2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

2018.6.8.JSSA大会

システム監査における情報セキュリティ監査の位置づけ「A Consideration of Information security audit within
Systems Audit」

2018年06月08日
情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

システム監査における情報セキュリティ監査の位置づけ
目

次

１．システム監査基準（２００４年）と情報セキュリティ監査
２．初期システム監査基準（１９９６年以前）と情報セキュリティ
３．改訂システム監査基準と情報セキュリティ監査
４．システム監査と情報セキュリティ監査
５．まとめ

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

2

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

１.システム監査基準と情報セキュリティ監査１＜基準改訂の経緯・経過＞• 昭和６０年（１９８５年）１月 「システム監査基準」策定• 平成８年（１９９６年）１月 「システム監査基準」１９９６年改訂
・情報化環境の変化への対応
・国際化への対応
・災害対策への対応• 平成１５年（２００３年）４月「情報セキュリティ監査制度」の運用開始• 平成１６年（２００３年）７月「システム監査基準検討委員会」設置• 平成１６年（２００３年）９月システム監査基準ＷＧ、システム管理基準ＷＧ発足• 平成１６年（２００４年）４月～５月システム監査基準（案）及びシステム管理基準（案）に対するパブリックコメント募集• 平成１６年（２００４年）１０月 「システム監査基準２００４年改訂
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

3

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告１.システム監査基準と情報セキュリティ監査２＜平成１６年改訂の背景・ポイント＞• ＩＴ技術の革新への対応• 事業における情報システムの位置づけの変化への対応• 社会に対する説明責任の高まりと保証型監査の必要性• 情報システム管理の標準と監査人の行為規範の峻別→情報システム管理の標準としてのシステム管理基準→システム監査人の行為規範としてのシステム監査基準• 情報セキュリティ監査制度との関係整理

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

4

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

１.システム監査基準と情報セキュリティ監査３＜平成１６改訂の方針＞
１．情報セキュリティ監査基準との整合性を確保する。
監査論として異なるものではない。原則論としてのシステム監査基準は情報セキュリティ監査基準をベース
２．基準の構成について実施基準は従来のチェックポイント方式ではなく、一般基準、報告基準と同様の記述方式とする。
３．平成８年版の実施基準をシステム監査基準から切り離し、システム管理基準を作成するベースとしている。
４．平成８年版システム監査基準との継続性実施基準に監査手順の項目を設け、「システム監査は監査計画に基づき、予備調査、本調査、評価・結論の手順により実施～」とした。
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

5

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

１.システム監査基準と情報セキュリティ監査４■平成１６改訂システム監査基準と情報セキュリティ監査
１．システム監査基準（前文）
今回の改訂は、昨年４月に創設された情報セキュリティ監査基準との整合性を図り、従来の実施基準の主要部分を抜き出し、システム管理基準として独立させ～
Ⅳ．実施基準
６．情報セキュリティ監査
情報セキュリティ監査については、原則として情報セキュリティ管理基準を活用することが望ましい。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

6

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

１.システム監査基準と情報セキュリティ監査５■平成１６改訂システム監査基準と情報セキュリティ監査
１．システム管理基準（前文）
なお、情報セキュリティの確保から監査を実施する場合には、情報セキュリティ監査制度に基づく情報セキュリティ監査を行うことが要請される。一方で、システム管理基準においても情報セキュリティの確保に関連する最小限の項目で体系化しているが、それぞれの項目が挙げられているが、それぞれの項目について、「情報セキュリティ管理基準を活用して監査を実施することが望ましい。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

7

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

２.初期システム監査基準と情報セキュリティ１＜システム監査基準（１９８５年）と情報セキュリティ＞
２．実施基準（チェックリスト方式：～しているか）■企画業務
１．計画 ２．調査・分析 ３．開発検討 ４．要員管理■開発業務
１．開発手順 ２．要員管理 ３．システム設計
４．プログラム設計 ５．プログラミング ６．システムテスト■運用業務
１．オペレーション ２．入力データの作成及び入力
３．データ及びプログラムの管理 ４．ファシリティ管理
５．出力情報の管理及び活用 ６．要員管理 ７．外部委託
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

8

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

２.初期システム監査基準と情報セキュリティ２＜システム監査基準（１９８５年）と情報セキュリティ＞
２．実施基準（チェックリスト方式：～しているか）■企画業務
１．計画（６）計画書には適切なセキュリティ対策が記載されているか。

■開発業務
３．システム設計（３）システム設計書には、セキュリティ確保のための各種コントロールが盛り込まれているか。
４．プログラム設計（３）プログラム仕様の標準化、モジュール化等は、作業量、スケジュール、セキュリティ、保守等の観点から適切か。

■運用業務
７．外部委託（４）委託先におけるセキュリティ対策及び進捗状況が適切に把握されているか。
〇データの漏洩・破壊・改ざん、プライバシーの侵害、不正使用、機密保護、障害対策、誤謬・不正防止、データのインテグリティ
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

9

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

２.初期システム監査基準と情報セキュリティ３＜システム監査基準（１９９６年）と情報セキュリティ＞
２．実施基準（チェックリスト方式：～しているか）■企画業務
１．情報戦略 ２．全体計画 ３．開発計画
４．システム分析・要求定義■開発業務
１．開発手順 ２．システム設計 ３．プログラム設計
４．プログラミング ５．システムテスト ６．移行
■運用業務
１．運用管理 ２．入力管理 ３．データ管理 ４．出力管理
５．ソフトウェア管理 ６.ハードウェア管理 ７．ネットワーク管理 ８．構成管理 ９．建物・関連設備管理
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

10

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

２.初期システム監査基準と情報セキュリティ４＜システム監査基準（１９９６年）と情報セキュリティ＞
２．実施基準（チェックリスト方式：～しているか）■保守業務
１．保守手順 ２．保守計画 ３．保守の実施
４．保守の確認 ５．移行 ６．旧システムの廃棄■共通業務
１．ドキュメント管理 ２．進捗管理 ３．要員管理
４．外部委託５．災害対策（リスク分析、災害時対応計画、バックアップ、代替処理・復旧）
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

11

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

２.初期システム監査基準と情報セキュリティ５＜システム監査基準（１９９６年）と情報セキュリティ＞
２．実施基準（チェックリスト方式：～しているか）■企画業務
２．全体計画（７）全体計画はセキュリティ対策の方針を明確にしているか。

■運用業務
１．運用管理(13)情報システムのセキュリティに関する教育及び訓練をユーザに対して実施しているか。

■共通業務
４．要員管理 ３．教育・訓練(2)教育・訓練のカリキュラムは、技術力の向上、業務知識の習得、情報システムのセキュリティ確保等から検討しているか。
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

12

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査１■システム監査基準
前文（システム監査基準の活用にあたって）「１」システム監査の意義と目的「２」システム監査基準の意義と適用上の留意事項
・ また、情報セキュリティ監査制度に基づく監査を実施する場合においては、「情報セキュリティ監査基準」をあわせて参照することが望ましい。
・「３」システム監査上の判断尺度・ 特に、情報セキュリティの監査に際しては、「システム管理基準」とともに、「情報セキュリティ管理基準」を参照することが望ましい。
【基準３】システム監査に対するニーズの把握と品質の確保
２．システム監査上の判断尺度を確定する際の客観的な参照基準として、「システム管理基準」及び「情報セキュリティ管理基準」が推奨される。
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

13

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査２■システム管理基準
前文（システム管理基準の活用にあたって）
なお、情報セキュリティの確保に焦点をおいて情報システムの監査･管理を実施する場合には、当基準でも情報セキュリティの確保に関連する最小限の項目で体系化しているが、それぞれの項目については、「情報セキュリテ
ィ管理基準（平成２８年改正版(経済産業省)等を活用して独自の管理基準を策定することが望ましい。
・（略）なお本基準では、「情報セキュリティ管理基準」における要求事項との対応関係の理解を容易にするために、「情報セキュリティ管理基準参照表」を付してある。これを参照して各企業のリスク特性を勘案して独自の管理基準の策定に利用されたい。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

14

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査３■情報セキュリティ管理基準参照表のイメージ（項目限定し筆者作成）
システム管理基準

ＩＴ
ガ
バ
ナン
ス

企画
フ
ェ
ーズ

開発
フ
ェ
|ズ

情報セキュリティ監査基準

シス
テ
ム
テス
トアジ
ャイル
開発

・

運用
・
利用
フ
ェ
ーズ

イン
シ
デン
ト
管理

保守フ
ェ
ーズ

外部
サー
ビス
管理事
業継続管理

人的資
源管理

ドキ
ュ
メン
ト管理

Ⅳマネジメント基準
５．情報セキュリティのための方針群
６.情報セキュリティのための組織
７．人的資源のセキュリティ△〇

略１６．情報セキュリティインシデント管理〇〇

１７． 事業継続～情報セキュリティ側面

〇

１８．順守
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

15

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査４■システム管理基準中の中項目中の情報セキュリティ項目
Ⅰ．ＩＴガバナンス
８．情報セキュリティの評価・指示・モニタ
Ⅴ．運用・利用フェーズ
１．運用管理ルール ２．運用管理 ３．情報セキュリティ管理 ４．データ管理
Ⅵ．保守フェーズ
・
１．保守ルール ２．保守計画 ３．情報セキュリティ管理
４．変更管理■Ⅰ．ＩＴガバナンス
８．情報セキュリティの評価・指示・モニタ(１) 経営陣は、情報セキュリティの現在及び予想される環境変化を考慮し評価すること。
(2) 経営陣は、情報セキュリティの目的及び戦略を明確にして指示すること。
(3) 経営陣は、情報セキュリティ対策の有効性をモニタしていること。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

16

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査５■Ⅴ．運用・利用フェーズ
３．情報セキュリティ管理
3．１ 情報セキュリティ管理ルール(1) 運用管理者は、組織の情報セキュリティ方針に基づいて運用の情報セキュリティ管理ルールを作成し、遵守状況を確認すること。
(2) 運用管理者は、サイバー攻撃への対処策を作成し、有効性を保つこと。
(3) 上記以外の情報セキュリティ管理策については、情報セキュリティ管理基準参照表
・を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
3．２ アクセス管理(1) 運用管理者は、情報セキュリティ方針に基づいて、運用システムへのアクセス管理ルールを作成し、情報システム部門長の承認を得て、適切に運用すること。
(2) 運用管理者は、データへのアクセスコントロール及びモニタリングを、実施すること。
(3) 上記以外のアクセス管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

17

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査６■Ⅴ．運用・利用フェーズ
４．データ管理(12) データ管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
５．ログ管理(3) ログ管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準・参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
６．構成管理６．１ 機器の構成管理(６) 機器の構成管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
６．２ ハードウェアの構成管理(７) ハードウェア管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

18

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査７■Ⅴ．運用・利用フェーズ
６．３ ネットワークの構成管理(７) ネットワーク管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
７．ファシィリティ管理(７)ファシィリティ管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
・
９．インシデント管理
９．１インシデント対応の管理(７)インシデント管理にかかわる情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

19

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

３.改訂システム監査基準と情報セキュリティ監査８■Ⅵ．保守フェーズ
３．情報セキュリティ管理(1)

保守管理者は、外部調達に関するぜい弱性情報及び修正コード情報の収集に努めること。
(2) 保守管理者は、収集したぜい弱性情報及び修正コード情報について、自社システム環境への適用の必要性を調査・分析し、適用の是非を決定すること。
(3) 保守管理者は、ＯＳなどの自動適用可能なソフトウェアの修正コードについて、適用・方針を決め確実な適用を行うこと。
(４) 保守管理者は、コンピュータウィルス対策ソフトウェア（以下「ウィルス対策ソフト」という）及びパターン定義ファイル（以下「パターンファイル」という）の更新の適用を実施すること。
(５)上記以外の情報セキュリティ管理策については、情報セキュリティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること。
６．ソフトウェア管理(６) ソフトウェア構成管理にかかわる情報セキュリティ管理策については、情報セキュリ
ティ管理基準参照表を利用して、情報セキュリティ管理基準の該当箇所を参照すること
20
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

４．システム監査と情報セキュリティ監査１■システム監査基準と情報セキュリティ＜第１期：初期システム監査基準と情報セキュリティ＞
・（情報）セキュリティという用語自体使用されていない。
・データの漏洩・破壊・改ざん、プライバシーの侵害、不正使用、機密保護、障害対策、誤謬・不正防止、データのインテグリティ
・災害対策（ リスク分析、災害時対応計画、バックアップ、代替処理・・復旧）
・情報システム安全対策基準、コンピュータウィルス対策基準
・不正アクセス対策基準○システム監査に情報セキュリティ監査が含まれていた時代
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

21

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告（参考）システム監査技術者育成カリキュラム■第５部システム監査のケーススタディ：
第１章 情報システム運営の監査（１）組織体制の監査 （２）要員管理の監査 （３）情報化投資の監査

第２章 システムライフサイクルの監査（１）企画業務の監査 （２）開発業務の監査 （３）運用業務の監査（４）保守業務の監査

第３章 アプリケーションシステムの監査（１）アプリケーションシステム監査の考え方（２）販売情報システム （３）購買情報システム （４）生産情報システム（５）会計情報システム （６）人事情報システム

第４章 テーマ別監査（１）セキュリティ監査（２）ネットワークシステムの監査（３）データベースの監査 （４）ＥＵＣの監査 （５）アウトソーシングの監査（６）ソフトウェアパッケージの監査

第５章 総合演習＊（１）システム監査の導入 ＊（２）システム監査の実施「システム監査技術者育成カリキュラム１９９４」より2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

22

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

４．システム監査と情報セキュリティ監査２＜第２期：２００３年情報セキュリティ監査制度創設以降＞
・情報セキュリティ監査基準と情報セキュリティ管理基準
・大きいＩＳＭＳ認証の役割■システム監査と情報セキュリティ監査の特徴など
・監査対象：情報システム、情報セキュリティ監査：情報資産・・システム監査：信頼性、安全性、効率性＋有効性
・システム監査：システムのライフサイクル全般に係る監査（情報戦略・企画段階含）・情報セキュリティ監査：安全性・信頼性、機密性、完全性、可用性
・システム監査は助言型、情報セキュリティ監査は保証型中心・システム監査は民間中心、情報セキュリティ監査は官公庁中心○情報セキュリティ監査が大きく普及した時代
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

23

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

４．システム監査と情報セキュリティ監査３＜第3期：改訂システム監査基準＞
システム管理基準の構成

情報セキュリティ管理基準：管理策

Ⅰ ＩＴガバナンス

Ａ５

情報セキュリティ方針群

Ⅱ 企画フェーズ

Ａ６

情報セキュリティのための組織

Ⅲ 開発フェーズ

Ａ７

人的資源のセキュリティ

Ⅳ アジャイル開発

Ａ８

資産管理

Ⅴ 運用・利用フェーズ

Ａ９

アクセス制御Ⅵ 保守フェーズ

Ａ１０

暗号

Ⅶ 外部サービス管理

Ａ１１

物理的及び環境的セキュリティ

Ⅷ 事業継続管理

Ａ１２

運用のセキュリティ

Ⅸ 人的資源管理

Ａ１３

通信のセキュリティ

Ⅹ ドキュメント管理

Ａ１４

システムの取得、開発及び保守

Ａ１５

供給者関係

Ａ１６

情報セキュリティインシデント管理

Ａ１７

事業継続マネジメント

Ａ１８

遵守

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

24

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

４．システム監査と情報セキュリティ監査４＜第3期：改訂システム監査基準＞
システム管理基準の構成

情報セキュリティ管理基準：管理策

Ⅰ１ ＩＴガバナンス：方針・目標
Ⅰ２ ＩＴガバナンス：組織体制

Ａ５

情報セキュリティ方針群

Ａ６

情報セキュリティのための組織Ⅸ

Ａ７

人的資源のセキュリティ

Ａ８

資産管理

Ａ９

アクセス制御人的資源管理Ⅴ６ 運用・利用：構成管理Ⅴ３ 運用・利用：アクセス管理

Ⅴ３ 運用・利用：アクセス管理
Ａ１０ 暗号
Ⅴ７ 運用・利用：ファシリティ管理 Ａ１１ 物理的及び環境的セキュリティ
Ⅴ
運用・利用フェーズ
Ａ１２ 運用のセキュリティ
Ⅴ６ 運用・利用：構成管理¥¥Ａ１３ 通信のセキュリティ

Ⅹ

開発＆保守フェーズ

Ａ１４ システムの取得、開発及び保守Ⅶ

外部サービス管理Ａ１５ 供給者関係

Ⅴ９ 運用・利用インシデント管理 Ａ１６ 情報セキュリティインシデント管理
Ⅷ
事業継続管理Ａ１７ 事業継続マネジメント
Ⅰ７ コンプライアンス
Ａ１８ 遵守2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

25

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

５． まとめと今後の課題■まとめ・システム監査基準が初めて制定された１９８５年当時は、情報セキュリティ監査という用語自体が一般的でなく、システム監査の中に包含されていた。
・２００３年に情報セキュリティ監査制度が創設、ＩＳＭＳ認証制度も開始され保証型監査の色彩が強い情報セキュリティ監査は目覚ましく普及した。
・一方、システム監査はＩＴガバナンスとして重要な役割を担うのも事実である。
・改訂システム監査基準の構成をみると、情報セキュリティ管理策と深く係っており、情報セキュリティ監査抜きにシステム監査を語れない時代といえる。
■今後の課題・中小企業向けた各種情報セキュリティ研究を行ってきており、システム監査基準の中小企業への適用等も含め、研究として深めていきたい。
2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

26

2017 年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会 合同研究会」成果報告

ご清聴ありがとうございました。
研究会は、さらに情報セキュリティとシステム監査の有効性と効率性を「深堀り」します。 研究会への参画をお待ちしております。
情報セキュリティ合同研究会＜２０１７年度 研 究 会 参 加 メ ン バ ー （敬称略）＞
川辺 良和【㈲インターギデオン】 ：主査、発表者

植野 俊雄

【ＩＳＵ】

芳仲 宏

【システム監査技術者】

長野 加代子 【㈱ピーアンドアイ】
田中良治【システム監査技術者】

2018.06.08JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2018JSSAシステム監査学会－「情報セキュリティ研究プロジェクト&情報セキュリティ専門監査人部会 合同研究会」 All right reserved.

27