告書２２０を監査サーバ１０１に保存する（ステップＳ２６）。
【００８２】
次に、監査部門の人員は、監査評価手段１０９を利用し定期的に監査報告書２２０をまとめ、部門内の承認を経た上、権限者への報告を行う（ステップＳ２７）。
【００８３】
なお、上記のセキュリティ監査支援システムは、監査サーバ１０１の主記憶に保持されたプログラムを実行することによって動作することが可能である。このプログラムは、通常、ハードディスクなどの二次記憶に格納されており、セキュリティ監査支援システムを運用する際に上記の各主記憶にロードされ実行されうる。
【００８４】
次に、本発明の第２の最良の形態について図面を参照して詳細に説明する。
【００８５】
本発明の第２の最良の形態は、図３〜図５のステップを含む方法である。
【００８６】
次に、本発明の第３の最良の形態について図面を参照して詳細に説明する。
【００８７】
本発明の第３の最良の形態は、図３〜図５のステップをコンピュータに実行させるプログラムである。
【図面の簡単な説明】
【００８８】
【図１】本発明の第１の最良の形態の構成を示すブロック図である。
【図２】監査サーバ、監査員端末、監査部門端末、管理者端末、被監査者端末、および、監査証拠収集装置の詳細を示すブロック図である。
【図３】監査準備手段の動作を示すフローチャートである。
【図４】監査実施手段の動作を示すフローチャートである。
【図５】監査評価手段の動作を示すフローチャートである。
【図６】監査実施手段により表示される画面を示す説明図である。
【図７】監査員端末１０３により表示される監査調書確認画面を示す説明図である。
【符号の説明】
【００８９】
１０１    監査サーバ
１０２    被監査者端末
１０３    監査員端末
１０４    監査部門端末
１０５    管理者端末
１０６    監査証拠収集装置
１０７    監査準備手段
１０８    監査実施手段
１０９    監査評価手段
１１０    ネットワーク
１１１    無線ネットワーク
２０１    ＷＥＢサーバ
２０２    電子メールサーバ
２０３    ＷＥＢブラウザ
２０４    電子メールクライアント
２０９    監査項目票
２１０    情報資産管理ＤＢ
２１１    内部監査員管理ＤＢ
２１２    人材管理ＤＢ
２１３    所在地管理ＤＢ
２１４    監査調書管理ＤＢ
２１５    監査計画書Ａ
２１６    監査計画書Ｂ
２１７    監査計画書Ｃ
２１８    監査計画書Ｄ
２１９    監査結果通知書
２２０    監査報告書
【図１】
2005063339.tif 000003
【図２】
2005063339.tif 000004
【図３】
2005063339.tif 000005
【図４】
2005063339.tif 000006
【図５】
2005063339.tif 000007
【図６】
2005063339.tif 000008
【図７】
2005063339.tif 000009