1 .マネジメント監査サービス
1.0監査方針確認
1.01監査目的・監査スコープ確認
1.011サイバーリスク認識の確認
1.02監査基準選定
1.03監査実施計画策定
1.1サイバーセキュリティマネジメント監査
1.11ポリシー・管理体制評価
1.12セキュリティリスクアセスメント評価
1.121情報資産評価
1.122脆弱性・脅威・リスク評価
1.13リスク対策規程整備状況評価
1.14リスク対策規程運用状況評価
1.15自己点検・改善状況評価
1.2サイバーセキュリティ対策運用評価
1.21日常インシデント管理体制評価
1.211モニタリング・監視体制評価
1.212ログ管理体制評価

監査要件確認 P.3参照
リスク認識確認 P.4参照

マネジメント監査としては、従来よりシステム監査や情報セキュリティ監査が実施されていますが、昨今のサイバセキュリティ・リスク環境を鑑み、サイバーセキュリティに特化した監査も行われています。
本サイバーセキュリティ監査では、それぞれの組織のサイバーセキュリティ発生構造や対策実施状況に合わせて、自律的にかつ継続的に、サイバーセキュリティ対策が有効に実施されることを支援します。すなわち、PDCA管理による対策の改善が継続して実施されている状態を目指します。
サイバーセキュリティ監査を効率的・効果的に実施し、実効を上げるためには、セイバーセキュリティ・リスクアセスメントを的確に実施することが前提になります。セイバーセキュリティ・リ
スクは組織のシステム利活用方法、システム運用環境、セキュリティ対策状況、に合わせて実施することになります。

1.22緊急時対応体制評価
1.23外部委託管理評価
1.24クラウドセキュリティ運用評価
1.25BCP対策評価
1.26SNS利用体制評価
1.27セキュリティ教育評価©NPO東京ITC2016

サイバーセキュリティ監査は、第三者による助言型で行われます。リスクアセスメントの下に、サイバーセキュリティ対応態勢、リスク対策、等も考慮に入れて、段階的に改善することを目指します。
また、重要性・緊急性・リスク強度から、監査テーマを適宜設定してタイムリーに実施することも有効と言えます。
2

付1.1

サイバーセキュリティ・マネジメント監査要件の確認❶マネジメント監査目的 と位置づけの確認
・ビジネスリスク認識
・監査・診断・コンサルの目的適合性と効率性・経済性
サイバーセキュリティ・マネジメント監査目的等・目的の確認□情報資産ライサイクル視点の完全性、機密性、可用性確保□対策の有効性と残存リスク評価□特定テーマに係わる運用状況□サイバーセキュリティリスク管理状況□情報資産価値評価□情報環境資産の脆弱性評価□脆弱性に対する脅威の評価□リスクの影響度・発生可能性評価□リスク対策の有効性評価□残存リスク評価□委託管理‥選定基準・定期評価基準□個人情報保護等安全管理措置□特定個人情報安全管理措置□クラウド運用の脆弱性診断□Webアブリの脆弱性診断□プラットフォームの脆弱性診断
・位置づけ□内部監査の一環として監査□内部統制の〃□コンプライアンス監査の〃❷マネジメント 監査対象の確認□対象システムの要件確認
システム機能要件／非機能要件
システムの稼働環境
システムの運用環境□システムの対象フェーズ確認
企画・設計
開発・テスト・導入
運用・保守
ユーザ利活用

©NPO東京ITC2016❸マネジメント監査手続 と手順の確認
・監査体制と被監査部門の負荷‥期間・工数・費用対効果❸-1マネジメント監査手続❸-2マネジメント監査手順

目的設定□内部目的‥助言型□外部目的‥保証型
監査基準□システム監査/管理基準□情報セキュリティ〃□法制度実施ガイドライン□監督官庁ガイドライン□PCI DSS
監査方法□面談‥チェックリスト□アンケート、自己診断□運用記録閲覧、文書レビュー□記録のサンプリング評価□脆弱性侵入テスト□各種HP自己診断‥IPA推奨基準
監査結果評価
□検出事項
□指摘事項
□改善助言

1.経営計画による位置づけ確認
中期経営計画 /年度経営計画
情報化中期計画 /年度計画反映

中期セキュリティ監査計画
基本セキュリティ監査計画
個別セキュリティ監査計画
2.監査実施計画の策定
監査テーマと対象範囲
監査スケジュール
監査手順の明確化

3.予備調査システム運用概況把握
4.本調査
5.分析・評価・結論
6.監査結果の報告
7.フォローアップの実施❹ マネジメント監査の有効性確保の前提
監査実施の前提等□守秘契約締結□監査効率化のための協力体制
・監査責任者および監査窓口と業務分担の決定
・被監査部門責任者および担当者への周知
・他の監査・検査との連携および調整□被監査部門の協力依頼
・ヒアリング時間の確保、アンケート提出依頼
・・監査証跡提供依頼
承認記録、議事録、運用記録等の閲覧

3

付１.２
経営方針
リスク管理方針確認

サイバーセキュリティ・リスク管理態勢の評価
部門長/
責任者会議
役割確認

組織・体制・役割・計画・運用ルール・承認・モニタリング・記録・PDCA管理

事業に関係する
外部環境情報法制度の確認

トップダウン・リスクアプローチの確認
規程体系・整備方針の確認(1)コンプライアンス・リスク(2)個人情報保護リスク(3) Jマイナンバー対応リスク(4)情報セキュリティ・リスク
(5)サイバーセキュリティ・リスク
(6)システムリスク(7)内部統制リスク‥

対策の優先度と責任体制の確認
リスク管理計画
経営・サイバーリスク
委員会の運営徹底
全社的サイバー
リスク態勢整備
PLAN

リスク方針・計画規程整備
管理責任態勢
継続的リスク棚卸
教育と見直しリスク棚卸・評価

経営の役割
システム部の役割
各部の役割

プロジェクト計画

リスク一覧

リスク特定
リスク評価

業務フロー

リスク評価
マップ

外部委託台帳システム構成図

リスク対策
合理的なサイバー
リスク対策推進ＤＯ

発生時対応

コンティンジェンシー・プラン

リスク監視
モニタリング監査

毎期見直されているか

リスク管理体制
見直し改善の運用
ACTION

抑止・牽制
防止
検知
修正・回復

日常点検
障害予兆発見

自動監視
ログ

対策改善
改善運用

是正・予防
対策投資

緊急是正
通常改善

リスク対策の運用マニュアル整備状況‥

指示したことへの報告状況

サイバーリスク
状況監視
CHECK

リスク対応

リスク回避低減・軽減
移転・転嫁
受容・保有

導社
入内
プシ
ロス
ジテ
ェム
ク管
ト理、、
業個
務人
フ情ロ
ー報、取扱
等、ＷにＥ
おＢ
け脆る弱
脆性
弱、性外
へ部の業
対務応委
託、委託先管理体制の状況

4©NPO東京ITC2016

付1. ３

サイバーセキュリティ・リスク認識確認例
リスク連鎖

脆弱性

管理体制不備・弱体・脆弱
設
備的脆
弱性

物理的保護環境
入室管理状況

復旧遅延・困難

ハード障害・回線障害・停止

電源・空調・機器
保守状況

⑤

④⑧

サービス品質・信頼性低下

ソフトバグ発現
データ破壊
ＢＣＰ不十分

ウィルス対策ソフト、
セキュリティホール

②③ ⑦
規程誤用・悪用・不正システム障害・誤作動③⑤

組織・人的管理体制不十分

顧客個人情報・取引データ漏洩□自社のブランドイメージ毀
損・信用失墜③
運用ミス発生疫病等対策⑦⑧アクセス・PW・ログ
管理体制不十分

情報セキュリティ
脆弱性露呈

保管状況・施錠・PW設定不備運用ルール・承認プロセス・職務分離©NPO東京ITC2016

顧客離れ

事務過誤リスク

業務体制崩壊事業・所管・場所・技術で適宜区分

□自社従業員の経済的損
失・精神的苦痛□自社顧客の経済的損失

サービス提供停止⑤⑥

教育訓練体制保有情報資産

投資家離れ□自社顧客の精神的苦痛

業務経験不
足・知識不足

入口・内部・出口不備

特定□社会への悪影響□市場への悪影響①②

システム設計仕様・
性能設計不備サイバー攻撃対応運用
的脆
弱性

コンプライアンス
法令違反リスク

過負荷発生

運用監視体制バックアップ体制

技術
的脆
弱性

脆弱性と脅威の遭遇 によるインシデント発生管理①④ ⑥

回線ルート・能力

自社・利害関係者へのリスクの影響③⑦

取引データ毀損
財務データ毀損

情報媒体・機器の不正使用・盗難・紛失□経営資産の毀損□財務報告の信頼性低下□内部統制不備

脅威①外部環境脅威
自然災害、雷・火災・停電②社会環境変化
制度変更、技術
革新、パンデミッ
ク③偶発的人的過失 ⑤偶発的事項⑦意図的内部不正
操作ミス、不注意 想定外業務ケー
不正行為、不正使用
ス通勤困難
不正アクセス④偶発的故障⑥意図的不法行為 ⑧意図的攻撃
機械故障・回線エ
不法侵入、物理的破 侵入・破壊、なりすま
ラー、潜在バグ
壊、不正アクセス
し、サイバー攻撃‥サイバー攻撃□不正アクセス・DoS/DDoS攻撃等□マルウェア□標的型メール□ゼロディ攻撃□PWリスト攻撃評価

リスク影響評価
リスク対策検討
5