May 2024

日本システム監査人協会

認定 NPO 法人

会報2024 年 5 月号

日本システム監査人協会報

278

No

No.278（2024 年 5 月号）＜4 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━

ああ
IT パスポート（国家試験）の累計応募者数が200 万人を突破！

巻頭言『システム監査人に求められる専門能力と監査技術の向上』
会員番号：1709 荒町弘（副会長）2023 年に世間の注目を集めた生成 AI 活用は多くの組織で検討及び導入が進められつつあり、2024 年は多くの組織において導入が加速しそうです。人口減少や少子高齢化・生産年齢人口の減少という避けることのできない社会環境変化のもと、各種業務においては、情報システムの多機能化だけでなく、BPR（業務の見直し）や RPA ツール等を活用した業務処理の自動化を図る等の工夫により一層の効率化に向けた取組みが進められているところです。
自治体のシステムを例に挙げると、システム標準化・共通化を進めるにあたり、パッケージを提供するベンダーは国の示す標準仕様に準拠したシステムの提供を行い、システム利用者である地方公共団体においては、標準システムに合わせた業務運用を行うために、これまでの事務の流れを見直し改善するための BPR を進める等の取組みが行われつつあります。
情報システムが支える組織活動全体をみると、基幹システムだけでなく、基幹システムに連携する関連シ
ステムや、関連システムの運用上で活用する各種ツール等にまで目を配り、業務とシステム全体を見渡した
品質維持や監査の視点が必要となってきます。当然ながら、情報セキュリティ対策の徹底も必要になってくるため、システム管理者だけでなく利用者においても各種ツールの果たす役割をしっかり理解し、思いもよ
らぬインシデントの原因を作ってしまわないような運用を徹底することが必要です。
情報システムとその運用形態が多様化しつつあるため、システム監査の対象領域・範囲も自ずと拡大していくことが想定されます。これらの状況に柔軟に対応できるよう、システム監査人に求められる専門能力と監査技術の向上が更に重要となってくると考えます。
以上

日本システム監査人協会 会報1

May 2024

日本システム監査人協会

各行から Ctrl キー+クリックで

会報

＜目次＞

該当記事にジャンプできます。

○

巻頭言....................................................................................................... 1【 システム監査人に求められる専門能力と監査技術の向上 】

１．めだか...................................................................................................... 3【 時代が求めるシステム監査 ‐ “正しい”を疑え！ ‐ 】

２．投稿......................................................................................................... 4【 投稿 】情報漏えい事案で、なぜ社長は辞任しなくてはならなかったのか【 エッセイ 】雪女【 コラム 】システム監査のための会計・法律・数学・理科・教育課程再入門（5）3．本部報告.................................................................................................... 13【 第 285 回月例研究会 講演録 】
テーマ：「IT ガバナンスのアセスメント規格（JIS Q38503）について」

4．支部報告.................................................................................................... 18【 北信越支部 2024 年度支部総会・富山県例会/3 月リモート例会報告 】

5．注目情報.................................................................................................... 23【 令和 5 年度の IT パスポートの年間応募者数が 2 年連続で 25 万人超に、累計応募者数は200 万人を突破 】

6．セミナー開催案内...................................................................................... 24【 協会主催イベント・セミナーのご案内 】

7．協会からのお知らせ...................................................................................... 25【 新たに会員になられた方々へ 】【 協会行事一覧 】

8．会報編集部からのお知らせ

日本システム監査人協会 会報............................................................................. 27

2

May 2024

日本システム監査人協会

会報2024.4
めだか 【 時代が求めるシステム監査 ‐ “正しい”を疑え！ ‐】「時代が求めるシステム監査」を考える。時代が求めるとは、大きくは気候変動、戦争、ウ
イルスによるパンデミック等に時代が求めるものであり、システム監査が求められるものとは、正しさである。生成 AI などシステム監査が置かれた環境が音を立てて動いている時代に、シス
テム監査やシステム監査人に求められているものは何か、そしてシステム監査人は求められている更にその先を目指して、どう立ち向かっていけばよいのか、を考えていきたい。さて資料の概要では、“「自分の考えは絶対に正しい」と自分の意見を押しつける人、他人の意見に安易に流される人…、不安と不信が蔓延する社会において私たちはいったい何を拠り所にすればよいのか？”を、問いかけている。
世の中は、”正しい”に満ちている、この、“正しい”は、「世間の多くの人と同じ考え方をしている」という意味である。
「場の空気を読めている」とも言える。では、「空気を読む」のは、“正しい”ことなんだろうか。筆者はいう。“試みに、太平洋戦争の始まりを振り返ってみよう。明治維新以降、富国強兵、殖産興業
をスローガンに成長してきた日本は、日清・日露の両戦争を経て、先進国の仲間入りを果たした。しかし、経済力、軍事力においてアメリカやイギリスなど列強の足もとにも及ばない。冷静に考えれば、それらの国と戦争をするなんて、無茶な話である。なのに、戦争を始めてしまった。国民が生んだ嵐のような熱気が、戦争気運を燃え上がらせたからだ。”という。時に、“大衆の意見（民意）は、取り返しのつかない方向
へ怒涛のように流れてしまうものだ”と、いうことである。
いっぽう、“総務省などの調べによると、中高生がスマホを見ている平均時間は、１日 3 時間以上だそうだ。”そして、”直接会ったこともない相手との間で進むコミュニケーションは、生きて行く上で大切なことを、置き去りにしている気がする。”、“誇張や小さなウソは、コミュニケーションを活発にする演出だと思っているからか、また SNS での関係は、「善意」ではなく「願望」を前提に成り立っていると考えるほうがいいかもしれない。”、それから、不安・孤独社会で“正しい”を探す人の行動には、もう一つ、大きな衝動が隠れている、それは、“他人に認めてほしいという「承認欲求」だ“という。
不安と不信が蔓延する社会において、何を拠り所にすればよいのか。先ずは、”コミュニケーションは、相手がどういう人か、自分が何者かを、少しでも知り、伝えることができたら、成功だ “と、考えて行動したい。
この時々刻々と変化する時代が求める根本的なものはなにか、システム監査が求められるもの、すなわ
ち正しさを考え、さまざまな出来事と自らの役割に対してあらためて考えてみる必要がある。
（空心菜）
資料：
「“正しい”を疑え！」真山仁 著 岩波ジュニア新書 957（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。
）＜目次＞

日本システム監査人協会 会報3

May 2024

日本システム監査人協会

会報2024.4【投稿】情報漏えい事案で、なぜ社長は辞任しなくてはならなかったのか
会員番号 0436 大石正人

2023 年 10 月に公表されたＮ西社（N 西子会社）からの情報漏えい事案について、総務省は 2024 年 2 月
9 日、「電気通信事業法（第 20 条に規定する指定電気通信役務）に係る顧客データを漏えいさせた事案」として、「個人データの取扱いの委託先の適切な監督について（指導）」文書を発出し、再発防止策を含む必要な措置の実施、実施状況についての報告（同年 3 月 29 日、同報告から少なくとも１年間は、四半期に一度、今後の取組状況について定期的に報告を求める指導を行いました。
（注）総務省の文書では再発防止策には以下を盛り込むこととされています。
「委託先の選定時における個人データの移転の有無の確認、委託契約等における外部サービス提供事業者を管理するために必要な内容の規定、委託先の定期点検の項目への外部サービス利用に伴う個人データの移転の有無等の追加、委託先から外部サービス提供事業者に対する定期点検を通じた適切な安全管理措置の確保等。
」

またこれに先立ち、個人情報保護委員会は大量の個人データが長期間にわたり漏えいしていた事実に鑑
み、2024 年 1 月 24 日付で NTT 西子会社（P 社、B 社）に対し、「個人情報保護法に基づく行政上の措置」
として、勧告、指導と報告の徴求要請を行うとともに、同日付でコールセンター業務を運営又は受託している個人情報取扱事業者に対し、「コールセンター業務における個人データの取扱いに係る安全管理措置従業者の監督及び委託先の監督に関する留意点について（注意喚起）」も発出されています。

その N 西社は 2024 年 2 月 29 日に社長ほかが記者会見し、弁護士など外部専門家を交えた社内調査委員
会の結果を踏まえ、「顧客情報の不正持ち出しを踏まえた N 西社グループの情報セキュリティ強化に向けた取組みについて」公表、説明するとともに、N 西社社長の辞任を表明しました。
（注）事案内容は、繰り返される情報漏えい事案(雑記帳 第 1296 号、２０２３年１２月１日記)で言及しましたが、N 西社がテレマーケティング業務を委託していた子会社 P 社の情報が、システムを委託していた N
西子会社（B 社）に所属の派遣社員により不正に持ち出され外部漏洩し、10 年に渡るその件数が顧客情報としては 928 万件、クライアント数で 69 に上ることが 2024 年 1 月に追加公表されています。

その後のマスコミ報道では、N 西子会社（P 社）が顧客からの調査依頼に対し、N 西子会社（B 社）とともに実施した調査が体制面からも不十分で、不適切行為を見逃したほか、一部は虚偽回答になっていたこと、その背景について、外部弁護士らによる調査委員会報告書では「追加質問を回避したいとの考えや契約継続のために不都合な事実を取り繕う意図があった」という点、この事案を受けてグループ内で緊急点検した結果、他の N 西子会社でも多数の不備事例が見つかった点。また顧客情報及び機密性が高い情報を保有す
る 443 システムにおいて点検の結果、１）情報持出し防止の観点から、会社許可以外の記録媒体・端末の接日本システム監査人協会 会報4

May 2024

日本システム監査人協会

会報

続が可能になっていたのが 16％、２）重要作業のログ収集とログ点検の実施の観点から、アカウントの共用など個人の特定が出来ていなかったのが 19％、ログ点検ができていなかったのが 29％、など情報漏えい防止措置の不備に注目が集中しています。そしてその背景には「責任者の約２割が内部不正は起こり得ないと考えていた」、といったマネジメント面の課題も明らかになりました。

しかしより根本には、N 西社において、子会社である P 社、B 社が過去からの事業再編のなかで、委託・受託関係にある、との認識に乏しく、総務省の指導文書にあるように、「P 社による B 社の同システムの利用
が、個人情報保護ガイドラインに規定する個人データの取扱いの委託に該当する事実認識を欠き」、「業務委
託契約書等にいう業務委託には含まれないとして運用、業務委託先の監督措置の対象としていなかった」という点が大きな問題でした。その結果、「P 社は B 社システムの利用に伴う個人データの取扱いの委託の事実を把握できていなかった」し、「N 西社のテレマーケティング業務の P 社への委託につき、個人データの取扱
いの委託先の必要かつ適切な監督が行われていなかった」と認定されたのです。

このことは N 西社ないし子会社 P 社にテレマーケティング業務を委託しているクライアントにおいて、外部委託先管理の観点から、モニタリングや監査を実施する際に、再委託先としての管理対象として B 社を視野から漏らしてしまう結果を招きます。過去の自身の経験からも、外部監査のスコープに再委託先に対するN 西社ないしテレマーケティング子会社の関与まで入れ切れてなかった反省の念を覚えます。

P 社、B 社と同様の事例が、N 西社グループないしその関連先との間に伏在している可能性は高い、とみるべきでしょう。

また、外部専門家を交えた社内調査委員会報告書の中で、歴史的経緯につき触れたくだりでは、N 西社において、テレマーケティング業務ないしサービス立ち上げ時に、それを支える業務システムについてのノウハウが乏しい中で、機能の提供＝サービスの提供を優先し、情報漏えい防止が後回しにされてきた、その結果情報セキュリティに必要な機能の埋め込みが現場任せになり、例えば N 西社グループの統一基準（情報セキュリティマネジメント規程、など）への準拠性が確保されておらず、その結果先述の緊急点検で、相応の不備事例が発見される結果になった、と推察されます。

N 西社の事業のなかで、テレマーケティング業務は顧客からもグループ内でも採算に対する要請が強い
中、収益性の確保が最優先となりがちでした。また情報セキュリティに知見を有する人材は不足がちで、N
西子会社の B 社（漏えい当事者が従事）では、契約社員・派遣社員の処遇面、監督面、情報セキュリティ重視の動機付けの不足も、外部専門家を交えた社内調査委員会報告書で指摘されています。

この間内部監査も、情報漏えいを起こした事故者の所属部門への監査は、リスクベースでのサンプル
チェックの対象にも選定されていなかったほか、N 西社内部監査部の監査内容も、管理簿へのサイン漏れ、といった外形チェックにとどまり、内部調整の有効性を掘り下げて検証するに至っていなかったようです。
日本システム監査人協会 会報5

May 2024

日本システム監査人協会

会報

情報セキュリティ面の不備と併せ、度重なるグループ内の組織・会社間の機能再編も、実態把握を困難にしていた、との指摘もみられます。

以上の状況に鑑みると、N 西社グループ全体として、再発防止策に取り組むことが強く要請される状況が明らかになりました。このため、抽出された課題への対処に向けて、セキュリティのフレームワーク(米国基準の NIST CS（注）など)に基づく措置を講じるため、3 年間で 100 億円規模の投資を行うとともに、情報
セキュリティ推進体制としてもグループ内に分散していた機能、人材を本体に集約しながら 100 名体制として拡充するかたちで新組織を立ち上げるなど、情報セキュリティ管理体制の強化と、人的物的資源の重点配分、確保を柱として、再発防止に取り組むことを、2024 年 2 月 29 日の N 西社社長会見で表明しました。
（注）National Institute of Standards and Technology の Cybersecurity Framework

2024 年 3 月 29 日が、総務省および個人情報保護委員会から求められている再発防止策にかかる報告書の提出期限でした。3 月末時点ではその内容は各社のホームページなどで改めて公表されていませんが、その前に N 西社として、今回の個人情報漏えいの重大性に鑑み、責任の所在を明らかにしておきたかった、ということでしょう。

しかしその責任の所在とは、N 西社がグループガバナンスとして、電気通信事業法やテレマーケティング
といった、従来の自社になかった事業分野進出に当たり、それを担うに必要な資源配分や適切な情報セキュ
リティ管理体制を構築していなかった、という歴代の不作為やリスク認識の不足を再度深く反省すること、
また収益性を最優先にする企業カルチャーを抜本的に改めること、その必要性を迫ったもの、と認識した方がよさそうです。その意味で、問題は N 西社だけでなく、さらなる親会社＝持株会社＝上場会社である N 社
や N 社グループ全体に波及する可能性を秘めています。

先述の通り、内部監査など内部統制面での指摘も同様にみるべきでしょう。公表された N 西社の外部専門家を交えた社内調査委員会報告書が示唆する教訓を踏まえ、こうした面でもグループガバナンス強化の観点から、他山の石としてくみ取るべき視点があると思われます。顧客情報を預ける委託元企業においても、幅広く参照され、委託先・再委託先の範囲をもれなく認識することの重要性を再認識のうえ、委託先の監督や有効な監査体制、内部統制の強化に向け、活用されることを期待したいと思います。

＜目次＞

日本システム監査人協会 会報6

May 2024

日本システム監査人協会

会報2024.4【 エッセイ 】雪女

会員番号 0707 神尾博

読者諸氏の中には、ネット上の各種サービスにおいて、不意に自身の ID が使えなくなったという経験をされた方もおられるだろう。いわゆる「アカウント凍結」である。Line、X（旧 Twitter）、Facebook 等では、それぞれの利用規約に反した場合に発動される。2023 年には脅迫に使用したということで、警察からサービス会社へ前国会議員の SNS アカウントの凍結を要請したと報道されたが、彼の行為は論外だろう。
2024 年 4 月時点で Google、Microsoft のように「一定の期間の利用がなければ（凍結はおろか）削除する」といった規約のサービスも存在するため、必要時以外は一切使わないことがリスク回避になるとは限らないことに留意しておきたい。

さて、小泉八雲（ラフカディオ・ハーン）の怪談に登場する雪女の持つ妖力も凍結能力だ。武蔵の国のある村（現在の東京都調布市）の樵二人が山中で吹雪に遭遇し、山小屋で一夜を明かそうとした。深夜に屋内に侵入した雪女は老人には息を吹きかけて凍死させるが、もう一人には「お前は若いから命は取らないが、今夜のことを口外しないのが条件だ」と言い残して去って行く。やがて数年後に雪女は、正体を隠して人間の娘の姿で現れ、若い樵と結ばれることになるが……。

他方で、ネット上で身の毛もよだつ Twitter アカウントの「凍結屋」というのが存在する。「規約違反をしている」と Twitter 社に虚偽の通報をすることで、一時的にター
ゲットのアカウント使えなくして、永久凍結されたくないなら金銭を支払えと脅迫するものだ。
また凍結といえば、筆者の手元にも時折届いているが、アカウント停止通知を装った不審なメールにも要注意で、URL をクリックすると一瞬でマルウェアに感染するケースもあるようだ。他には PC 画面が固まることをフリーズ（凍結）と呼ぶが、意図的にこれを発生させ表示された解除サポート先に連絡すると、電子マネーでの振り込み等を要求するといったサポート詐欺というのもあるから、油断もならない。

雪女の物語の結末であるが、樵はうっかり妻に秘密を明かしてしまった。雪女である彼女は「子供たちを立派に育てるなら命を奪うのは許してやる」との言葉を残して霧となって消えた。この魔物には憐憫の情があったのだろう。そういえば、アニメ映画「アナと雪の女王」では、姉のエルサが妹を冷気で傷つけてしまったトラウマを抱えているところから物語が始まる。一方で、ネット上で凍結を悪事に利用するビジネス
ライクな連中には、良心の欠片すら期待するのは無理筋と心得、サービス利用者自身が用心して自らの身を守る以外に手はないだろう。

（このエッセイは、記事提供者の個人的な意見表明であり、SAAJ の公式見解ではありません。画像は Wikiにより著作権保護期間満了後のものを引用しています。）
日本システム監査人協会 会報＜目次＞
7

May 2024

日本システム監査人協会

会報2024.4【 コラム 】システム監査のための会計・法律・数学・理科・教育課程再入門（5）会員番号 1644 田淵隆明

（近畿支部 システム監査法制化推進プロジェクト）§1.はじめに～会計年度の始まり
2024 年度も始まり、学校や会社・官公庁は新しいメンバーを受け入れ、新たなスタートを切った。また、相続登記の義務化(罰則あり)も開始されたので要注意である。
我が国では会計年度は 4 月に始まるが欧米では少ない。その最大の理由は、キリスト教最大の行事である「復活祭」が「春分の日の直後の日曜日」と定められる移動祝日であるだけでなく、グレゴリオ暦基準(カトリック、プロテスタント)では 3 月 22 日～4 月 25 日、ユリウス暦基準(東方正教会)では 4 月 4 日～5 月 5 日であり、両者が一致しないことにあると思われる。今年はグレゴリオ暦基準では 3 月 31 日、ユリウス暦基準
では 5 月 5 日である。2025 年は 8 年ぶりに一致し、4 月 20 日である。
§2.システム・インテグレータ認定・登録制度の制度設計 【システム監査の専門家の出番】
先月号で、「システム・インテグレータ認定・登録」制度を復活案を述べたが、読者の方々より、文部科学省所管の「技術士」のうちの「情報工学」を追加するべきではないかとの意見を頂いたので、提案に追加する。
・1 ポイント →IT パスポート(IP)・3 ポイント →基本情報処理技術者(FE)、情報セキュリティマネジメント(SG)・5 ポイント→応用情報処理技術者(AP)・7 ポイント→ネットワークスペシャリスト(NW)、データベーススペシャリスト(DB)、

エンベデッドシステムスペシャリスト(ES)、システムアーキテクト(SA)、電気通信主任技術者(伝送交換、線路)・10 ポイント →IT ストラテジスト(ST)、プロジェクト・マネージャ(PM)、IT サービスマネージャ(SM)、システム監査技術者(AU)、情報処理安全確保支援士
・10 ポイント(士業)→①弁護士、➁弁理士、③司法書士、④土地家屋調査士、⑤行政書士、⑥社会保険労務士、⑦公認会計士、⑧税理士、⑨中小企業診断士、⑩不動産鑑定士、⑪海事代理士、⑫技術士(情報工学)§3.「脱ゆとり教育」の流れ (→文献[1‐4])
現在の高校カリキュラムは「ゆとり教育」から完全決別したものである。GHQ の介入により排除された「地政学」も GPS などをテコに「地理総合」で解禁された。また学生運動を背景に 1958 年以降急激に進行したシカゴ学派のブルバキズム(物理無視・図形軽視・公理からの演繹法一本)の暴走からも解放されそうである。
[1]「数学 B」と「数学 C」の内容と課題「数学 B」:①数列・漸化式、➁確率分布(確率分布、二項分布、正規分布)と統計的推測③数学と社会生活(移動平均、回帰分析・最小二乗法、ドント式議席配分、収益分析＝簿記の基礎 etc.)「数学 C」:⑪平面・空間のベクトル(含外積)、⑫複素数平面、⑬二次曲線(ケプラー法則を含む)、⑭極座標、⑮数学的な表現の工夫(行列・一次変換‐‐‐4 次まで(含 n 乗,逆行列による連立方程式の解法)、パレート
図、離散グラフ etc.)★共通テストでは、①➁⑪⑫の 4 分野から 3 分野を選択解答することとなっているが、「芋ズル型のミス」のリスクを考えると、「①数列」
・「⑪ベクトル」
・「⑫複素数平面」の 3 分野を選択するのが無難である。
★一般に、「数学 B」を高 2 で、「数学 C」を高 3(一部の学校では高 2 に前倒し)で履修するが、一部の高校では順序を逆にしたリ、高 2～高 3 に 1 単位ずつの並行履修にしているケースも存在する。物理基礎・物理ではベクトルと微分・積分の概念の理解が死活的に重要である。従って、⑪と②は入れ替えた上で、物理基礎の進度を考え、①よりも先に(遅くとも)高 2 の 1 学期に学習する必要がある。また、物理基礎を高 1 配当にしない
ように文科省は通達を出すべきである（中高一貫校で数学 I･A を中３までに履修している場合を除く）。
★戦後のカリキュラムの歴史を見ると、⑫「複素数平面」と「行列・一次変換」は、改正の度に交換トレー
ド・オフになってきた。⑫は解析学者の要請、「行列・一次変換」は代数学者の要請によるものであろう。
しかも、③と⑮は法的には任意履修単元である。しかし、ベクトルと行列と複素数平面は密接な関係があり、どれ一つも欠くことはできない。もし、代わりに必須履修から外すならば②が妥当である。
日本システム監査人協会 会報8

May 2024

日本システム監査人協会

会報[2]「数学 C」における「内積」と物理との関係、及び、「数学 C」における「外積」の取扱い
大変喜ばしいことに「内積」と力学の「仕事」の関係も数学の教科書に明記されるようになった。第一次ゆとり教育(昭和 41～52 年度生に適用)で槍玉にあがった「外積」も教科書(写真は数研出版)で復活している。

[3]「数学 3」におけるカリキュラムの改善★速度・加速度から「等速円運動」へ

日本システム監査人協会 会報9May 2024

日本システム監査人協会

会報

従来から、速度・加速度の導入は「数学 3」の微分の最後の単元で現れていたが、これが高度化されている。なお、「物理基礎」との関係を考えると、最初の 2 枚は「数学 2」の多項式の微分に降ろす必要がある。
★Taylor 展開による近似(左)、及び、運動方程式を出発点とする微分方程式の導入(右)［2‐2］
日本システム監査人協会 会報10

May 2024

日本システム監査人協会

会報§4.食品安全とプベルル酸 (→文献[5,6]) 【システム監査の専門家の出番】
先日、某製薬会社のサプリメントついて、腎臓疾患との関連が報道され、大騒ぎとなっている。原因物質はアオカビから生ずる「プベルル酸」ではないかと言われている。
「機能性表示食品制度」の特徴は、事前審査が無いことである。21 世紀に入り、「規制緩和」万能論が叫ばれてきたが見直しが必要なようである。これは、ノーベル経済学賞受賞者の Joseph.Stiglitz 教授が主張しているように、「新自由主義経済」万能論の見直が必要なのと同様であろう(報道によれば、郵貯・簡保株式の 1/3 超の日本郵政保有を義務付ける法改正の方向)。

§5.リニア中央新幹線と北海道新幹線の函館駅乗り入れ問題(→文献[7])
先日、リニア中央新幹線について、未着工の静岡県だけではなく、長野県・山梨県でも大幅な遅延が発生しており、全線開通は 2037 年以降になることが発表された。1964 年に開通した東海道新幹線は”還暦”を迎え、設備の老朽化が進行しており、大規模メンテナンスが不可避と言われているが、リニア中央新幹線は「バイパス機能」の意味もあっただけに、この遅延は我が国にとって重大なマイナスである。
一方、新幹線の函館駅乗入問題については、同様の問題はフランスのマルセイユの抱えていた。フランス国
鉄はマルセイユ郊外に短絡線を設け、ニース・モナコ方面～パリ間の TGV について、速達型は短絡線経由して通過、各駅型はマルセイユに停車し方向転換してパリに向かうことで解決した。このような柔軟な対応ができなかった元凶は、明治政府の鉄道省の政策的誤り(狭軌レールの採用)である。システムの設計の根本を誤ると、その後、莫大な追加コストが掛かる典型例である。北海道の交通事情を考えると、札幌～東京よりも札幌～函館の鉄道需要が高いことを考慮すると、技術的に課題のある 7+3 両の分割・併結に拘らず、以下のようにするのが現実的であり、かつ、東京～札幌の時間短縮にも資すると考えられる。
・東京方面直通・・・速達型として、新函館北斗→(一部長万部停車)→札幌
・道内完結型・・・・各駅型として、函館→新函館北斗→(各駅停車)→札幌§6.IFRS の P/L の書式変更及び「営業利益」の定義の変更(→文献[8‐12])【システム監査の専門家の出番】
IASB より IFRS の P/L の「営業利益」の定義を統一することが発表された。簡単に言えば、C/F のように「営業活動」
・「投資活動」
・「財務活動」に分割し、営業利益≒EBITDA とする考え方である。

日本システム監査人協会 会報11

May 2024

日本システム監査人協会

会報

EBITDA は Earnings Before Interest, Taxes, Depreciation and Amortization の略であり、「営業利益」
から「減価償却費・償却費・減損損失」を除外したものであり、企業の本業の収支を表すもので、投資や M&Aの世界では広く用いられている。ただし、IFRS の「営業利益」の範囲は JGAAP より広く、金融収益・金融費
用・持分法投資損益を除く、全ての営業外損益・特別損益が含まれることに注意が必要である。
このことは、PL の書式を大幅に変更するものであり、会計システムの監査では非常に重要な論点となる。また、この新書式は直接法の「キャッシュフロー計算書(CF)」との類似性が高く、再び、IFRS において直接法の CF の開示を求める議論が再燃するものと思われる。今回の PL の新書式は各方面からの意見を受け入れ、段階利益が JGAAP よりも 2 個多くなっているので、CF については中国基準のように、直接法及び「間接法との調整表(小計より上の部分)」の双方の開示を求められるようになると思われる。なお、直接法の連結 CF を標準形で自動作成できるシステムは一部に限られており、システムの改修が必要になるケースも頻出すると思われる。筆者も連結 CF を直接法も間接法も自動的に作成できるシステムを開発したことがあるが、直接法の連結
CF を自動作成するためには、個別会計側から売上原価・製造原価の内訳を全て取り込まねばならないことに注意が必要である。
★なお、金融庁の審議会では、2008 年の東京合意における「無形資産全体のコンバージェンス(研究開発費の資産計上が可能となる)」の必要性に続き、IFRS の個別財務諸表への解禁も議題となっている。

※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用、及び、医学的所見については、必ず、御自身で顧問会計士、弁護士、司法書士、医師・薬剤師、その他の専門家の方々への御確認・照会をお願いします。

<参考文献>[1]「「軽減税率」田淵隆明が語る、数学・理科カリキュラム再考」(最新版 2024/3/25)[2]「「軽減税率」田淵隆明が語る、数学・理科カリキュラム再考(Ⅱ)」(最新版 2024/4/15)[3] 教師になれば奨学金返還を免除 「教職大学院生」対象 文科相が方針（FNN プライムオンライン（フジテレビ系）） https://news.yahoo.co.jp/articles/c5446b257ad69d12ef78577a5ff95ee41389c83a[4] 重力子のような性質を持つ粒子を発見！ https://nazology.net/archives/148026[5] https://news.yahoo.co.jp/articles/3e5d5c97976f215a426fe776be6eb5391ff7e7a6[6] https://news.yahoo.co.jp/pickup/6497755[7] 新幹線 “函館駅乗り入れ”―大泉潤 函館市長「札幌延伸と同時に開業」160 億円規模で実現可能との調査結果
https://www.youtube.com/watch?v=UgEmyRzEOqE[8] ASBJ(企業会計基準委員会):投資者による企業の財務業績の分析を支援する新たな IFRS 会計基準
https://www.asb‐j.jp/jp/iasb_activity/press_release/y2024/2024‐0409.html[9] https://www.fsa.go.jp/singi/singi_kigyou/gijiroku/kaikei/20230602.html 弥永委員の発言に注目[10] https://www.fsa.go.jp/singi/singi_kigyou/gijiroku/soukai/20240327.html 金子委員の発言に注目[11]「「軽減税率」田淵隆明が語る、IFRS&連結会計(I)」(最新版 2024/5/6)[12]「「軽減税率」田淵隆明が語る、IFRS&連結会計(II)」(最新版 2024/5/6)<目次>
日本システム監査人協会 会報12

May 2024

日本システム監査人協会

会報2024.4
第 285 回月例研究会 講演録
テーマ：「IT ガバナンスのアセスメント規格（JIS Q 38503）について」
会員番号 1200 豊田諭【講師】日本システム監査人協会 理事・IT アセスメント研究会主査 松尾正行（まつお まさゆき）氏【日時・場所】セミナー開催日：2024 年 3 月 11 日（月曜）18：30‐20：30 (Zoom ウェビナー)【講演骨子】
ISO/IEC 38503‐2022（Assessment of the governance of IT）は ISO/IEC 38500 シリーズ規格のうち唯一のアセスメント規格として 2022 年 1 月発行された。これを受けてわが国では JIS Q
38503（IT ガバナンスのアセスメント）として発行予定である。
この規格は日本の提案に基づき、ISO で開発を進めたものである。ISO プロジェクトの Co‐Editor
及び JIS 化委員会の幹事を務めた経験を踏まえ、IT ガバナンスのアセスメントの原則ベースモデルとフレームワーク、アセスメントの手法と成熟度判定、他規格との関連、今後の動向などを解説する。
【講演録】

１．JIS Q 38503（IT ガバナンスのアセスメント）規格発行の経緯と SAAJ の関与について
日本からの提案が承認されて 2010 年に ISO/IEC TR 30120（IT Audit）の開発が開始され、SAAJ の監査基準研究会（現 IT アセスメント研究会）が支援を開始した。その後 30120 のスコープが見直され、2018 年に経営層向け IT アセスメントガイドライン ISO/IEC 38503（Assessment of Governance of IT）として開発が再スタートした。日本では同じ 2018 年にシステム監査基準/管理基準が改訂されている。
再スタート後は、ISO/IEC の開発プロセスに沿って、2019 年に CD、2020 年に CD2、2021 年に DIS、
FDIS が作成・投票され、2022 年 1 月に ISO/IEC 38503:2022 が発行された。この間、IT アセスメント研究会が規格文書の原案作成を支援した。
これを受けて 2022 年に JIS Q 38503 小委員会、原案作成委員会による JIS 化作業が開始され、SAAJ から
JIS Q 38503 小委員会に 4 名が参加した。JIS Q 38503 は今年発行の予定。
一方で 2021 年より ISO/IEC 38500:2015（Governance of IT for the organization）の改訂検討が開始され、2022 年 CD、DIS、2023 年 FDIS の作成・投票を経て、2024 年 2 月に ISO/IEC 38500:2024 が発行された。ISO/IEC 38500:2024 の JIS 化が予定されており、SAAJ から JIS Q 38500 委員会に参加の予定。

2．JIS Q 38503（IT ガバナンスのアセスメント）について（1）ISO/IEC 38500（IT ガバナンス）シリーズの概説
JIS Q 38503（IT ガバナンスのアセスメント）は ISO/IEC 38503:2022 を基に作成しているが、その参照規格である JIS Q 38500:2015（IT ガバナンス）は古い ISO/IEC 38500:2008 を基に作成されている。
ISO/IEC 38503:2022 は、ISO/IEC 38500:2015、ISO/IEC TS 38501、ISO/IEC TR 38502 を参照してい日本システム監査人協会 会報13

May 2024

日本システム監査人協会

会報

るが、TS 38501、TR 38502 は JIS 化の対象外のため、JIS Q 38503 解説の附録として 38501 と 38502 の要約を載せている。

（2）JIS Q 38503 の構成と参照企画や用語等について●JIS Q 38503 の構成
・JIS Q 38503 は JIS Q 38503 の本体と解説で構成されている。
・解説は JIS Q 38503 の制定の趣旨、経緯、用語の解説等と、引用規格である ISO/IEC TS 38501（IT ガバ
ナンス実装ガイド）、ISO/IEC TR 38502（フレームワークとモデル）の要約を付録としている。
●IT ガバナンスの実装サイクル
・イネーブリング環境（IT ガバナンスの実現を可能にする環境）の構築と維持
・IT ガバナンスの運営（評価、指示、モニタの EDM モデル）
・継続的な（IT ガバナンスが動いているか、成果が出ているかの）レビューのサイクルを回す。
●イネーブリング環境（IT ガバナンスの実現を可能にする環境）の構築と維持
・内部ステークホルダー（経営陣とエグゼクティブ・マネージャの 2 種類）の関与を確保する。
・現状（IT 利活用と IT 能力、IT ガバナンスとコーポレートガバナンスの適合性など）を認識して継続的なプロセスを維持する。
・スポンサーシップ及び責任を明確化する。
・ガバナンス運営グループ（スポンサーと内部要員グループから成る IT ガバナンスの推進役、PMO）を決定
し、任命する。
・スポンサーはビジネス／マーケティング／オペレーションのエグゼクティブ・マネージャを任命する。
●IT ガバナンスの運営の要素
・評価、指示、モニタの 3 つの職務が中心となる。
・プロセスは決まっておらず、結果を重視する。
・原則基準であるため、適切な評価のメカニズム（ISO/IEC 38503）を必要とする。
●IT ガバナンスの運営活動の実践
・評価：組織の IT 利活用の状況の現状を把握する。
内部環境の理解、外部環境の理解、IT 利活用の現状把握
・指示：経営陣は IT 利活用を通じて、今後組織をどのようにしたいのか、望ましい姿を明確にする。
IT 利活用の望ましい状態の明確化、DX の方針など変革プログラムの明確化、適切な権限委譲等のイ
ネーブリングメカニズム（実施を可能にする仕組み）の構築
・モニタ：成果の達成度を測定するための成果の証跡を特定し、適切に経営陣に報告する。
成果の証跡の定義、モニタリングシステム（必要な情報を収集/分析し経営陣へ報告する）の構築●継続的なレビュー・IT ガバナンスのアセスメントも継続的なレビューの中で考え、改善を加えていく。
●用語と想定組織の説明
日本システム監査人協会 会報14

May 2024

日本システム監査人協会

会報

・経営陣：コーポレートガバナンス層とマネジメント（業務執行）層の経営に関与するメンバー。
・スポンサー：ビジネス／マーケティング／オペレーションのエグゼクティブ・マネージャから選ぶ。

（3）JIS Q 38503 本体（IT ガバナンスのアセスメント）●JIS Q 38503 の中心となる章立ては、
5.アセスメントの適用範囲及びアプローチ
6.IT ガバナンスのアセスメント
7.アセスメント活動
附属書Ａ：アセスメントフレームワーク － IT ガバナンスの実践領域のチェックシート。
●アセスメントの適用範囲
・アセスメントの適用範囲、焦点、優先順位を決定する。
最大の便益を達成できる、組織にとって最も重要な問題を評価する。
重要かつ優先度の高い特定の戦略的イニシアティブを考慮する。
・ステークホルダーは経営を経営陣に委託しており、組織の価値を期待している。
IT ガバナンスのアセスメント結果から恩恵を受けるステークホルダーを特定する。
ステークホルダーのニーズ及び期待を考慮する。
●アセスメントアプローチ
・経営陣によるセルフアセスメント：経営的視点からの自己アセスメントを行なう。
・内部推進型アセスメント：内部要員が経営陣の実践を内部の視点で評価することになり、独立性の担保など権限委譲が成功要因となる。
・外部推進型アセスメント：独立した外部要員による客観性の高い評価が期待できるが、組織の内部事情の理解に時間を要する。
●アセスメントの責任及びスキル・知識・経営陣：アセスメントの目標設定等、セルフアセスメントの場合はアセッサと同等スキルを持つ必要あり。
・スポンサー：アセスメント計画の承認、重要な影響力を持ち、エグゼクティブ・マネージャを任命する。
・エグゼクティブ・マネージャ：アセスメント活動に協力し、報告書の正確性・完全性を確認する。
・アセッサ：アセスメント目標を理解し、組織の IT ガバナンスの状況を把握する。
●アセスメントの概要（四つの要素）
・IT ガバナンスの実践領域：組織が IT を効果的にガバナンスする際に重点を置く重要な領域。
イネーブリング環境と 6 原則（責任、戦略、取得、パフォーマンス、適合、人間行動）の 7 領域。
・IT ガバナンスの特性：各実践領域には 3 つの特性を含む。
EDM、成果の証跡、有益な成果、の 3 つの特性。
・IT ガバナンスの測定モデル：成果の達成に焦点を当てた定性モデル（TS 38501 に準拠）。
定性的な評定尺度（不明／未使用／一部適用／大幅適用／完全適用）
・IT ガバナンスのアセスメントフレームワーク：付属書 A（実践領域と特性ごとのチェックシート）
日本システム監査人協会 会報15

May 2024

日本システム監査人協会

会報

EDM を実践することで成果の証跡が出て有益な成果につながり、IT ガバナンスの成熟度が増加する。
●IT ガバナンスの成熟度モデル：全体評価
・IT ガバナンスの 7 つの領域、3 つの特性、測定モデルの組み合わせで 6 段階の成熟度を表す。
・IT ガバナンスの成熟過程では、IT ガバナンスを実践し、その成果の証跡を見ることで、最終的には組織の有益な成果を達成する、というコンセプトに基づく。
・各成熟後レベルは、組織が IT ガバナンス特性の各分類で達成すべき最低限の評定を示す。
●アセスメント活動・アセスメント活動は、計画、実施、報告の手順を踏む。
・アセスメントの計画は、アセッサが作成し、スポンサーが承認する。
・アセスメントの実施は、アセスメントの範囲をカバーするのに十分なデータを収集して実施する。
・アセスメント結果は、報告して経営陣の承認を得る。

（4）JIS Q 38503 + システム管理基準ガイドラインの適用例●JIS Q 38503 とシステム管理基準ガイドラインの実践領域の比較
・JIS Q 38503 の実践領域は、イネーブリング環境と 6 原則の計 7 領域。
・システム管理基準ガイドラインは、IT ガバナンス編で 3 領域、実践に必要な要件として 3 領域、IT マネジ
メント編で 1 領域の計 10 領域と、より具体的に記述されている。
・システム管理基準ガイドラインは、ISO/IEC 38500:2024 に準拠している。
●JIS Q38503 + システム管理基準ガイドラインの適用例
・システム管理基準ガイドラインは、IT ガバナンスの 3 つの達成目標と、目標を達成するための 10 の実践領域を記載している。
・JIS Q 38503 の成果の証跡は、ガイドラインの活動の例の着眼点により詳しく記載されている。
・JIS Q 38503 の有益な成果は、ガイドラインの活動の例の達成目標がそのまま記載されている。
・情報システム監査実践マニュアル（第 3 版）のダウンロード資料 P02 も有益な成果、着眼点、成果の証跡の作成や質問票の資料として合わせて利用できる。

システム管理基準ガイドラインは IT ガバナンスの実装サイクルをカバーしており、国内の環境にマッチした
フレームワークを作ることができるが、JIS と組合わせることで、より強力になる。JIS Q 38503 本体、ISO/IEC 38501（JIS Q 38503 の解説）
、システム管理基準ガイドラインが揃ったことで、IT ガバナンスの実
践の全体サイクルが整備されたことになり、これらを実装サイクルの実用的な、国際基準と同等以上の国内基準として活用していくことを期待している。

【質疑応答】
以下の質問があり、丁寧な回答をいただいた。
Q：アセスメントアプローチで定義されている「経営陣によるセルフアセスメント」「内部推進型」「外部推進型」の特徴やメリットについてはご説明いただきましたが、デメリットや留意事項も教えてください。
日本システム監査人協会 会報16

May 2024

日本システム監査人協会

会報

Q：成熟度モデルの内容やレベルは時間とともに変化しますか？
Ｑ：ISO/IEC 38500:2024 の、2015 との違いや強化されたポイントなどを教えてください。また 38503 への影響がありそうなものがあれば教えてください。

【所感】
前段で、国際標準 ISO の開発が日本の提案から始まるなど、国際標準の整備への日本の貢献と、それに
SAAJ が携わっていることを明らかにしていただいた。このことは SAAJ 関係者に限らず、もっと広く多くの方に知ってほしい。
IT ガバナンスの最新のフレームワークを実装サイクルに沿って分かり易く説明していただき、更に、IT ガバ
ナンスのアセスメントについて詳しく説明していただいた。また、システム管理基準ガイドラインが ISO や
JIS Q と整合性がとれたものであることも説明いただき、より理解が深まった。
JIS Q 38503 本体、解説書、システム管理基準ガイドラインの発行により、IT ガバナンスの実践の全体サイ
クルが整備されたので、今後システム監査人がいかにこれらを活用して IT ガバナンスを浸透させ、もってコー
ポーレートの価値向上に寄与していくかが重要になると感じた。

＜目次＞

日本システム監査人協会 会報17

May 2024

日本システム監査人協会

会報2024.4

支部報告【北信越支部 2024 年度支部総会・富山県例会/3 月リモート例会報告】
会員番号 0947 梶川 明美（北信越支部）
以下のとおり北信越支部 2023 年度石川県例会/12 月リモート例会を開催しました。
・日時：2024 年 3 月 9 日（土）現地参加者：9 名、リモート参加者：2 名

・会場：現地会場（北電情報システムサービス株式会社 本社 会議室）とリモート（zoom）のハイブリッド開催
・議題：(1) 支部総会
・昨年度活動報告と今年度活動計画について
・昨年度会計報告と今年度会計計画について(2)支部例会報告
・本部総会報告・情報交換
今年度の共通テーマについて（12 月の意見交換を踏まえて）(3)研究報告/意見交換
・「AI と著作権」 荒牧裕一 氏・「ランサムウェアに対するリスクマネジメント‐ NIST CSF / ISO27001:2022 管理策 による対策 ‐」 宮本茂明

氏

◇研究報告
「AI と著作権」
会員番号 0655 荒牧裕一

生成 AI の普及が進んでいるが、その活用に当たっては様々な懸念もある。その一つが「生成 AI の活用に
よって著作権侵害が起こるのではないか」という問題がある。この件について、本年 1 月および 2 月に文化庁文化審議会著作権分科会法制度小委員会より、「AI と著作権に関する考え方について（素案）（令和 6 年 2月 29 日時点版）」が公表された。その概要を説明しながら、生成 AI の業務上の利用における留意点について、発表者の私見を交えて発表した。
１．著作権法第 30 条の 4 の要件について
AI が著作物を学習する場合、著作権法第 30 条の 4 に定める要件を満たしていれば著作権者の許諾は不要とされる。その要件は以下のとおりであり、全て満たすことが必要である。
（１）著作物に表現された思想又は感情を自分で享受したり、他人に享受させたりすることを目的としない場合であること（２）必要な限度内の利用であること（３）その著作物の種類や用途などから判断して、著作権者の利益を不当に害さないこと

日本システム監査人協会 会報18

May 2024

日本システム監査人協会

会報

２．（１）の要件について
上記「（１）著作物に表現された思想又は感情を自分で享受したり、他人に享受させたりすることを目的としない場合であること」の要件については、さらに１号から３号までの例示があり、AI の学習に関しては２号の「情報解析の用に供する場合」に該当することが多い。
ここでは、いわゆる「作風」を似せるための学習だけであれば著作権侵害となるものではないが、創作的表現が共通する作品群について、意図的に当該創作的表現の全部又は一部を生成 AI によって出力させることを目的とする学習は著作権侵害の恐れが生じる点に留意が必要である。私見では、例えばピカソのキュビズ
ム風のイラストを作成させる目的なら良いが、特にピカソの「泣く女」のシリーズに似せたイラストを作成させる目的は著作権侵害の恐れがあるといえるであろう。

３．（２）の要件について「必要な限度内の利用であること」の要件については、AI の学習は大量の著作物を学習するのが通常であるため、大量であることをもって、必要と認められる限度を超えることはない。

４．（３）の要件について「著作権者の利益を不当に害さないこと」の要件については、例えば、①有料販売されているデータベースの著作物を、特段の許諾を得ずに AI で学習させる。②複製等を防止する技術的な措置が施されているデー
タベースについて、その措置を回避して AI で学習させる。③海賊版等の権利侵害複製物を AI で学習させる。といった場合に著作権侵害の恐れが生じる。

５．まとめ
今回の発表は、あくまでも文化庁の公表資料の概要を踏まえたものであり、著作権侵害になるかどうかのボーダーラインは今だ不明確な部分が多い。また、生成 AI の利用に関しては、著作権侵害の恐れだけでな
く、偽情報（フェイク・ニュース）の作成、正確性の確保、営業秘密の漏えい、倫理上の問題等、多くの懸念がある。今後はこういった問題点についても、情報収集と検討を進めていきたい。

「ランサムウェアに対するリスクマネジメント‐ NIST CSF / ISO27001:2022 管理策 による対策 ‐」会員番号 1281 宮本 茂明
IPA が発表した「情報セキュリティ 10 大脅威 2024（組織）」の 1 位は、昨年に続き「ランサムウェアによる被害」であった。米国 NIST からランサムウェア対策について、 「NIST IR 8374 ランサムウェア リ
スクマネジメント: サイバーセキュリティフレームワーク プロファイル」（2022 年 2 月）と付随する「クイック スタート ガイド」が公表されており、ランサムウェア対策についてリスクマネジメントを体系的に行う際の指針となると考え、その概要を紹介した。
また、同資料で、ランサムウエア対策に関する NIST CSF v1.1 の対応と ISO27001：2013 管理策の対応が示されていたので、ISO27001：2022 の管理策の対応を整理して紹介した。

日本システム監査人協会 会報19

May 2024
NIST ランサムウェア対策
特定（Identify）
ハードウェアとソフトウェアの目録を維持する。
情報の流れを文書化する。
企業が接続している外部情報システムを特定する。
重要な企業プロセスと資産を特定する。

役割と責任を明確にしたサイバーセ
キュリティポリシーを策定する。

防御（Protect）
資産と情報へのアクセスを管理する。

デバイスの脆弱性を管理する。

従業者や他のユーザを教育、訓練する。

日本システム監査人協会 会報

日本システム監査人協会

会報

ISO/IEC 27001:2022 管理策
5.9（情報及びその他の関連資産の目録）
5.14（情報の転送）7.9（構外にある資産のセキュリティ）Clause 4.1（組織及びその状況の理解）
5.2（情報セキュリティの役割及び責任）5.12（情報の分類）
7.11（サポートユーティリティ）7.12（ケーブル配線のセキュリティ）8.6（容量・能力の管理）
Clause 6（計画策定）
Clause 8.3（情報セキュリティリスク対応）
Clause 9.3（マネジメントレビュー）
5.1（情報セキュリティのための方針群）
5.6（専門組織との連絡）
5.7（脅威インテリジェンス）
5.27（情報セキュリティインシデントからの学習）
5.29（事業の中断・阻害時の情報セキュリティ）5.31（法令，規制及び契約上の要求事項）
5.32（知的財産権）
5.33（記録の保護）
5.34（プライバシー及び個人識別可能情報（PII）の保護）
5.36（情報セキュリティのための方針群，規則及び標準の順守）
8.8（技術的ぜい弱性の管理）
5.3（職務の分離）
5.14（情報の転送）
5.15（アクセス制御）
5.16（識別情報の管理）
5.17（認証情報）
5.18（アクセス権）
6.1（選考）6.7（リモートワーク）
7.9（構外にある資産のセキュリティ）8.1（利用者エンドポイント機器）
8.2（特権的アクセス権）
8.3（情報へのアクセス制限）
8.4（ソースコードへのアクセス）
8.5（セキュリティを保った認証）
8.18（特権的なユーティリティプログラムの使用）
8.20（ネットワークセキュリティ）8.22（ネットワークの分離）
8.26（アプリケーションセキュリティの要求事項）
8.9（構成管理）8.19（運用システムへのソフトウェアの導入）
8.32（変更管理）6.3（情報セキュリティの意識向上，教育及び訓練）
8.7（マルウェアに対する保護）8.23（ウェブフィルタリング）

20

May 2024
デバイスをセキュアに保護する。

機密データを防御する。

定期的なバックアップを実施する。

検知（Detect）
検知プロセスをテストし更新する。

職員を訓練する。
予想されるデータの流れを知る。
サイバーセキュリティ事象のインパクトを迅速に伝達し特定する。
対応（Respond）
対応計画を策定する。
社内外の利害関係者と調整する。

日本システム監査人協会 会報

日本システム監査人協会

会報

5.15（アクセス制御）
8.15（ログ取得）
8.17（クロックの同期）
8.34（監査におけるテスト中の情報システムの保護）5.19（供給者関係における情報セキュリティ）5.22（供給者のサービス提供の監視，レビュー及び変更管理）
5.24（情報セキュリティインシデント管理の計画策定及び準備）5.29（事業の中断・阻害時の情報セキュリティ）5.30（事業継続のための ICT の備え）
7.13（装置の保守）
8.6（容量・能力の管理）
8.7（マルウェアに対する保護）8.12（データ漏えい防止）
8.14（情報処理施設・設備の冗長性）
8.19（運用システムへのソフトウェアの導入）
8.26（アプリケーションセキュリティの要求事項）
8.31（開発環境，テスト環境及び本番環境の分離）
8.32（変更管理）
5.29（事業の中断・阻害時の情報セキュリティ）5.33（記録の保護）
8.13（情報のバックアップ）
5.22（供給者のサービス提供の監視，レビュー及び変更管理）
5.28（証拠の収集）
5.34（プライバシー及び個人識別可能情報（PII）の保護）
5.36（情報セキュリティのための方針群，規則及び標準の順守）
8.7（マルウェアに対する保護）
8.8（技術的ぜい弱性の管理）
8.15（ログ取得）
8.16（監視活動）
8.29（開発及び受入れにおけるセキュリティテスト）8.30（外部委託による開発）
5.2（情報セキュリティの役割及び責任）6.3（情報セキュリティの意識向上，教育及び訓練）
5.28（証拠の収集）
8.15（ログ取得）
5.27（情報セキュリティインシデントからの学習）
6.8（情報セキュリティ事象の報告）
5.26（情報セキュリティインシデントへの対応）
Clause 7.4（コミュニケーション）
5.2（情報セキュリティの役割及び責任）
5.5（関係当局との連絡）
5.6（専門組織との連絡）
5.24（情報セキュリティインシデント管理の計画策定及び準備）6.3（情報セキュリティの意識向上，教育及び訓練）
6.8（情報セキュリティ事象の報告）

21

May 2024
事象を分析する。

インシデントの影響、リスクを緩和する。
対応計画をテストし、更新する。
復旧（Recover）
コンティンジェンシープランを作成する。
社内外の利害関係者とコミュニケー
ションをとる。
広報と会社のレピュテーションを管理する。
復旧計画をテストし、更新する。

日本システム監査人協会

会報

5.25（情報セキュリティ事象の評価及び決定）
5.26（情報セキュリティインシデントへの対応）
5.27（情報セキュリティインシデントからの学習）
5.28（証拠の収集）
8.15（ログ取得）
5.26（情報セキュリティインシデントへの対応）
8.7（マルウェアに対する保護）
8.8（技術的ぜい弱性の管理）
Clause 10（改善）5.27（情報セキュリティインシデントからの学習）
5.26（情報セキュリティインシデントへの対応）
5.30（事業継続のための ICT の備え）
Clause 7.4（コミュニケーション）
Clause 7.4（コミュニケーション）
5.6（専門組織との連絡）
Clause 10（改善）5.27（情報セキュリティインシデントからの学習）

ランサムウェア対策として、バックアップ管理策の適用に留まらず、今回紹介した資料にあるように、リ
スクマネジメントを体系的に行うことの重要性を再認識させられた。

《参考資料》➢「NIST IR 8374 ランサムウェア リスクマネジメント: サイバーセキュリティフレームワーク プロ
ファイル（Ransomware Risk Management: A Cybersecurity Framework Profile）」（2022 年 2 月
23 日）
https://csrc.nist.gov/pubs/ir/8374/final➢「クイック スタート ガイド（Getting Started with Cybersecurity Risk Management:
Ransomware）」（2022 年 2 月 24 日）
https://csrc.nist.gov/pubs/other/2022/02/24/getting‐started‐with‐cybersecurity‐risk‐
management/final◇意見交換
今年の共通研究テーマ
12 月例会で提案された「システム監査人これからの人材育成」及び今年開催の SAAJ「支部合同研究会」のテーマ（システム監査の活性化）も勘案した内容とする。次回の６月福井県例会までにこれらのテーマについて支部メーリングリストで意見を出す。詳細テーマは特に設定せず、普段から考えていることなど自由とする。６月例会では、提出された意見を集約して意見交換する。

＜目次＞

日本システム監査人協会 会報22

May 2024

日本システム監査人協会

会報2024.4
注目情報（2024.3～2024.4）■令和5年度のITパスポートの年間応募者数が2年連続で25万人超に、累計応募者数は200万人を突破
IPA（情報処理推進機構）
公開日：2024年4月12日
IPAは2024年4月12日、「令和5年度のITパスポートの年間応募者数が2年連続で25万人超に、累計応募者数は200万人を突破」を公開した。
国家試験 情報処理技術者試験の一区分である「iパス」は、令和6年3月度の実施分で、年間応募者数が30万人に迫る過去最多の297,864人（前年度比17.7%増）となり、2年連続で25万人を超えた。
また、平成21年度の試験開始以来、累計応募者数は200万人を突破した。累計応募者数100万人到達までに、約10年（平成21年度春期試験～令和元年6月度）を要したが、その後わずか4年あまり（令和元年6月度～令和6年3月度）で累計応募者数200万人に到達した。
これは、我が国におけるITへの関心度が高まっていることに加え、DXの推進やAI技術、ブロックチェーン技術などの広がりが影響しているものと考える。
また、ITパスポート試験においては、業務内容や勤務経験年数を問わず幅広い層からの応募があり、ITパ
スポートの活用度・認知度が高まっていることを感じる。
こうした状況を踏まえ、我が国においても今まで以上にITが普及、一般化してくることが考えられる反面、システム監査及びシステム監査人の重要度が高まる可能性を感じる。

（詳細については以下URLに記載）
https://www.ipa.go.jp/shiken/reports/ip‐oubo2023.html＜目次＞

日本システム監査人協会 会報23

May 2024

日本システム監査人協会

会報2024.4【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）日時2024 年 5 月 17 日(金) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

IoT 製品に求められるセキュリティ要件と法規制対応

講師

第
２
８
７
回

講演骨子

参加費
お申込み

KPMG コンサルティング株式会社 テクノロジーリスクサービス ディレクター
保坂範和（ほさかのりかず）氏
欧州をはじめとして日本においても、IoT 製品へのサイバー攻撃対策が強く求められるようになってきています。欧州委員会の推計では、サイバー攻撃の３分の２は製品の脆弱性に起因しており、市場に出回っている製品の約 60％には既知の脆弱性が含まれています。EU 内のサイバー攻撃耐性を強化する目的で、IoT 製品が満たすべき
セキュリティ要件を定める法案 EU サイバーレジリエンス法が提案されています。本
講演ではこれらの法規制で求められる IoT のセキュリティ要件と、日本の製造業にどのような影響があるのかを解説します。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/287.html■SAAJ 月例研究会（東京）

第
２
８
８
回

日時

2024 年 6 月 12 日(水) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

JUAS「企業 IT 動向調査 2024」の結果からみる、転換期に挑み輝く IT 部門の役割

講師
講演骨子
参加費
お申込み

一般社団法人日本情報システム・ユーザー協会（JUAS）専務理事
中島昭能（なかじまあきよし）氏
30 回目となる企業 IT 動向調査、2023 年度調査は「転換期に挑み輝く IT 部門の役割」を重点テーマに掲げ実施しました。DX 推進、情報セキュリティ、IT 投資の動向など、調査からみえてきた現状と今後の見通しを解説します。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/288.html＜目次＞
日本システム監査人協会 会報24

May 2024

日本システム監査人協会

会報2024.4【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

ぜひ
ご参加を

ご意見
募集中

・ホームページでは協会活動全般をご案内
・会員規程

https://www.systemkansa.org/
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf

・会員情報の変更方法

https://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇

https://www.saaj.or.jp/nyukai/index.html

公認システム監査人制度における、会員割引制度など。

・各支部・各部会・各研究会等の活動。

https://www.saaj.or.jp/shibu/index.html

皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。
・「発注者のプロジェクトマネジメントと監査」

出版物

・「６か月で構築する個人情報保護マネジメントシステム」
・「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。
https://www.saaj.jp/04Kaiin/60SeminarRireki.html

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「CSA：公認システム監査人」 と「ASA：システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
・CSAサイトで詳細確認ができます。

会報

お問い
合わせ

・過去の会報を公開

https://www.saaj.or.jp/csa/index.html

https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

会報に対するご意見は、下記のお問合せページをご利用ください。

・お問い合わせページをご利用ください。

https://www.saaj.or.jp/toiawase/index.html

各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会 会報25

May 2024【

ＳＡＡＪ協会行事一覧

4月

日本システム監査人協会】

赤字：前回から変更された予定

理事会・事務局・会計
11：理事会

5月

9：理事会

6月

1：年会費未納者宛督促メール発信
11：理事会
19：年会費未納者督促状発送
22～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/10）
30：助成金配賦決定（支部別会員数）
5：支部助成金支給
11：理事会（理事会休会）3：中間期会計監査
12：理事会

7月
8月
9月

10 月

12：理事会11 月

9： 予算申請提出依頼（11/27〆切）
支部会計報告依頼（1/9〆切)
9：理事会
16：2024 年度年会費請求書発送準備
27：本部・支部予算提出期限
27：会費未納者除名予告通知発送
1： 2024 年度年会費請求書発送
1： 個人番号関係事務教育
14：総会資料提出依頼（1/9〆切)14：総会開催予告掲示
14: 理事会：2024 年度予算案承認
会費未納者除名承認
第 23 期総会(2/16)審議事項確認
20：2023 年度経費提出期限
9：総会資料提出期限 16:00
9：役員改選公示(1/22 立候補締切)
11：理事会：総会資料原案審議
22：17:00 役員立候補締切
27：2023 年度会計監査
31：償却資産税申告期限
31：総会申込受付開始（資料公表）
1：理事会：通常総会議案承認
29：2024 年度年会費納入期限
29：消費税申告期限
1：年会費未納者宛督促メール発信
14：理事会28：法務局：活動報告書提出、
東京都：NPO 事業報告書提出

12 月

1月

2月

3月

認定委員会・部会・研究会
初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行
22：第 286 回月例研究会
11‐12:第 43 回システム監査実務セミナー(日帰り 4 日間コース前半)
8：第 287 回月例研究会
中旬・下旬土曜：春期 CSA 面接
25‐26:第 43 回システム監査実務セミナー(日帰り 4 日間コース後半)
上旬： 春期 CSA 面接
12：第 288 回月例研究会

会報2024.4
支部・特別催事
21:春期情報処理技術者試験・情報処理安全確保支援士試験

3:認定 NPO 法人東京都認定日（初回：2015/6/3）

中旬： 土曜：春期 CSA 面接
下旬： 春期 CSA 面接結果通知
下旬： 春期 CSA 認定証発送
中旬：秋期 CSA・ASA 募集案内
12：支部会計報告〆切
1：秋期 CSA・ASA 募集開始～9/30

30:秋期 CSA・ASA 募集締切
前年度に実施した行事一覧
14‐15:第 42 回システム監査実務セミナー(日帰り 4 日間コース後半)
26:第 281 回月例研究会

8:秋期情報処理試験・情報処理
安全確保支援士試験
14:東北支部設立 20 周年記念＆ワークショップ 2023
4：会員活動説明会

20:第 282 回月例研究会
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
上旬～中旬：秋期 CSA 面接
18：第 283 回月例研究会

12：協会創立記念日

下旬：CSA/ASA 更新手続案内メール〔更新申請期間 1/1～1/31〕
下旬：秋期 CSA 認定証発送
1‐31：CSA・ASA 更新申請受付
9：支部会計報告提出期限
22：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
24：第 284 回月例研究会
2/1‐3/31：CSA・ASA 春期募集
16：13:30 第 23 期通常総会
下旬：CSA・ASA 更新認定証発送
1‐31: 春期 CSA・ASA 書類審査
11：第 285 回月例研究会＜目次＞

日本システム監査人協会 会報26

May 2024

日本システム監査人協会

会報2024.4【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2024 年の会報年間テーマは、 「時代が求めるシステム監査」 です。
生成 AI などシステム監査が置かれた環境が音を立てて動いている時代に、システム監査やシステム
監査人に求められているものは何か、そしてシステム監査人は求められている更にその先を目指してどう立ち向かってゆけばよいか、という意味でこのテーマとしております。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報27

May 2024

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードしてください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
2.

記名投稿

原則４ページ以内
下記より投稿フォームをダウンロードしてください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット ※毎月メール配信を利用してください。
・投稿先：

saajeditor@saaj.jp

宛メール添付ファイル

・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先： saajeditor@saaj.jp＜目次＞
日本システム監査人協会 会報28

May 2024

日本システム監査人協会

会報2024.4
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会 会報編集部〒103‐0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

https://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、豊田諭、石山実、金田雅子、坂本誠、田村修、辻本要子、
野嶽俊一、山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997‐2024、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会 会報29