(57)【要約】 【課題】組織に属する者が、定量的に示された監査結果を容易に確認することが可能な情報処理装置およびプログラムを提供する。【解決手段】ＩＳＭＳ支援装置１００は、記憶部１０と第１表示制御部３０とを備える。記憶部１０は、組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目ごとに、当該評価項目の監査による評価結果を数値化した第１情報を記憶する。第１表示制御部３０は、第１情報の表示を要求する表示要求を受け付けた場合、記憶部１０に記憶された第１情報を表示する制御を行う。【選択図】図４
2013196191.tif 000002
【特許請求の範囲】
【請求項１】
組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目ごとに、当該評価項目の監査による評価結果を数値化した第１情報を記憶する記憶部と、
前記第１情報の表示を要求する表示要求を受け付けた場合、前記記憶部に記憶された前記第１情報を表示する制御を行う第１表示制御部と、を備える、
情報処理装置。
【請求項２】
自己評価の実施を要求する自己評価要求を受け付けた場合、前記評価項目の自己評価に用いられる設問を表示する制御を行う第２表示制御部と、
前記設問に対する回答入力に応じて、前記評価項目の自己評価結果を数値化した第２情報を生成する生成部と、
前記第１情報と前記第２情報との差分が閾値以上である前記評価項目を特定する特定部と、
前記特定部により特定された前記評価項目を、今後の課題として表示する制御を行う第３表示制御部と、をさらに備える、
請求項１の情報処理装置。
【請求項３】
前記特定部は、前記第１情報が前記第２情報よりも大きい前記評価項目は特定しない、
請求項２の情報処理装置。
【請求項４】
前記第３表示制御部は、前記評価項目ごとに、当該評価項目に対応する前記第１情報と前記第２情報とを併せて表示する制御を行う、
請求項２の情報処理装置。
【請求項５】
前記情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目は、計画が策定されているか否かを評価する第１評価項目と、計画に従った運用がされているか否かを評価する第２評価項目と、運用の結果を評価する第３評価項目と、運用の結果に応じた改善が行われているか否かを評価する第４評価項目とに分類される、
請求項２の情報処理装置。
【請求項６】
前記記憶部は、前記評価項目ごとに、当該評価項目の評価の目標値を示す第３情報を記憶し、
前記第１表示制御部は、前記表示要求を受け付けた場合、前記評価項目ごとに、当該評価項目に対応する前記第１情報と前記第３情報とを併せて表示する制御を行う、
請求項１の情報処理装置。
【請求項７】
前記記憶部は、評価項目ごとに、前記第１情報と、前記情報セキュリティマネジメントシステムの有効性の度合いを示す有効性情報とを対応付けて記憶し、
前記第１表示制御部は、前記表示要求を受け付けた場合、前記評価項目ごとに、当該評価項目に対応する前記第１情報と前記有効性情報とを併せて表示する制御を行う、
請求項１の情報処理装置。
【請求項８】
組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目ごとに、当該評価項目の監査による評価結果を数値化した第１情報の表示を要求する表示要求を受け付けた場合、前記第１情報を表示装置に表示する表示制御ステップをコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置およびプログラムに関する。
【背景技術】
【０００２】
従来から、企業には、組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステム（以下、「ＩＳＭＳ」と呼ぶ）の構築が求められる。ＩＳＭＳは、機密性、完全性、可用性をバランスよく維持し改善することを基本コンセプトとする情報セキュリティモデル（規範）であり、対象組織の形態や環境、ビジネスプロセスなどに左右されない。このモデルに準じたマネジメントシステムを構築することで、情報セキュリティレベルをスパイラルアップさせることを目的としている。例えば特許文献１には、情報セキュリティインシデント発生時の想定被害額に基づいて、ＩＳＭＳの評価を行う技術が開示されている。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
ここで、ＩＳＭＳの運用においては、ＩＳＭＳの有効性レベルをスパイラルアップさせるために、ＩＳＭＳが適切に実施されているか否かを監視する監査（内部監査あるいは外部審査）が定期的に行われるが、従来においては、組織に属する者が、定量的に示された監査結果（評価の結果）を容易に確認することが可能な仕組みは存在しなかった。本発明は、上記に鑑みてなされたものであって、組織に属する者が、定量的に示された監査結果を容易に確認することが可能な情報処理装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００４】
上述した課題を解決し、目的を達成するために、本発明は、組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目ごとに、当該評価項目の監査による評価結果を数値化した第１情報を記憶する記憶部と、前記第１情報の表示を要求する表示要求を受け付けた場合、前記記憶部に記憶された前記第１情報を表示装置に表示する制御を行う第１表示制御部と、を備える情報処理装置である。
【０００５】
また、本発明は、組織における情報セキュリティを管理する仕組みを示す情報セキュリティマネジメントシステムが適切に実施されているか否かを評価するための複数の評価項目ごとに、当該評価項目の監査による評価結果を数値化した第１情報の表示を要求する表示要求を受け付けた場合、前記第１情報を表示装置に表示する表示制御ステップをコンピュータに実行させるためのプログラムである。
【発明の効果】
【０００６】
本発明によれば、組織に属する人間が、定量的に示された監査結果を容易に確認することが可能になる。
【図面の簡単な説明】
【０００７】
【図１】図１は、情報セキュリティマネジメントシステム（ＩＳＯ／ＩＥＣ２７００１）の本特許における適用モデルを説明した図である。
【図２】図２は、内部監査によるマネジメントシステムの有効性レベルの数値化を説明するための図である。
【図３】図３は、マネジメントシステムの有効性レベルの格付けを説明するための図である。
【図４】図４は、第１実施形態のＩＳＭＳ支援装置の機能構成例を示すブロック図である。
【図５】図５は、各評価項目の第１情報の表示例を示す図である。
【図６】図６は、第１実施形態のＩＳＭＳ支援装置の動作例を示すフローチャートである。
【図７】図７は、第２実施形態のＩＳＭＳ支援装置の機能構成例を示すブロック図である。
【図８】図８は、評価項目に対応する設問の表示例を示す図である。
【図９】図９は、第２実施形態のＩＳＭＳ支援装置の動作例を示すフローチャートである。
【図１０】図１０は、各評価項目の第１情報と第２情報とが併せて表示される例を示す図である。
【図１１】図１１は、各評価項目の第１情報と第３情報とが併せて表示される例を示す図である。
【発明を実施するための形態】
【０００８】
以下、添付図面を参照しながら、本発明に係る情報処理装置およびプログラムの実施の形態を詳細に説明する。以下の実施形態では、情報セキュリティマネジメントシステム支援装置（以下、「ＩＳＭＳ支援装置」と呼ぶ）として機能するＰＣ（Personal  Computer）を例に挙げて、本発明に係る情報処理装置を説明するが、これに限定されるものではない。
【０００９】
（第１実施形態）
ＩＳＭＳ支援装置の具体的な内容を説明する前に、情報セキュリティモデルについて説明する。本実施形態では、情報セキュリティモデルとしてＩＳＭＳを採用する。一般的に、グループ企業は、グループ全体の情報セキュリティレベルの向上を狙う。グループ企業のインシデント発生は、グループ企業全体への評価とみなされるからである。そこで、グループ全体でのＩＳＭＳ認証取得を施策として進めることになるが、ＩＳＭＳの構築には多くの費用と時間を要するので、例えば重要な情報資産を保有しない組織にとっては情報セキュリティへの対応が過負荷になる。また、ＩＳＯ９００１などの他のマネジメントシステムとの重複が発生する場合もある。つまり、グループ企業の会社単位、もしくは組織単位でのＩＳＭＳ認証取得は、投資面も含め非効率で一貫性を欠く結果となる。
【００１０】
そこで、本実施形態では、図１に示すように、グループ企業の各組織を、「認証取得組織」および「運用組織」のうちの何れかに分類する。認証取得組織は、ＩＳＯ／ＩＥＣ２７００１の要求事項に従って自律的に情報セキュリティマネジメントシステムを展開する組織である。重要な情報資産を保有する組織は、認証取得組織に分類される。例えばビジネスプロセス上、顧客の個人情報などを保有する場合などは、重要な情報資産を保有する組織に該当する。また、対外的にＩＳＭＳの認証を必要する組織は、認証取得組織に分類される。例えば要求仕様書にＩＳＭＳ認証を必須とするなどの仕様が明記される場合などは、対外的にＩＳＭＳの認証を必要とする組織に該当する。
【００１１】
一方、運用組織は、個別施策に準ずる。図１に示すように、個別施策の例としては、（ａ）経営者の声明、情報セキュリティ方針、各種規定などの文書は共通化して提供されるものを使用する、（ｂ）組織の特性により、個別の情報セキュリティ方針を展開することができる、（ｃ）重要業務における重要な情報資産のみリスクアセスメントする、（ｄ）情報セキュリティ統括部門が実施する内部監査を受ける、などが挙げられる。
【００１２】
総務、人事、経理などの業務を遂行する組織は、運用組織に分類される。人事などの個人情報は対外的に影響が少なく、経理などは機密性より完全性が優先される。また、ＩＳＭＳよりもＱＭＳ（品質管理）を主とする組織は、運用組織に分類される。例えば生産工場などは、ＩＳＭＳよりもＱＭＳ（品質管理）を主とする組織に該当する。さらに、グループ企業全体のネットワーク基盤上に情報システムを開発・運用する組織は、運用組織に分類される。要するに、完全性と可用性が求められる組織は、運用組織に分類される。
【００１３】
また、全ての組織に対して、共通施策を実施する。図１に示すように、共通施策の例としては、（ｅ）教育はｅラーニングを使用し、情報セキュリティの知識を教育する、（ｆ）内部監査はその組織のＩＳＭＳの有効性レベル、状況などに応じて数年に一度のサイクルで実施する、（ｇ）内部監査時、ＩＳＭＳの有効性レベルの評価結果を評語で格付ける、などが挙げられる。
【００１４】
内部監査は、ＩＳＭＳの有効性を評価（ＩＳＭＳが適切に実施されているか否かを評価）するための複数の評価項目ごとに、チェックリスト（内部監査項目）に従って実施される。この例では、チェックリストの各項目に対して点数が設定されており、各評価項目について、基準を満たすと判断した項目に設定された点数の合計値が、その評価項目の評価結果を示す数値として決定される。このようにして、評価項目ごとに、当該評価項目の内部監査による評価結果を数値化した情報（請求項の「第１情報」に対応、以下、「第１情報」と呼ぶ）が得られる。
【００１５】
この例では、ＩＳＭＳの有効性を評価するための複数の評価項目は、計画が策定されているか否かを評価する第１評価項目（ＰＤＣＡサイクルの「Ｐ（Plan）」を評価する項目）と、計画に従った運用がされているか否かを評価する第２評価項目（ＰＤＣＡサイクルの「Ｄ（Do）」を評価する項目）と、運用の結果を評価する第３評価項目（ＰＤＣＡサイクルの「Ｃ（Check）」を評価する項目）と、運用の結果に応じた改善が行われているか否かを評価する第４評価項目（ＰＤＣＡサイクルの「Ａ（Action）」を評価する項目）と、に分類される。
【００１６】
より具体的には以下のとおりである。図２に示すように、この例では、ＩＳＭＳの有効性を評価するための複数の評価項目として、「Ｐ−１．組織の主要業務の要求・期待の把握」、「Ｐ−２．ＩＳＭＳの取り組む姿勢」、「Ｐ−３．活動方針とリスクアセスメント」、「Ｐ−４．資産の維持・管理」、「Ｐ−５．リスク評価」、「Ｐ−６．リスク対応計画」、「Ｐ−７．リスク対応計画の管理」、「Ｄ−１．教育・訓練」、「Ｃ−１．日常管理：ルール・手順の周知」、「Ｃ−２.日常管理：ルール・手順の有効性」、「Ｃ−３．インシデント対応ルールの認識」、「Ｃ−４．コミュニケーション」、「Ａ−１．監査・審査で指摘された指摘事項の対応」、「Ａ−２．インシデントの是正・予防対応」、「Ａ−３．ベンチマーキング」の１５種類の評価項目が設けられている。
【００１７】
図２の例では、「Ｐ−１．組織の主要業務の要求・期待の把握」、「Ｐ−２．ＩＳＭＳの取り組む姿勢」、「Ｐ−３．活動方針とリスクアセスメント」、「Ｐ−４．資産の維持・管理」、「Ｐ−５．リスク評価」、「Ｐ−６．リスク対応計画」、「Ｐ−７．リスク対応計画の管理」は、第１評価項目（ＰＤＣＡサイクルの「Ｐ」を評価する項目）に分類される。また、「Ｄ−１．教育・訓練」は、第２評価項目（ＰＤＣＡサイクルの「Ｄ」を評価する項目）に分類される。また、「Ｃ−１．日常管理：ルール・手順の周知」、「Ｃ−２.日常管理：ルール・手順の有効性」、「Ｃ−３．インシデント対応ルールの認識」、「Ｃ−４．コミュニケーション」は、第３評価項目（ＰＤＣＡサイクルの「Ｃ」を評価する項目）に分類される。さらに、「Ａ−１．監査・審査で指摘された指摘事項の対応」、「Ａ−２．インシデントの是正・予防対応」、「Ａ−３．ベンチマーキング」は、第４評価項目（ＰＤＣＡサイクルの「Ａ」を評価する項目）に分類される。
【００１８】
そして、内部監査においては、評価項目ごとに、当該評価項目の評価が実施され、その評価結果を数値化した情報（第１情報）が得られる。例えば図２に示すように、評価項目「Ｄ−１．教育・訓練」の評価を実施する場合、内部監査員は、「要員が必要な力量を習得できるようどのようなことを実施しているか」を評価するための各種の項目（グループ共通で必須の教育を行っているか、組織独自の教育を行っているか、社内外のセミナーや講習会へ参加しているか、必要な知識に関する資料の提供をおこなっているか等）について、現場のインタビューなどを通じて評価していき、その評価結果を数値化する。
【００１９】
この例では、図３に示すように、評価項目ごとに、当該評価項目の第１情報（評価結果を示す数値情報）に応じて、ＩＳＭＳの有効性の度合い（有効性のレベル）を示す評語（請求項の「有効性情報」に対応）が割り当てられて格付けが行われる。図３の例では、評語は、「ＡＡＡ」、「ＡＡ」、「Ａ」、「Ｂ」、「Ｃ」、「Ｄ」の６段階に区分され、「Ｃ」〜「ＡＡ」の各々は、さらにプラス（＋）とマイナス（−）に区分される。評語「ＡＡＡ」は、ＩＳＭＳが模範的であることを示し、評語「ＡＡ」は、ＩＳＭＳが妥当・有効であることを示し、評語「Ａ」は、ＩＳＭＳが適切であることを示し、評語「Ｂ」は、ＩＳＭＳが形式的であることを示し、評語「Ｃ」は、ＩＳＭＳが不十分であることを示し、評語「Ｄ」はＩＳＭＳが未実施であることを示す。
【００２０】
図２に示すように、例えば評価項目「Ｄ−１．教育・訓練」の内部監査による評価結果を示す第１情報の値が「１５」の場合は、当該評価項目「Ｄ−１．教育・訓練」には評語「Ｃ−」が割り当てられ、第１情報の値が「２５」の場合は評語「Ｃ＋」が割り当てられる。また、第１情報の値が「３５」の場合は評語「Ｂ−」が割り当てられ、第１情報の値が「４５」の場合は評語「Ｂ＋」が割り当てられる。また、第１情報の値が「５５」の場合は評語「Ａ−」が割り当てられ、第１情報の値が「６５」の場合は評語「Ａ＋」が割り当てられる。また、第１情報の値が「７５」の場合は評語「ＡＡ−」が割り当てられ、第１情報の値が「８５」の場合は評語「ＡＡ＋」が割り当てられる。さらに、第１情報の値が「９５」の場合は評語「ＡＡＡ」が割り当てられる。ここでは、評価項目「Ｄ−１．教育・訓練」の内部監査による評価結果を示す第１情報の値は「５５」であるとする。このため、評価項目「Ｄ−１．教育・訓練」には評語「Ａ−」が割り当てられる。以上のようにして、他の評価項目についても、当該評価項目の評価結果を数値化した第１情報が得られるとともに評語の割り当てが順次に行われていく。
【００２１】
また、例えば、第１評価項目（ＰＤＣＡサイクルの「Ｐ」を評価する項目）に分類される各評価項目の第１情報の合計値を、当該第１評価項目に属する評価項目の数で除算した数値情報（図２の例では、Ｐ小計「４９」）を、第１評価項目の内部監査による評価結果を示す数値情報として求め、対応する評語を割り当てることもできる。第２評価項目、第３評価項目、第４評価項目についても同様である。また、第１評価項目の内部監査による評価結果を示す数値情報（図２の例では、Ｐ小計「４９」）と、第２評価項目の内部監査による評価結果を示す数値情報（図２の例では、Ｄ小計「５５」）と、第３評価項目の内部監査による評価結果を示す数値情報（図２の例では、Ｃ小計「４１」）と、第４評価項目の内部監査による評価結果を示す数値情報（図２の例では、Ａ小計「４２」）との合計を、ＰＤＣＡサイクルの数である「４」で除算した数値情報（図２の例では、ＰＤＣＡ成熟度「４６」）を、ＩＳＭＳの成熟度の内部監査による評価結果を示す数値情報として求め、対応する評語を割り当てることもできる。
【００２２】
以上のようにして、内部監査が実施されることにより、ＩＳＭＳの有効性を評価するための複数の評価項目ごとに、当該評価項目の内部監査による評価結果を数値化した第１情報が得られる。以上を前提として、本実施形態のＩＳＭＳ支援装置の具体的な内容を説明する。
【００２３】
図４は、本実施形態のＩＳＭＳ支援装置１００の機能構成例を示すブロック図である。このＩＳＭＳ支援装置１００は、何れかの組織に対応付けられる。図４に示すように、ＩＳＭＳ支援装置１００は、記憶部１０と入力部２０と第１表示制御部３０とを備える。記憶部１０は、対応する組織のＩＳＭＳの有効性を評価するための複数の評価項目の各々の第１情報（内部監査による評価結果を示す数値情報）を記憶する。すなわち、記憶部１０は、対応する組織の内部監査による評価結果を数値化した情報を記憶していると捉えることもできる。
【００２４】
入力部２０は、ユーザーが各種の入力をＩＳＭＳ支援装置１００に対して行うための装置である。入力部２０は、例えばキーボード、マウス、ボタン、方向キー、ジョグダイヤル、タッチパネルこれらの組み合わせなどで構成され得るが、上記に限られない。本実施形態では、ユーザーは、入力部２０を操作することにより、記憶部１０に記憶された第１情報の表示を要求する表示要求を入力することができる。
【００２５】
第１表示制御部３０は、入力部２０による表示要求の入力を受け付けた場合、記憶部１０に記憶された第１情報を表示する制御を行う。より具体的には、第１表示制御部３０は、記憶部１０に記憶された第１情報を表示するように、ディスプレイなどの表示デバイスを制御する。図５は、第１表示制御部３０の表示制御により表示された画面の一例を示す図である。図５の例では、前述の１５種類の評価項目ごとに、当該評価項目の第１情報の値を示すレーダーチャート形式の画像が表示デバイスの画面上に表示されるが、これに限られるものではない。
【００２６】
図６は、本実施形態のＩＳＭＳ支援装置１００の動作例を示すフローチャートである。図６に示すように、入力部２０による表示要求の入力を受け付けた場合（ステップＳ１の結果：ＹＥＳの場合）、第１表示制御部３０は、記憶部１０に記憶された第１情報を表示する制御を行う（ステップＳ２）。
【００２７】
以上に説明したように、本実施形態では、記憶部１０は、対応する組織のＩＳＭＳの有効性を評価するための複数の評価項目ごとに、当該評価項目の内部監査による評価結果を数値化した第１情報を記憶する。そして、第１情報の表示を要求する表示要求を受け付けた場合、第１表示制御部３０は、記憶部１０に記憶された第１情報を表示する制御を行うので、ユーザーは、自身が属する組織の定量的な監査結果を容易に確認（把握）することができる。
【００２８】
（第２実施形態）
次に、第２実施形態について説明する。上述の第１実施形態と重複する部分については、同一の符号を付して適宜に説明を省略する。図７は、第２実施形態のＩＳＭＳ支援装置２００の機能構成例を示すブロック図である。図７に示すように、ＩＳＭＳ支援装置２００は、第２表示制御部４０と生成部５０と特定部６０と第３表示制御部７０とをさらに備える点で上述の第１実施形態と相違する。
【００２９】
この例では、ユーザーは、入力部２０を操作することにより、自己評価の実施を要求する自己評価要求を入力することができる。第２表示制御部４０は、入力部２０による自己評価要求の入力を受け付けた場合、評価項目ごとに、当該評価項目に対応する設問（当該評価項目の自己評価に用いられる設問）を表示デバイスに表示する制御を行う。図８は、第２表示制御部４０の表示制御により表示された画面例の一部を示す図である。図８の例では、評価項目「Ｐ−３．活動方針とリスクアセスメント」に対応する設問の一部が表示されている。なお、各評価項目に対応する設問の数や種類は任意に設定可能である。
【００３０】
ユーザーは、設問が表示された画面を見ながら、入力部２０を操作することにより、設問に対する回答を入力することができる。例えば図８のように、設問ごとに、当該設問に対応する複数の選択肢が表示される形式の場合、ユーザーは、入力部２０を操作して、該当する選択肢の選択入力を行う。このようにして、設問に対する回答が入力される。
【００３１】
生成部５０は、評価項目ごとに、当該評価項目に対応する設問に対するユーザーの回答入力に応じて、当該評価項目のユーザーによる自己評価結果を数値化した情報（請求項の「第２情報」に対応、以下、「第２情報」と呼ぶ）を生成する。この例では、選択肢ごとに、当該選択肢に対応する点数が予め設定されている。そして、生成部５０は、評価項目ごとに、当該評価項目に対応する設問に対するユーザーの回答入力に応じて、各設問の選択肢のうちユーザーによって選択された選択肢を特定し、その特定した選択肢に設定された点数の合計値を、当該評価項目の自己評価結果を示す第２情報として求める。以上のようにして、生成部５０は、評価項目ごとに、当該評価項目に対応する設問に対するユーザーの回答入力に応じて、当該評価項目の自己評価結果を示す第２情報を生成する。この例では、生成部５０により生成された各評価項目の第２情報は、一旦、記憶部１０に記憶されるが、これに限らず、記憶部１０とは別の記憶装置に記憶される構成であってもよい。
【００３２】
特定部６０は、評価項目ごとに、当該評価項目に対応する第１情報と第２情報を記憶部１０から読み出す。そして、その読み出した第１情報と第２情報とを比較し、第１情報と第２情報との差分が閾値以上である評価項目を特定する。つまり、内部監査による評価と、自己評価とのギャップが大きい評価項目を特定する。また、内部監査による評価と、自己評価とのギャップが大きくても、客観的な評価（内部監査による評価）が高い評価項目については問題が無いと考えられるので、特定部６０は、第１情報と第２情報との差分が閾値以上であっても、第１情報が第２情報よりも大きい評価項目は特定しない。
【００３３】
上述の閾値の値は任意であり、様々な値を取り得る。例えば閾値が「１０」に設定され、評価項目「Ｐ−６．リスク対応計画」の第１情報が「４５」であり、当該評価項目の第２情報が「５５」以上の場合、特定部６０は、当該評価項目を特定する。
【００３４】
第３表示制御部７０は、特定部６０により特定された評価項目を、今後の課題として表示する制御を行う。例えば、上述の閾値が「１０」に設定され、評価項目「Ａ−３．ベンチマーキング」の第１情報が「２５」であり、当該評価項目の第２情報が「５０」である場合を想定する。この場合、評価項目「Ａ−３．ベンチマーキング」が特定部６０によって特定されるので、第３表示制御部７０は、特定部６０により特定された評価項目「Ａ−３．ベンチマーキング」を、今後の課題として表示するように、表示デバイスを制御する。
【００３５】
図９は、本実施形態のＩＳＭＳ支援装置２００の動作例を示すフローチャートである。図９に示すように、入力部２０による自己評価要求の入力を受け付けた場合（ステップＳ１１の結果：ＹＥＳの場合）、第２表示制御部４０は、各評価項目に対応する設問を表示デバイス上に表示する制御を行う（ステップＳ１２）。そして、各設問に対する回答が完了した場合、つまり、全ての設問に対する回答入力を受け付けた場合（ステップＳ１３の結果：ＹＥＳ）、生成部５０は、評価項目ごとに、当該評価項目に対応する設問に対するユーザーの回答入力に応じて、当該評価項目の第２情報を生成する（ステップＳ１４）。
【００３６】
次に、特定部６０は、第１情報と第２情報との差分が閾値以上である評価項目を特定する（ステップＳ１５）。次に、第３表示制御部７０は、特定部６０により特定された評価項目を、今後の課題として表示する制御を行う（ステップＳ１６）。
【００３７】
以上に説明したように、本実施形態では、第１情報と第２情報との差分が閾値以上である評価項目を特定し、その特定した評価項目を、今後の課題として表示する。これにより、内部監査による評価と、自己評価とのギャップが大きい評価項目をユーザーに知らせることができ、ユーザーは、今後の課題を容易に把握することができる。
【００３８】
（変形例）
以上、本発明に係る実施形態について説明したが、本発明は上述の実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の変形が可能である。
【００３９】
（１）変形例１
上述の第２実施形態において、第３表示制御部７０は、特定部６０により特定された評価項目を、今後の課題として表示するとともに、評価項目ごとに、当該評価項目に対応する第１情報と第２情報とを併せて表示する制御を行うこともできる。
【００４０】
例えば評価項目「Ｐ−１．組織の主要業務の要求・期待の把握」の第１情報が「５５」、当該評価項目の第２情報が「５０」、評価項目「Ｐ−２．ＩＳＭＳの取り組む姿勢」の第１情報が「４５」、当該評価項目の第２情報が「４０」、「Ｐ−３．活動方針とリスクアセスメント」の第１情報が「４５」、当該評価項目の第２情報が「５０」、「Ｐ−４．資産の維持・管理」の第１情報が「４５」、当該評価項目の第２情報が「４５」、「Ｐ−５．リスク評価」の第１情報が「５５」、当該評価項目の第２情報が「５０」、「Ｐ−６．リスク対応計画」の第１情報が「４５」、当該評価項目の第２情報が「５５」、「Ｐ−７．リスク対応計画の管理」の第１情報が「５５」、当該評価項目の第２情報が「５０」、「Ｄ−１．教育・訓練」の第１情報が「５５」、当該評価項目の第２情報が「６０」、「Ｃ−１．日常管理：ルール・手順の周知」の第１情報が「４５」、当該評価項目の第２情報が「５０」、「Ｃ−２.日常管理：ルール・手順の有効性」の第１情報が「４０」、当該評価項目の第２情報が「５５」、「Ｃ−３．インシデント対応ルールの認識」の第１情報が「３５」、当該評価項目の第２情報が「５０」、「Ｃ−４．コミュニケーション」の第１情報が「４５」、当該評価項目の第２情報が「５０」、「Ａ−１．監査・審査で指摘された指摘事項の対応」の第１情報が「４５」、当該評価項目の第２情報が「４０」、「Ａ−２．インシデントの是正・予防対応」の第１情報が「４５」、当該評価項目の第２情報が「５０」、「Ａ−３．ベンチマーキング」の第１情報が「２５」、当該評価項目の第２情報が「５０」の場合を想定する。なお、閾値は「１０」であるとする。
【００４１】
この場合、特定部６０は、第２情報が第１情報よりも大きい値を示し、かつ、第１情報と第２情報との差分が「１０」以上の評価項目（「Ｐ−６．リスク対応計画」、「Ｃ−２.日常管理：ルール・手順の有効性」、「Ｃ−３．インシデント対応ルールの認識」、「Ａ−３．ベンチマーキング」）を特定する。そして、第３表示制御部７０は、図１０に示すように、特定部６０により特定された４つの評価項目を今後の課題として表示するとともに、各評価項目の第１情報と第２情報とを併せて表示する制御を行う。これにより、ユーザーは、評価項目ごとに、内部監査による評価と自己評価とのギャップを把握することができるとともに、今後の課題を容易に把握することが可能になる。
【００４２】
（２）変形例２
例えばＩＳＭＳの有効性を評価するための複数の評価項目は、情報所有者（ラインマネジャー）用の評価項目と、経営者用の評価項目とに予め分類されてもよい。この場合、例えば情報所有者が、入力部２０を操作することにより、自己評価の実施を要求する自己評価要求を入力した場合、第２表示制御部４０は、情報所有者用の評価項目に対応する設問を表示する制御を行い、ユーザー（情報所有者）は、設問が表示された画面を見ながら、入力部２０を操作することにより、設問に対する回答を入力していく。生成部５０は、情報所有者用の評価項目に対応する設問に対する回答入力に応じて、当該評価項目の第２情報を生成し、特定部６０は、情報所有者用の評価項目ごとに、当該評価項目の第１情報と第２情報とを比較し、第１情報と第２情報との差分が閾値以上の評価項目を特定する。そして、第３表示制御部７０は、特定部６０により特定された評価項目を、情報所有者の今後の課題として表示する制御を行うこともできる。
【００４３】
一方、経営者が、入力部２０を操作することにより、自己評価の実施を要求する自己評価要求を入力した場合、第２表示制御部４０は、経営者用の評価項目に対応する設問を表示する制御を行い、ユーザー（経営者）は、設問が表示された画面を見ながら、入力部２０を操作することにより、設問に対する回答を入力していく。生成部５０は、経営者用の評価項目に対応する設問に対する回答入力に応じて、当該評価項目の第２情報を生成し、特定部６０は、経営者用の評価項目ごとに、当該評価項目の第１情報と第２情報とを比較し、第１情報と第２情報との差分が閾値以上の評価項目を特定する。そして、第３表示制御部７０は、特定部６０により特定された評価項目を、経営者の今後の課題として表示する制御を行うこともできる。
【００４４】
（３）変形例３
上述の第１実施形態において、記憶部１０は、評価項目ごとに、当該評価項目の評価の目標値を示す第３情報を記憶し、第１表示制御部３０は、表示要求を受け付けた場合、評価項目ごとに、当該評価項目に対応する第１情報と第３情報とを併せて表示する制御を行うこともできる。
【００４５】
例えば前述の１５種類の評価項目の各々の評価の目標値（以下、「第３情報」と呼ぶ）が「５５」に設定される場合を想定する。この場合、入力部２０による表示要求の入力を受け付けると、第１表示制御部３０は、評価項目ごとに、記憶部１０に記憶された第１情報および第３情報を読み出す。そして、第１表示制御部３０は、図１１に示すように、評価項目ごとに、当該評価項目に対応する第１情報と第３情報とを併せて表示する制御を行う。なお、各評価項目の第３情報の値は任意であり、評価項目ごとに個別の値に設定される構成であってもよい。
【００４６】
（４）変形例４
上述の第１実施形態において、記憶部１０は、評価項目ごとに、第１情報と、割り当てられた評語とを対応付けて記憶し、第１表示制御部３０は、表示要求を受け付けた場合、評価項目ごとに、当該評価項目に対応する第１情報と評語とを併せて表示する制御を行うこともできる。例えば評価項目「Ｐ−１．組織の主要業務の要求・期待の把握」に対応する第１情報が「５５」である場合、図３からも理解されるように、当該評価項目に割り当てられる評語は「Ａ−」である。この場合、ユーザーが、入力部２０を操作して表示要求を入力すると、「Ｐ−１．組織の主要業務の要求・期待の把握」に対応する第１情報（「５５」）と評語（「Ａ−」）とが併せて表示される。
【００４７】
以上に説明した各実施形態および各変形例は、任意に組み合わせることも可能である。
【００４８】
（ハードウェア構成およびプログラム）
上述の各実施形態および各変形例のＩＳＭＳ支援装置は、ＣＰＵ（Central  Processing  Unit）などの制御装置と、ＲＯＭやＲＡＭなどの記憶装置と、ＨＤＤやＳＳＤなどの外部記憶装置と、ディスプレイなどの表示デバイスと、マウスやキーボードなどの入力装置（入力部２０）と、通信Ｉ／Ｆなどの通信装置とを備えており、通常のコンピュータを利用したハードウェア構成となっている。上述の第１表示制御部３０、第２表示制御部４０、生成部５０、特定部６０、第３表示制御部７０の各々の機能は、ＩＳＭＳ支援装置のＣＰＵが記憶部１０に格納されたプログラムを展開して実行することにより実現される。また、上述した記憶部１０は、ハードウェアで実現される要素であり、記憶装置または外部記憶装置に含まれる。
【００４９】
上述した各実施形態および各変形例のＩＳＭＳ支援装置で実行される各種プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよいし、インターネット等のネットワーク経由で提供または配布するように構成してもよい。また、各種プログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。
【符号の説明】
【００５０】
１０  記憶部
２０  入力部
３０  第１表示制御部
４０  第２表示制御部
５０  生成部
６０  特定部
７０  第３表示制御部
１００  ＩＳＭＳ支援装置
２００  ＩＳＭＳ支援装置
【先行技術文献】
【特許文献】
【００５１】
【特許文献１】特開２００５−２９３２６７号公報
【図１】
2013196191.tif 000003
【図２】
2013196191.tif 000004
【図３】
2013196191.tif 000005
【図４】
2013196191.tif 000006
【図５】
2013196191.tif 000007
【図６】
2013196191.tif 000008
【図７】
2013196191.tif 000009
【図８】
2013196191.tif 000010
【図９】
2013196191.tif 000011
【図１０】
2013196191.tif 000012
【図１１】
2013196191.tif 000013