April 2018

日本システム監査人協会 会報

認定 NPO 法人

2018 年 4 月号

日本システム監査人協会報

No

205

No.205（2018 年 4 月号）＜3 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

今月号は話題満載です。
１．総会特集２．創立 30 周年記念出版案内 → 割引特典の申込書も掲載
３．経済産業省「システム監査基準」「システム管理基準」の改訂案が公表 → 関連記事を掲載
写真提供：0557

巻頭言

仲厚吉

『システム監査基準』、『システム管理基準』が改訂されます
会員番号 6027 小野修一（会長）

この度、仲前会長の後任として会長に就任致しました小野修一です。微力ながら、理事および会員の皆様と協力して、当協会の発展、システム監査の普及に努めます。どうぞよろしくお願い致します。
『システム監査基準』および『システム管理基準』
さて、皆様もご存知だと思いますが、10 年ぶりに、が改訂されます。前回の改訂が行われた平成 16 年から今日までの間の IT の進展、IT 利活用環境の多様化、IT を取り巻く社会情勢の変化などを踏まえ、改訂されることになりました。
経済産業省の強力なリーダシップの下、システム監査に係わりをもつ 4 団体、日本システム監査人
協会、システム監査学会、情報システムコントロール協会（ISACA）、IT ガナバンス協会からの代表メンバーによって、『システム監査基準・システム管理基準検討委員会』および『システム監査基準・システム管理基準検討ワーキンググループ』を組織し、平成 29 年夏から、定期的に会合をもちながら改訂作業を進めてきました。
平成 30 年 3 月の時点でパブリックコメントの募集を行う段階に至っており、寄せられたご意見等を反映して 4 月に経済産業省から両基準の改訂版が公表される予定になっています。
平成 16 年版の基準に比べて、両基準ともかなり具体的な内容になっており、官民を問わず広範な IT
環境や IT への取組みに対してシステム監査を実施し、健全な IT 環境の構築・維持に繋げることが期待されています。
SAAJ 会員の皆様には、2 つの改訂版基準を有効に活用し、時代のニーズに則したシステム監査を実施するようお願いします。
以上
日本システム監査人協会 会報1April 2018

日本システム監査人協会 会報

各行から Ctrl キー+クリックで該当記事にジャンプできます。

○

＜目次＞

巻頭言 ............................................................................................................. 1【『システム監査基準』、『システム管理基準』が改訂されます】

1．めだか........................................................................................................... 3【システム監査基準（案）／システム管理基準（案）について】

2．投稿

注目：基準改訂.............................................................................................................. 4【エッセイ「鉄鼠」】

3．総会特集 ........................................................................................................... 5【第 17 期通常総会を終えて】【第 17 期通常総会特別講演録】【第 17 期通常総会報告】【新役員体制】【新任理事・新任監事のご紹介】【2017 年度会報アワード】

４．本部報告 .......................................................................................................... 20【第 229 回月例研究会講演録】
注目：基準改訂【システム監査基準・管理基準の改訂作業について】【PMS 要求事項 JIS Q 15001:2017 と「個人情報取扱規程」の事例 連載２】【「発注者のプロジェクトマネジメントと監査」を刊行】

５．支部報告..................................................................................................... 30【北信越支部 2018 年度 支部総会・研究会報告】【近畿支部 第 172 回定例研究会】

６．注目情報注目：記念出版....................................................................................................... 37【「システム監査基準」「システム管理基準」の改訂案に対する意見公募（経済産業省）】【サイバーセキュリティに関するガイドラインを公開（ＪＡＳＡ）】

７．セミナー開催案内............................................................................................ 38【協会主催イベント・セミナーのご案内】【外部主催イベント・セミナーのご案内】

８．協会からのお知らせ......................................................................................... 40【新たに会員になられた方へ】【協会行事一覧】

９． 会報編集部からのお知らせ............................................................................... 42

日本システム監査人協会 会報2

April 2018

日本システム監査人協会 会報
2018.3

めだか 【 システム監査基準（案）／システム管理基準（案）について 】

システム監査人は、監査テーマに関して被監査部門の人たちとコミュニケーションをとって監査を行っていくが、コミュニケーションにおいてお互いに相手の言葉を 100％理解できているかというと、それは難しい。しかし、監査テーマを限って行えば、相互理解はその範囲で大きく乖離しないものである。ただし、範囲を限定しすぎると全体的な問題が見えなくなるため、監査テーマの範囲を決める匙加減が大切である。
SAAJ の「システム監査人倫理規定」では、第 4 条（監査基準・手続き）に、“システム監査人は、シス
テム監査の基準、手続きを明らかにし、それに基づきシステム監査を行わなければならない。”とある。システム監査人は、「システム監査基準」、及び「システム管理基準」を参考に、被監査部門に対して、監査テーマの範囲を決め、システム監査の基準、手続きを明らかにして、システム監査を行う必要がある。
このたび、経済産業省商務情報政策局サイバーセキュリティ課より、「システム監査基準（案）」、「シス
テム管理基準骨子（案）」及び「システム管理基準（案）」が公表され、パブリックコメントが求められている。
「意見公募の趣旨・目的・背景」には、次のように述べられている。
“経済産業省では、情報システムに想定されるリスクを適切にコントロール・運用するための手段のひとつであるシステム監査制度について、「システム監査に関する検討会 」を開催し、制度に関する見直しを進めて参りました。このうち、システム監査を実施する監査人の行為規範及び監査手続の規則を規定した「システム監査基準」、システム監査人の判断の尺度を規定した「システム管理基準」について、昨今の社会情勢の変化や技術の進展等を踏まえ、改訂をいたしました 。両基準について、広く国民の皆様から御意見をただきたく、以下の要領で意見の募集をいたします。忌憚のないご意見を下さいますようお願い申し上げます。“
システム監査人は、今後、「改訂システム監査基準」、及び「改訂システム管理基準」の制定により、それらを熟読、理解し、昨今の社会情勢の変化や技術の進展等を踏まえたシステム監査業務にあたることが求められる。
参考：「システム監査人倫理規定」平成 14 年 2 月 25 日制定 日本システム監査人協会（空芯菜）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞
日本システム監査人協会 会報3

April 2018

日本システム監査人協会 会報
2018.3【エッセイ】鉄鼠会員番号 0707 神尾博
多数のマシンから、大量のパケットやサービス要求を特定のサーバに送り付け、パフォーマンスの低下や機能停止に追い込む DDoS（Distributed Denial of Service）攻撃。防御が極めて困難であるため、セキュリティ技術者にとって、至って頭の痛い厄災だ。たとえば ISP による、ターゲットへのパケットを消滅させるブラックホールルーティングのようなやり方では、正当なものまで届かなくなるという、とてつもない代償を払う必要がある。おまけに攻撃側からすれば、マルウェアに感染させた他人の機器のリソースを使うので、原価が激安なことも、被害者側にとって腹立たしい限りだ。
従来の DDoS 攻撃は、数多くのパソコンに感染したマルウェアによるボットネットを、指令者が遠隔操作するものが中心だった。他には DNS を利用するものもある。ところが 2016 年に発見された Mirai は、Linux
系のネットワークカメラやプリンタ等を踏み台にする。2017 年には、IoT デバイスのストレージを破壊し再起不能にする、極めて悪辣な PDoS（Permanent Denial of Service）攻撃の被害拡大も報告されている。また単にサービス妨害だけでなく、攻撃停止と引き換えに金銭を要求する DDoS 脅迫（DDoS Extortion）まで登場する始末だ。
平安時代には、白河天皇の「皇子が誕生したら何なりと褒美を与える」との命を受け、それを祈祷で果たした頼豪という僧侶がいた。ところが、横槍を入れた延暦寺により「三井寺に戒壇院建立」という天皇との約束を反故にされた。彼は「鉄鼠（てっそ）」となり、皇子を呪い殺したばかりか、84,000 匹もの鼠を率い比叡山の経典を食いちぎったという。物量作戦による妨害や破壊行為は、この時世から存在したようだ。
現代では、鼠は IT、特に有線伝送路の大敵だ。経典ならぬネットワークケーブルを噛んで、いとも簡単に断線させる。これには、被覆に唐辛子成分を練りこむ等の対策がなされている。大量の鼠といえば、築地市場移転の際に、500 匹とも 5,000 匹ともいわれる鼠が、銀座方面に移動するのではないかと危惧されている。
そういえば著者も、会社に近接する施設や、実家の近所の民家の解体の際には、思い当たる節があった。
システム監査では、頼豪のような恨みを持つ者による人的リスク、DDoS 攻撃のような技術的リスク、そして電線や機器への物理的リスクへの備えのチェックについて、もれなく実施しなければならないのは言うまでもない。
（このエッセイは、記事提供者の個人的な意見表明であり、SAAJ の公式見解ではありません。画像は Wiki により著作権保護期間満了後のものを引用しています。）＜目次＞

日本システム監査人協会 会報4April 2018

日本システム監査人協会 会報
2018.3

総会特集 【 第 17 期通常総会を終えて 】
会員番号 0557 仲厚吉（会長*）＊本ページ以下の「総会特集」において、役職名の記載は総会開催時の役職名としています。

第 17 期通常総会が、2018 年 2 月 23 日に開催され、定款変更、2017 年度事業報告及び決算、2018 年度
事業計画及び予算、並びに理事・監事の選任をご承認いただき、会員の皆様には篤く御礼を申し上げます。
2018 年度は、1 年を通して、創立 30 周年記念行事が行われます。その端緒として、通常総会当日、特別講
演「人工知能研究の最新情報－インタラクティブな人工知能を目指して－」と題し、人工知能学会山田誠二会
長をお招きして特別講演を開催、また、会場において、創立 30 周年記念出版「発注者のプロジェクトマネジ
メントと監査」（同文舘出版）をお披露目し好評を得ました。
2 期 4 年、会長を務めてまいりましたが、このたび、新メンバーの登用を図る趣旨から、会長を退任することに致しました。会員の皆様にこれまでのご協力を心より感謝いたします。在任中のトピックスのひとつに、協会活動の公益性を認定 NPO 法人として所轄庁の東京都より認定されたことがあります。これは担当された
役員の皆様のご協力があって実現できました。認定 NPO 法人として協会活動の公益性をアピールしていくとともに、認定を維持するため会員の皆様にご寄附のご協力をお願い申し上げます。
2018 年 3 月 8 日の理事会において新会長は小野修一会長に決まりました。今後は小野修一会長のもと、協力して当協会の発展に努めてほしいと思います。2018 年は、経済産業省より「システム監査基準」、「シス
テム管理基準」の改訂版が発行されます。また、「IT ガバナンスのアセスメント」の ISO 化、等々、協会に求められる活動が目白押しの 1 年になります。
微力ながら引き続き協会活動に協力してまいりたいと思います。
＜目次＞

日本システム監査人協会 会報5April 2018

日本システム監査人協会 会報
2018.3

総会特集
第 17 期通常総会特別講演録 【人工知能研究の最新情報－インタラクティブな人工知能を目指して－】会員番号 0557 仲厚吉（会長）
第 17 期通常総会で SAAJ 創立 30 周年を記念して特別講演が開催されました。
第 17 期通常総会特別講演 会場：機械振興会館 日時：2018 年 2 月 23 日 15 時 30 分～17 時
演題：「人工知能研究の最新情報－インタラクティブな人工知能を目指して－」
講師：人工知能学会会長 国立情報学研究所 総合研究大学院大学 東京工業大学 山田誠二教授
講演の要約○AI を取り巻く状況、人工知能 AI とは何か
・現在の第 3 次 AI ブームは、「過度な期待」のピーク期にあたる。人工知能 AI とは、（人間並みの）知的な処理をコンピュータ上に実現するもので、ダートマス会議（1956）に始まる第 1 次 AI ブームから約 60 年が経過した。人工知能 AI には、「強い AI」即ち単独で人間と同等の AI を目指す研究と「弱い AI」即ちあくまで人間をサポートする知的システムを目指す研究がある。
○AI ここ数年のトピック－第三次 AI ブーム－
・1980 年代の第 2 次 AI ブーム（記号処理・論理、エキスパートシステム）の後、2010 年代の第 3 次ブー
ムの AI は何が違うのかというと、「統計的機械学習」と「ニューラルネットワークの復権－ディープラーニング」である。第 3 次ブームの AI 実用化ブレークの背景にあるのは、ビッグデータと計算機パワーである。
・AI 研究の主流は、論理・記号・可読な知識を扱う AI である。機械学習（ML）は、AI のごく一部、さらに、
ニューラルネットワーク（NN）は、ML の一部、さらに、ディープラーニングは、NN の一部である。
○AI の得手／不得手、AI で変わる社会－今後有望な応用分野－
・ディープラーニングの成功例として、一般物体認識、テレビゲームの学習、Google の猫、AlphaGO がある。しかし、ディープラーニングは万能ではない。上手くいく／いかないが予測不能のため応用分野選定のノウハウが蓄積されないという弱点がある。
・AI で変わる社会－今後有望な応用分野－は、賢い情報検索、高度なパターン認識、会計関連、ネット利用の様々なサービスの AI 化が挙げられる。
○人工知能学会（JSAI）倫理指針
・人工知能学会（JSAI）では、2017 年 2 月 28 日、人工知能学会会員に向けて「倫理指針」を掲げ、「1.人類への貢献」「2.法規制の遵守」「3.他者のプライバシーの尊重」「4.公正性」「5.安全性」「6.誠実な振る舞い」「7.社会に対する責任」「8.社会との対話と自己研鑽」「9.人工知能への倫理遵守の要請」を挙げている。
○これからの AI－インタラクティブ AI－
・これからの AI は、
人間と AI が得意分野を補い合い協調して問題解決にあたるインタラクティブ AI である。
感想
人工知能研究の権威である人工知能学会会長山田誠二教授による特別講演は人工知能研究を俯瞰し未来を展望するすばらしい講演で受講者の皆様は大満足だったと思います。
＜目次＞
日本システム監査人協会 会報6April 2018

日本システム監査人協会 会報
2018.3

総会特集 【 第１７期通常総会報告 】
会員番号 1581 斉藤茂雄（事務局）
第１７期通常総会は以下のとおり行われました。
１．日 時

２０１８年２月２３日（金） １３：３０～１４：３０

２．場 所

東京都港区芝公園３丁目５番８号
機械振興会館 地下３階 第１研修室

３．出席者数 １３６名（委任状６５名を含む）
４．審議事項（１）定款一部変更の件（２）２０１７年度事業報告の件（３）２０１８年度事業計画の件（４）２０１８年度予算の件（５）役員選任の件
５．議事の経過の概要および議決の結果互選により、舘岡副会長を議長に選任し、続いて上記５議案の審議を行った。
議長より本日の議事録をまとめるにあたり、議事録署名人２名を選任することを諮り、互選により斎藤由紀子副会長、斉藤茂雄理事の２名を選任した。
第１７期通常総会資料に基づき、以下の通り審議及び議決が行われた。
（１）定款一部変更の件
仲会長より定款の一部変更について説明を行い、審議を諮ったところ、全員異議なくこれを可決した。
（２）２０１７年度事業報告の件
１）事業概要報告
仲会長より２０１７年度事業報告について説明を行った。
２）会計報告及び監査報告
安部会計担当副会長より２０１７年度の会計決算報告について説明を行い、続いて木村監事より監査報告が行われた。
上記について審議を諮ったところ、全員異議なくこれを可決した。
（３）２０１８年度事業計画の件
仲会長より２０１８年度事業計画（案）について説明を行い、審議を諮ったところ、全員異議なくこれを可決した。
（４）２０１８年度予算の件
安部副会長より２０１８年度予算（案）について説明を行い、審議を諮ったところ、全員異議なくこれを可決した。
（５）役員選任の件
斎藤事務局長より役員選任（案）について説明を行い、審議を諮ったところ、全員異議なくこれを可決した。
以上により本日の議事を終了し、議長は会員各位の今後の協力を要請して閉会を宣言した。
＜目次＞
日本システム監査人協会 会報7

April 2018

日本システム監査人協会 会報

総会風景

仲厚吉会長

司会：松尾正行理事

監査報告：木村祐一監事

特別講演講師 人工知能学会会長
日本システム監査人協会 会報斎藤由紀子事務局長

議長：舘岡均副会長

総会風景

会計報告：安部晃生副会長

出版報告：原田理事（PJM 監査研）

国立情報学研究所教授 山田誠二 氏
8April 2018

日本システム監査人協会 会報【各支部長の紹介】

宮崎雅年 北海道支部長

横倉正教 東北支部長

荒町弘 近畿支部長

宮本茂明 北信越支部長

廣末浩之 中四国支部長

久保田秀男 中部支部長

舩津宏 九州支部長

総会終了後の懇親会模様

司会：野田正勝理事

乾杯：小野修一副会長

同日開催された本部・支部慰労会風景＜目次＞

日本システム監査人協会 会報9April 2018

日本システム監査人協会 会報
2018.3

総会特集 【 新役員体制 】
会員番号 1581 斉藤茂雄（事務局）
第１７期は役員改選期にあたるため、総会において、以下のとおり役員が選任されました。
本部

北海道
東北
北信越
中部
近畿
中四国
九州
監事

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42

役員
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
理事
監事
監事

氏 名
安部 晃生
大石 正人
小野 修一
加佐見 明夫
越野 雅晴
斉藤 茂雄
斎藤 由紀子
櫻井 俊裕
桜井 由美子
佐々野 未知
清水 恵子
鈴木 信夫
竹原 豊和
舘岡 均
力 利則
戸室 佳代子
豊田 諭
中山 孝明
仲 厚吉
野田 正勝
原 純江
原田 憲幸
林 昭夫
福田 敏博
松枝 憲司
松尾 正行
三谷 慶一郎
三輪 智哉
柳田 正
山口 達也
宮崎 雅年
横倉 正教
宮本 茂明
久保田 秀男
安井 秀樹
荒町 弘
福本 洋一
荒牧 裕一
廣末 浩之
舩津 宏
木村 裕一
大西 智

備考

新任

新任

新任

新任

新任
新任
新任
新任
新任
＜目次＞

日本システム監査人協会 会報10April 2018

日本システム監査人協会 会報
2018.3

総会特集 【 新任理事・新任監事のご紹介 】
今年度から新たに理事・監事になられた方は、以下の 9 名（本部 4 名、支部 4 名、監事 1 名）です。
本部理事

竹原豊和

本部理事

豊田 諭

本部理事

福田敏博

本部理事

山口達也

中部支部理事久保田秀男

中部支部理事安井秀樹

近畿支部理事荒牧裕一

九州支部理事

舩津 宏

監事

大西 智

上記 9 名の方に、それぞれの自己紹介をお願いいたしました。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

会員番号 2574 竹原豊和（本部理事）
このたび、理事に就任させていただきました竹原豊和と申します。私は現在、株式会社スクウェア・エニックスという、主にゲームアプリケーション関連事業及び出版事業を展開している企業にて、システム監査の手法を使用したアプリケーションの通信品質試験を実施しております。この試験は、付随する仕組みも含めて問題が無いかの試験とフォローアップを実施しておりますので、システム面に特化した内部システ
ム監査と言ったほうがわかりやすいかもしれません。日本システム監査人協会の会員の方の中には、情報通信や情報セキュリティに強い方が多数いらっしゃいますので、今後も御教授及び御指導いただき、スキルアップに努めさせていただきたいと考えております。御教授及び御指導いただきたく、宜し
くお願い致します。
また、私自身、至らない点が多々あるかと思いますが、これまでの経験を活かして今後の日本システム監査人協会及びシステム監査の発展に寄与させていただきたいと考えておりますので、重ねて御教授及び御指導いただきたく、宜しくお願い致します。

日本システム監査人協会 会報11April 2018

日本システム監査人協会 会報

会員番号 1200 豊田 諭（本部理事）
この度、新たに理事に就任いたしました、豊田 諭と申します。
私は、商社の情報システム部門に所属し、子会社を含む国内外システムの開発、運用、保守と各種管理業務に携わった後、２年前に退職いたしました。当協会には２００２年に入会いたしましたが、退職前に情報セキュリティと IT ガバナンスの基準・規程等の整備とその運用確認などの業務に関わっていたこともあり、現在はIT アセスメント研究会と情報セキュリティ監査研究会に所属して活動しております。
昨今の情報技術の発展は凄まじいものがあり、システム監査が対象とするシステム自体が高度化、複雑化し、システムの範囲も拡大し続けていますので、これに合わせ、システム監査の拠り所である各種基準・規程類も常に見直し進化させる必要があります。また、システムが抱える情報セキュリティなどのリスクも同じく高度化、複雑化し、対象範囲が拡大し続けていますので、今や情報セキュリティはシステム監査から外せないものと捉えています。
皆様のご指導ご鞭撻をいただきながら、両研究会の活動等を通じて協会や会員の皆様に少しでも貢献できるように努めてまいりたいと思います。どうぞ宜しくお願いいたします。

会員番号 2422 福田敏博（本部理事）
このたび新たに理事に就任しました福田敏博です。私はエンジニアリング会社に勤務し、現在は産業オートメーションのサイバーセキュリティを専門にコンサル
ティングをしています。手前味噌ながら、この業界の第一人者として「工場・プラ
ントのサイバー攻撃への対策と課題がよ～くわかる本」を書いています。
http://www.amazon.co.jp/dp/4798044466/（Kindle 版もあります）
一般的な情報システムでは、IT（Information Technology）という用語を使います。一方、産業オートメーションでは、OT（Operational Technology）という用語が使われるのを、皆さんご存知でしょうか。昨年あたりから、産業系のシステム（制御システム等）をOT システムと呼ぶことが増えてきました。
近年 OT では、IT と同じようなサーバやパソコン、ネットワークなどが活用されています。しかしながら、OT のセキュリティリスクが十分認識されていなく、大手企業でもセキュリティ対策が進んでいないのが現状です。個人的には、そもそも OT でガバナンスの観点が欠落しているのが問題だと感じています。
今後は協会の活動を通して、OT ガバナンスといった新たな分野を開拓したいと思っています。何卒よろし
くお願いいたします。

日本システム監査人協会 会報12April 2018

日本システム監査人協会 会報

会員番号 2063 山口達也（本部理事）
この度、新たに理事に就任しました山口と申します。IT に関しては、約 9 年間、大手銀行のシステム開発業務を担当した後、監査法人に転職し、以降約 18 年間、主に金融機関を中心に IT 内部統制に関する外部監査（財務諸表監査）、システム
リスク管理、情報セキュリティ、個人情報保護、大型プロジェクトマネジメント、
内部監査品質評価等の外部評価や態勢構築支援等に従事してきました。昨今では、従来のシステム監査における安全性・信頼性・効率性の観点に加え、有効性の観点から評価する IT ガバナンスに関する外部評価等にも従事しております。
上記の通り、これまではどちらかといえば現場における実践的な対応が中心であり、「システム監査はどうあるべきか」等の理論的な話は相対的にあまり関与してきておりませんでしたが、今回協会の理事に就任した
ことを契機に、こちらの方面についても皆様と一緒に知見を深めていきたいと考えております。
また、逆にあるべき論とは別に、現実がどうなっているのかといった情報のフィードバック等、これまでの自身の経験や本業としてシステム監査に携わっている事を活かしつつ協会に貢献していきたいと思います。
どうぞよろしくお願い致します。

会員番号 1112 久保田秀男（中部支部理事・支部長）
この度、新たに理事（中部支部長）に就任いたしました久保田と申します。私は 1982 年に地銀に入行し、営業店で２年の内務事務全般、３年の渉外係を経験した後、システム部門に異動となり、主に情報系システムの企画・開発を担当しました。また、当時本店ビル内にあったシステムを更改し、併せて新設のセンターに移行することにも携わりました。システム部門には７年余り所属し、その後、東京事務所、営業開発部門、内部監査部門、及び企画部門を経て、約４年前に連結子会社のリース会社に転籍となり、システムを含む業務全般を所管しています。
システム更改に関しては、前述した更改以外に所属した各部門で携わり、銀行で計３度経験いたしました。現在のリース会社においても、リースの基幹システムのパッケージシステムへの更改を担当し、２年ほど前に移行を完了いたしました。また、内部監査部門に所属したときには、主に本部各部に対する業務監査、及びシス
テム監査を担当し、ＩＴ統制、オペレーショナルリスク管理の高度化に対する監査が必要となった際は、監査法人、コンサルなどと協議し監査の企画も行いました。
システム監査技術者試験は、東京事務所での勤務の中で銀行協会、関係省庁などとの会議、打合せなどのなかで、異動前のポジションでは、ユーザ部門と打合せ、システムを企画、開発、リリースまでを一貫して行う、建築で例えると大工のような仕事を行ってきましたが、システムを施工主の立場で管理する、建設会社の管理者のような視点での仕事を経験したことから、そういった能力を整理する意味で受験し合格しました。合格後、2014 年に当協会に入会し、以来、なかなか研究会に参加できない幽霊会員のような状態の時もありましたが、現在まで協会活動に参加してきております。
日本システム監査人協会 会報13April 2018

日本システム監査人協会 会報

今後、中部支部長として、支部活動のより一層の活性化に努め、「経営に役にたつシステム監査とは」など
各種のテーマについて研究会を通して考えていきたいと思います。

会員番号 1694 安井秀樹（中部支部理事・副支部長）
安井秀樹、と申します。愛知県生まれの愛知県育ちで５４歳です。所属は富士通株式会社です。大学（文系）卒業後に入社し、３０数年経ちました。入社した頃は「ＳＥ３０歳定年説」と言われていましたので、この年までＳＥをやっているとは想像していませんでした。現在は、社内のシステム開発プロジェクトの健
全性やリスクの監査や若手向けに品質管理の教育などを担当しています。協会へ
は２００８年に入会し、中部支部所属です。
実家は愛知県にありますが、２０１２年より大阪勤務のため、普段は大阪暮らしです。
関西にいますので、冬季（新酒）限定で、灘五郷、京都伏見、奈良の日本酒の蔵めぐりをしています。春から夏にかけては、ビール工場や日本ワインの醸造所などを訪ねています。秋はサントリー山崎蒸留所の有料ツアーに参加するのが恒例になりつつあります。という訳で、拘りなく、何でも呑む、普通の酒好きのおっさんです。どうぞ、よろしくお願いします。

会員番号 0655 荒牧裕一（近畿支部理事・副支部長）
このたび理事及び近畿支部副支部長に就任いたしました、荒牧裕一と申します。
よろしくお願いいたします。
私が「情報処理システム監査技術者試験」に合格したのは 25 年前の平成 5 年でした。当時は 27 歳以上でなければ受験資格が無かったのですが、その 27 歳を迎えた記念のつもりで受験したところ、たまたま午後Ⅱの論述のテーマが自分の得意のテーマだったこともあり合格してしまい、かえって戸惑ったことを憶えています。すぐに協会に入会して例会に参加したのですが、もちろん私が最年少で周囲の方はベテラン揃い、話の内容も高度で付いていくのが大変でした。
それから私も、監査法人で実務を経験するなど少しずつですが経験を重ね、年下の会員も徐々に増え、今では年長組の一員として活動しております。たまたま合格したことがコンプレックスだった試験についても、試験名称が「システム監査技術者試験」に変わった後の平成 21 年に再度受験して、今度は実力で合格しました。
私の経験がどの程度お役に立てるかは判りませんが、出来る限りのことをしたいと思っております。

日本システム監査人協会 会報14April 2018

日本システム監査人協会 会報

会員番号 0811 舩津 宏（九州支部理事・支部長）
この度九州支部長になりました舩津 宏です。こんにちは。
私は NEC グループのシステムエンジニア出身で、平成 9 年に SAAJ に入り、21年目ということになります。九州支部は、ビデオ視聴や情報交換を中心に月例会を開催しており、ずっと啓発を受けており、プライバシーマークの審査員になることができたなど実利も経験しています。
私は先人が維持してきたこの活動をこれからも世話役として支えて行きたいと思っています。
個人的には、趣味は旅好き、新しいもの好きです。審査員の仕事は、出張や新しい事業プロセスに接するという意味で、趣味と一致しています。
SAAJ の活動としては、本部との連携の強化などで新たな活動を模索したいと思いますので、ご指導ご鞭撻の程よろしくお願い申し上げます。

会員番号 1697 大西 智（監事）
この度、金子監事の退任の後を受け、新たに監事に就任しました大西智です。
当協会には、2008 年 4 月に入会し、システム監査の実務経験がないため、システム監査事例研究会に同年 10 月より参加させて頂きました。事例研究会では、「事例に学ぶ課題解決セミナー」の立上げに参加し、システム監査について色々勉強させて頂きました。システム監査実務・実践セミナーにも参画させていただ
き、先輩の方々より、セミナー教材の作成・改訂、セミナー事務局運営並びにセミナー講師の心構え・ノウハウ等をご伝授頂きました。
2014 年より、理事を 2 期 4 年務めさせて頂きました。2014～2015 年は事例研究会の主査を務め、シス
テム監査普及サービスの受託もさせて頂きました。2016～2017 年は、システム監査活性化委員会・情報セ
キュリティ監査研究会の担当理事をさせて頂きました。
２期４年務めたため、理事を退任することにしましたが、理事退任の代わりに、監事の役を仰せつかりました。よろしくお願いいたします。

＜目次＞

日本システム監査人協会 会報15April 2018

日本システム監査人協会 会報
2018.3

総会特集 【2017 年度

会報アワード 】
会員番号 1795 藤澤 博（会報主査）【 2017年度 会報アワードの表彰について 】
2017年1月から12月までの会報記事の投稿の中から、以下のとおり表彰者を選定しました。
「めだか」の部：

空心菜「本部報告」の部：

ホームページ運営委員会「支部からの優良報告」の部：

近畿支部、北海道支部

会報アワードの発表（藤澤主査）＊参考【 会報アワード制度について 】
会報アワード制度は、2010 年度会報記事の投稿から「めだか」、「投稿記事、エッセイ」、「部会や支部からの優良報告」の３分野に分けてスタートし、優秀作品に対し、総会時に表彰することとしました。今回
で 8 回目の表彰です。以前は会報記事の投稿者に薄謝として図書券を配布していた制度に変わるものです。
これからも、会報への積極的な投稿をお願いします。
以上＜目次＞
日本システム監査人協会 会報16

April 2018

日本システム監査人協会 会報
2018.3

本部報告
第２２９回月例研究会講演録【 IT ガバナンスの国際標準化の最新動向とその取り組み】

会員番号 2574 竹原豊和
【講師】

SAAJ ＩＴアセスメント研究会 有志
松尾正行氏（ISO/IEC JTC1/SC40 WG１メンバー）
力 利則氏 （ISO/IEC JTC1/SC40 専門委員＆WG１メンバー）【日時・場所】 2018 年 1 月 29 日（月）18 時 30 分～20 時 30 分 機械振興会館 B2F ホール【テーマ】 「IT ガバナンスの国際標準化（ISO/IEC38500 シリーズ）の最新動向とその取り組み」【要旨】
企業経営における IT 戦略として、IT 効果の最大化、IT リスクの最小化、 コンプライアンス実現のためにIT ガバナンスの導入と確立が重要かつ効果的と考えられている。IT ガバナンスに関しては、日本では 2015
年 7 月に「JIS Q 38500:2015」として JIS 化されたが、グローバルな取り組みとしては、ISO/IEC38500
として 2008 年に初版ができ、その後 38501、502、504、505 等が発行され、ISO/IEC38500 も 2016 版
として改訂も進み、諸外国ではその重要性を理解して 取組みも本格化している。
今回の月例研では、SAAJ のＩＴアセスメント研究会（松枝主査）の有志で、 「ISO/IEC SC40 専門委員
会（IT サービスマネジメントと IT ガバナンス）」の 日本の WG1 メンバーであるお二人が、IT ガバナンスの国際標準化（ISO/IEC 38500 シリーズ）の最新動向と日本での取組みと課題について、解説する。
【講演録】
第一部：38500、501、502、504、505 の説明（力氏）
IT ガバナンスは ISO/IEC38500 となっており、38500、501、502、504、505、それと 503 が存在する。
503 については日本主体で進めている ISO 規格であり、その辺りについては第二部で松尾氏に解説いただく。
IT ガバナンスに関して、日本では 2015 年 7 月に「JISQ1 38500:2015」として JIS 化されている。なお、38500 シリーズにおいて JIS 化されているのは、38500 のみであり、その他については現状で JIS 化及び日本語化されていない。IT ガバナンスの国際標準化については、2013 年 11 月の ISO/IEC の JTC1（第 1 合同技術委員会）の総会で、専門委員会設立が承認され、2014 年 2 月より活動を開始した「SC40 専門委員会」
にて検討が進められている。システム監査と IT ガバナンスは、本来密接な関係である内容だが、この委員会に SAAJ のメンバーも参加しており、その意味からも双方にとって有意義な関係性を構築している。
今現在 IT を企業経営に活用していない企業など皆無であるため、IT は一般的に「企業経営と密接な関係」
である状況だが、その企業経営において重要となる「コーポレートガバナンス」の一部を担うものが「IT ガバナンス」となっている。
SC40 には様々な WG が存在しているが、その中の WG1 が IT ガバナンスとなっている。なお、WG2 がIT サービスマネジメント、WG3 が IT を使ったビジネスプロセスアウトソーシング、WG4 が IT サービスマ
ネジメントインフラストラクチャとなっている。
WG1 は様々な国から構成されており、英国を含む EU の多数の国々、豪州、北米、中国、韓国、そして日本が参加している。Expert 登録者名も 100 名以上となっており、日本国内における WG1 のリエゾンは日本IT ガバナンス協会と SAAJ となっている。
日本システム監査人協会 会報

17

April 2018

日本システム監査人協会 会報38500 シリーズの中で 38500 は JIS 化されているため、日本語化が行われているが、その他については
SAAJ の IT アセスメント研究会にて和訳している状況となっている。38500 シリーズにおいては、IT ガバ
ナンスと事業プロセスに分けて考えている状況だが、この中の事業プロセスにおいては「P→D→C→A（PDCA）」というサイクルとなっているが、IT ガバナンスは「Evaluate→Direct→Monitor（EDM）」というサイクルとなっている。
この EDM の詳細を説明すると E が「現在と将来の IT の利用についての評価」、D が「ビジネス目標に合致するように、計画とポリシを策定し、実施」、M が「ポリシへの準拠と計画に対する達成度をモニター」となっている。IT ガバナンスを考える際、良質な IT ガバナンスのために、「責任」「戦略」
「取得」
「パフォー
マンス」
「適合」
「人間行動」という 6 つの原則がある。この 6 つの原則は IT ガバナンスにおいて経営者に必要な条件ともいえる。
38500 シリーズのそれぞれの内容を簡単に説明すると 38501 が「導入ガイド」となっており、IT ガバナ
ンスをどのように導入するのか、といった内容となっている。38502 については「フレームワークとモデル」となっており、ガバナンスとマネジメントの関連と、それぞれに伴う責任を明確にするモデルを規定するといった内容となっている。38504 については「原則基盤の標準ガイド」、「原則ベースの基準ガイダンス」となっており、一般的な推奨指針をそれらの形式、内容と記述レベルに関して提示するといった内容となっている。38505-1 については、新規格であるが、データガバナンスという位置づけとなっている。データガバ
ナンスを規格化することにより、経営者が IT についてきちんとした説明責任が要求されるという意味で「ITガバナンス」が重要視される状況となる。また、データガバナンスの応用として 38505-2 がある。
38500 については、JIS 化されているとおり、適用範囲は「組織のディレクタ（この場合、経営者）のために、その組織内で IT の効果的、効率的で受容可能な使用に関するガイドとなる原則を提供すること」となっている。また、対象となる組織はあらゆる大きさであり、公的、私的の区別なく NGO も含めた組織となっている。
なお、日本語化においては、特に用語の翻訳に苦心した。例えば、IT ガバナンスを意味する英語は「corporate governance of IT」となっているが、この場合だと「企業のみ」と勘違いされてしまう可能性があり、実際には企業だけではなくその他の組織も含んでいるため、corporate（企業）は訳さずに IT ガバ
ナンスとしている。
38500 シリーズの特徴である「EDM モデル」については、日本国内において特に経営者に伝わっておらず、どのようにして伝えていくべきかという部分は現状の課題と考える。
38501 に関しては IT ガバナンスの導入ガイドであり、国の政策としての位置づけも大きいと考える。したがって、この 38501 の JIS 化（日本語化）を進めることで、「IT ガバナンスをどのように導入したら良いのか」、「経営者が IT に対してどのように取り組めばいいのか」、「グローバルな競争の中でどのように取り組んでいけば良いか」を知ってもらうことが可能となる。また、同様に 38502、38504、38505-1 についても積極的な JIS 化（日本語化）が必要と考える。
第二部：38503 の説明（松尾氏）
ISO/IEC 38503 は、日本主導で導入が進められており、
2018 年 1 月末までに 38503 の NWIP
（New Work
Item Proposal）を提出できるよう原案を作成中である。38503 は過去のプロジェクト期限切れにより、2017
年 5 月の岡山会議後から再スタートした準備中のプロジェクトである。
38503 が正式にプロジェクトとして認められるのは最短で 2018 年 6 月で、それまでに提案（NWIP とドラフト文書の作成）と投票を完了する必要がある。この作業を有志 6 カ国で行っている状況である。
38503 は、IT ガバナンスのアセスメントに関する国際規格であるが、その範囲はガバナンスレイヤーから
日本システム監査人協会 会報18

April 2018

日本システム監査人協会 会報

マネジメントレイヤーとのインターフェースまでをカバーしており、内容として「目的と範囲（Scope andObjective）」、「アセスメント手法と実施(The Approach for Assessment, Implement Assessment
Programme)」、「成熟度評価モデル（Maturity Assessment Model）」、「便益成果と成功証拠（Beneficial
Outcomes and Evidence of Success）」の 4 つに大別されるが、その背景として「ガバナンス行動（Governance Behavior）」なども検討している。
38503 の適用範囲は、「経営陣、上級マネジャ、スキルのある評価者に対して IT ガバナンスのアセスメン
トの計画と実行を支援」「（IT 利用の程度に関係なく）すべての形態、規模の組織に適用」となっている。また、38503 の目的は、「組織における IT ガバナンスのアプローチと手法のガイダンスの提供」「経営陣に、組織における IT ガバナンスが適切に行われているかの評価を提供」「組織における IT ガバナンスの改善点と手法の提示」となっている。
さらに「IT ガバナンス環境の評価」「ガバナンスフレームワークの評価」「組織背景の明確化の評価」「IT
利用に関する現状及びあるべき状態の明確化の評価」「変革プログラムの評価」「モニター能力の評価」といった 6 つの主要局面の評価も重要となっている。
ガバナンスには「ソフト」と「ハード」があり、ソフト面においては非共通的なもの、反対にハード面に
おいては共通的なものが多い。ガバナンス行動においては、HOW と WHAT に区分けすることが可能であり、「HOW」はマネジメント層、「WHAT」はガバナンス層中心となっている。また、ガバナンスの評価はアセスメントの範囲だけではないことにも留意する。評価の形態を主観性と客観性に区分した場合、経営陣による自己評価は主観的、内部/外部のアセッサによる評価は客観的と考えられる。その中間に位置するファシリテータ方式はハイブリッド的なものとなっており、バランスが良い形と考えられる。
今後の開発スケジュールは、2017 年 2 月初旬に NWIP,CD/WD の提出、2018 年 2 月～4 月が NWIP に関する投票、2018 年 5 月が NWIP,CD/WD に対するコメント期間、2018 年 6 月に SC40WG1 全体会議での方向決定、2018 年 6 月以降に 38503 のドラフト標準の開発となる。NWIP の投票においては、5 か国の賛成を得られれば承認される。
近い将来改訂が予定されている日本の「システム監査基準」「システム管理基準」において、第一章に IT
ガバナンスが記載される予定となっており、その意味でも IT ガバナンスは今後システム監査と密接な関係を持つことが予測される。その際に対応が行えるようにするためには、38500 シリーズを理解しておくことが大事である。
【所感】
今回、御講演いただいた「IT ガバナンスのアセスメントの国際標準化」を聞かせていただいた率直な感想
として、今後のシステム監査においては、IT ガバナンス分野を無視できない状況になっていることを実感した。
近い将来更新される、システム監査基準やシステム管理基準に IT ガバナンスに関する規定が追加されるため、IT ガバナンスは今まで以上にシステム監査業務に意味を持つこととなるが、規定の有無に関わらずこれだけ IT が一般化している現在、やはり IT ガバナンスという視点からシステム監査を行っていくことは、これからの時代において、ある意味で当たり前なこととなっていき、そしてシステム監査という行為そのものが更に重要視されていくのではないだろうか、と感じた。
＜目次＞

日本システム監査人協会 会報

19April 2018

日本システム監査人協会 会報
2018.3

本部報告 【 システム監査基準・管理基準の改訂作業について 】
会員番号 0555 松枝憲司（IT アセスメント研究会）
１．システム監査基準・管理基準改訂作業の目的
システム監査基準及び管理基準は公表から 10 年以上経過しており、社会情勢の変化(IT ガバナンスが重視され、情報システムの構築・運用管理方法も多岐にわたるようになった等）に十分な対応ができているとは言い難いことから、企業等の情報システムの戦略的な構築・運用管理の実現を支援し得る、質の高いシステム監査制度の基盤を構築することを目的として改訂されました。原案は３月中旬にパブリックコメントを募集しており、この会報が出るタイミングでは、パブコメを受けた後の新基準が提示されていると思われます。
以下はパブコメ案で示された新システム監査基準と管理基準の目次です。
○システム監査基準（案）
前文（システム監査基準の活用にあたって）
Ⅰ．システム監査の体制整備に係る基準

Ⅳ．システム監査実施に係る基準【基準１】システム監査人の権限と責任等の明確化【基準８】監査証拠の入手と評価【基準２】監査能力の保持と向上【基準９】監査調書の作成と保管【基準３】システム監査に対するニーズの把握と品質の確保【基準１０】監査の結論の形成

Ⅱ．システム監査人の独立性・客観性及び慎重な姿勢に係る基準

Ⅴ．システム監査報告とフォローアップに係る基準【基準４】監査人としての独立性と客観性の保持【基準１１】監査報告書の作成と提出【基準５】慎重な姿勢と倫理の保持【基準１２】改善提案のフォローアップ

Ⅲ．システム監査計画策定に係る基準【基準６】監査計画策定の全般的留意事項【基準７】リスクの評価に基づく監査計画の策定○システム管理基準（案）
前文(システム管理基準の活用にあたって)Ⅰ．IT ガバナンス

Ⅲ．開発フェーズ

1．情報システム戦略の方針及び目標設定

1.開発ルールの管理

2．情報システム戦略遂行のための組織体制

2.基本設計の管理

3．情報システム部門の役割と体制

3.詳細設計の管理

4．情報システム戦略の策定の評価・指示・モニタ

4.実装の管理5. 情報システム投資の評価・指示・モニタ

5.システムテスト（総合テスト）の管理

6. 情報システムの資源管理の評価・指示・モニタ

6.ユーザ受入テストの管理

7. コンプライアンスの評価・指示・モニタ

7.移行の管理8. 情報セキュリティの評価・指示・モニタ

8.プロジェクト管理

9. リスクマネジメントの評価・指示・モニタ

9．品質管理10. 事業継続管理の評価・指示・モニタ

Ⅱ.企画フェーズ

IV．アジャイル開発

1．プロジェクト計画の管理

1.アジャイル開発の概要

2．要件定義の管理

2.アジャイル開発に関係する人材の役割

3．調達の管理

3.アジャイル開発のプロセス（反復開発）

日本システム監査人協会 会報20April 2018
Ⅴ．運用・利用フェーズ

日本システム監査人協会 会報
Ⅶ．外部サービス管理

1.運用管理ルール

1.外部サービス利用計画

2.運用管理2.委託先選定

3.情報セキュリティ管理

3.契約と管理

4.データ管理4.サービスレベル管理

5.ログ管理6.構成管理Ⅷ.事業継続管理
1.リスクアセスメント

7.ファシリティ管理

2.業務継続計画の管理

8.サービスレベル管理

3.システム復旧計画の管理

9.インシデント管理

4.訓練の管理10.サービスデスク管理

Ⅵ．保守フェーズ

5.計画の見直しの管理

Ⅸ．人的資源管理

1.保守ルール

1.責任と権限の管理

2.保守計画2.業務遂行の管理

3.情報セキュリティ管理

3.教育・訓練の管理

4.変更管理4.健康管理5.保守の実施
6.ソフトウェア構成管理

Ⅹ.ドキュメント管理

7.ライフサイクル管理

1.ドキュメントの作成
2.ドキュメントの管理

２．システム監査制度に関する継続的な改善について
新基準の普及や継続的な改善を行うための枠組みについては、基準の見直しについて中心的に担当してきたシステム監査関連４団体（システム監査学会、日本システム監査人協会、ISACA 東京支部、IT ガバナンス協会）で、2018 年の活動を検討しています。決定しているイベントは以下の通りです。
○「4 団体共同 システム監査制度カンファレンス」
・日時：2018 年 5 月 19 日(土) 13 時~16 時(カンファレンス)、16 時 30 分~18 時(懇親会)
・場所：イイノホール(定員 500 名) 東京都千代田区内幸町 2-1-1 飯野ビルディング 4 階・主催：ISACA 東京支部 共催：システム監査学会、日本システム監査人協会、ITGI（プログラム案）
1. 基調講演「システム監査制度改訂の意義」
2. パネルディスカッション「システム監査基準、システム管理基準の改訂のポイント」
3. 講演「システム監査制度の普及と継続的改善」等
本カンファレンスは当協会の５月の月例会を兼ねていますので、会員の皆様も積極的にご参加ください。
＜目次＞

日本システム監査人協会 会報

21April 2018

日本システム監査人協会 会報
2018.3

本部報告 【 PMS 要求事項【JIS Q 15001:2017】と「個人情報取扱規程」の事例

連載２】

会員番号 1760 斎藤由紀子 （個人情報保護監査研究会）
個人情報保護マネジメントシステム－要求事項【JIS Q 15001:2017】の附属書 A（規定）管理目的及び管理策には、旧版（2006 年版）の本文に存在していた、「〜すること」等の管理策が示されており、2018 年 8月１日より、プライバシーマーク付与適格性審査においては、附属書 A（規定）が基準となります。
参考：2018 年 1 月 12 日発表「プライバシーマーク付与適格性審査基準」
https://privacymark.jp/system/operation/jis_kaisei/index.html
また、附属書 B（参考）には、附属書 A の管理策に関する補足が記載されています。これは 2006 年版規格
解説に当たるもので、「〜することが望ましい」ことが示されています。個人情報保護マネジメントシステム（以下附属書 B において PMS と呼ぶ）をより効率的に確実に運用するため、附属書 B はおおいに参考になります。
今回から、ページの許す限り、本文、附属書 A（規定）及び附属書 B（参考）を考察し、併せて JIS 適合性を満たす PMS 文書の事例として「3300 個人情報取扱規程」のサンプルを見ていきます。
※ この連載を基にした HTML 版に「連載１」から公開を開始しました。
規格本文＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/000JISQ15001_2017.html
管理策 1＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/001JISQ15001_2017.html
PMS 監査研究会のコメントは、事業者が「具体的にどうすればよいか」を判りやすく伝えるため、やや断定的な表現にしていますが、事業者の状況によっては、必ずしも必要でない場合もあることをご了承ください。
又、2018 年５月からスタートする欧州連合（EU）一般データ保護規則（GDPR）の影響もあり、「具体的にどうすればよいか」も大きく変化していくことが考えられます。
今後プライバシーマーク審査基準の確定及び変化によって、HTML 版で訂正していきます。
引用：日本規格協会「日本工業規格 JIS Q 15001:2017 個人情報保護マネジメントシステム要求事項」
赤字：【2006 年版 JIS】から追加、変更となった規格
青字：PMS 監査研究会のコメント
個人情報保護マネジメントシステム－要求事項 JIS Q 15001：2017
1.
本文
この規格は、組織が、自らの事業の用に供している個人情報に関する、個人情報保護マネジ
適用範囲
メントシステムを確立し、実施し、維持し、かつ、改善するための要求事項について規定する。この規格が規定する要求事項は、種類または規模を問わず、全ての組織に適用できることを意図している。この組織は、個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下、個人情報保護法という。）に定める個人情報取扱事業者を意味する。
【P マーク審査のポイント】
・PMS の適用範囲は、2006 年版 JIS 規格と変更なく、事業者単位である。
・“事業の用に供している”の“事業”とは、一般社会通念上事業と認められるものをいい、営利事業だけを対象とするものではない。
・従業者の個人情報は、事業の用に供している個人情報である。
・承認は、電子承認でもよい。

【JIS Q 15001：2017】規格を元に、規程のサンプルを見ていきます。

個人情報取扱規程
PMS3300
日本システム監査人協会 会報22

April 2018

日本システム監査人協会 会報【3300 個人情報取扱規程】サンプル
１. 本規程の目的
本規程は、「日本工業規格 JIS Q 15001:2017 個人情報保護マネジメントシステム要求事項」(以下、JIS
Q 15001:2017、又は規格と呼ぶ）に基づき、個人情報保護マネジメントシステム（以下 PMS と呼ぶ）
運用の具体的な手順を定める。

1.1 適用範囲
PMS は、当社の全従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員、取締役、執行役、理事、監査役、監事、派遣社員、受入出向社員）に適用する。

1.2 適用対象
PMS は、当社の事業の用に供しているすべての個人情報を適用対象とする。
■
個人情報保護マネジメントシステム－要求事項 JIS Q 15001：2017
2. 引用規格 ・・・省略
3.
本文
この規格で用いる主な用語及び定義は、個人情報保護法による。その他の主な用語及び定義
用語及び定義は、次による。
（以下省略）【P マーク審査のポイント】
・用語は個人情報保護法による。とされたことで【JIS Q 15001:2017】では、PMS としての用語が省略された。

【3300 個人情報取扱規程】サンプル
２．用語の定義
PMS において使用する用語は、個人情報の保護に関する法律（2003 年 5 月 30 日法律第 57 号、2016
年 5 月 27 日第 51 号改定）、および JIS Q 15001:2017 の 3 (用語及び定義)に準じ次の通りとする。

2.1 個人情報（法）個人に関する情報であって、特定の個人を識別できるもの。他の情報と容易に照合することによって特定の個人を識別することができることとなる情報、および個人識別符号を含む。

2.2 個人識別符号（法）
政令で定めるものであって、顔認識・指紋データ等の生体情報等、特定の個人を識別することができるもの。もしくは、個人に発行されるカード等に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、特定の本人を識別することができるものをいう。

2.3 要配慮個人情報（法）次に示す事項のいずれかの種類を含む個人情報をいう。
a)b)

人種、信条、社会的身分
病歴

c)
d)

犯罪の経歴
犯罪により害を被った事実e)

次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
・身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
・本人に対して医師等により行われた疾病の予防及び早期発見のための健康診断等の結果

日本システム監査人協会 会報23

April 2018e)

日本システム監査人協会 会報
・健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
・本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
・本人を少年法第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、 保護処分その他の少年の保護事件に関する手続が行われたこと。
その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの

2.4 個人情報データベース等（法）個人情報を含む情報の集合物であって、検索することができるように体系的に構成したもの。

2.5 個人データ（法）個人情報データベースを構成する個人情報をいう。

2.6 組織（JIS 3.1）
責任及び権限をもつトップマネジメントが存在し、自らの目的を達成するため、責任、権限及び相互関係を伴う独自の機能をもつ、個人又は人々の集まり。

2.7 本人（法、JIS 3.4）
個人情報によって識別される特定の個人。PMS では個人情報は「本人のもの」と認識する。

2.8 本人の同意
本人が、個人情報の取扱いに関する情報を与えられたうえで、自己に関する個人情報の取扱いについて承諾する意思表示のこと。子ども又は事理を弁識する能力を欠く者の場合は、代理人の同意も得なければならない。

2.9 代理人
法律で定められた親権者、又は家庭裁判所で認められた後見人、本人が選定した任意代理人などをいう。

2.10 トップマネジメント（JIS 3.5）
当社のトップマネジメントは、代表取締役社長とする。ただし、“代表者”もしくは“社長”と言い換えることができる。

2.11 個人情報保護管理者（JIS 3.41）
トップマネジメントによって組織の内部に属する者の中から指名された者で、PMS の計画・実施及び運用に関する責任及び権限をもつ者。トップマネジメントに PMS の見直し及び改善の基礎として、PMS の運用状況を報告する。なお、略称として“PMS 管理者”を用いることができる。

2.12 個人情報保護監査責任者（JIS 3.42）
トップマネジメントによって組織の内部に属する者の中から指名された者で、公平、かつ客観的な立場で監査の実施及び報告を行う責任と権限をもつ者。なお、監査役は監査責任者を兼ねることはできない。

2.13 個人情報保護マネジメントシステム
組織が、自らの事業の用に供する個人情報について、その有用性に配慮しつつ、個人の権利利益を保護するための方針、体制、計画、実施、点検及び見直しを含むマネジメントシステム。

2.14 不適合
個人情報保護法をはじめとする法令、規範および、JIS Q 15001:2017 規格の要求を満たしていないこと。

日本システム監査人協会 会報24

April 2018

日本システム監査人協会 会報

2.15 提供
提供には以下の概念がある。
a)

委託

自社と同等の安全管理措置が講じられている組織に個人情報を受け渡す。個人情報の管理責任は委託元にある。

b)

第三者提供

c)

共同利用

個人情報を渡したあとの管理責任が第三者に渡る。あらかじめ本人の同意を得な
いで第三者提供を行うことは個人情報保護法に違反する。
個人情報を複数の組織と共同で利用する。本人の同意を得た後に共同利用者を追加する場合は、再度本人の同意が必要。

2.16 保有個人データ（法）開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。なお、６か月以内に消去することとなるものについても、当社は保有個人データとして取り扱う。なお受託した個人情報については、当社に開示権限は無い。

2.17 雇用管理情報
当社の全従業者、従業者になろうとした者、並びに過去において従業者であった者の、雇用管理のために取得、保管、利用等する個人情報をいい、病歴、収入、家族関係等の情報を含む、従業者等の個人に関するすべての情報をいう。

2.18 個人番号関係事務
個人番号関係事務に係る用語は、「3305 個人番号関係事務規程」第 2 条に定める。

2.19 匿名加工情報（法）
個人情報に含まれる記述等の一部を、個人情報委員会規則に従って、復元することのできない方法により削除、あるいは他の記述等に置き換え、もしくは、個人識別符号の全部を削除することにより、特定の本人を識別することができないようにしたものをいう。

2.20 匿名加工情報取扱事業者（法）匿名加工情報を事業の用に供している者をいう。
当社は、匿名加工情報取扱事業者ではない。
■
表 A.1－管理目的及び管理策
A.3 管理目的及び管理策
A.3.1 一般
（2006：3.1）
目的 個人情報保護マネジメントシステムの運用を行うため
A.3.1.1
附属書 A
この管理策に規定する A.3.2 から A.3.8 は、トップマネジメントによって権限を与えられた
一般
者によって、組織が定めた手順に従って承認されなければならない。
“トップマネジメントによって権限を与えられた者”とは、原則として個人情報保護管理者を指す。ただし、承認する案件の軽重は、経営判断を要するものから現場の担当者の判断に任せるものまでさまざまであり、個人情報保護管理者以外のものが承認する場合もあり得
附属書 Bる。
“組織が定めた手段”についても、承認する案件の軽重によって、経営層の決議を要するもの
から部署内の決済までさまざまであると考えられる。
【P マーク審査のポイント】
・トップマネジメントへのインタビュー項目
a)個人情報保護目的を説明できること。（A.3.2.1）（2016：理念を明確にしていること）
b)内部向け個人情報保護方針を文書化した情報を、組織内に伝達し、必要に応じて、利害関係者が入手可能にするための措置を講じていること。（A.3.2.1）c)外部向け個人情報保護方針を文書化した情報について、一般の人が入手可能な措置を講じていること。
（A.3.2.2）d)個人情報保護のための人的資源を説明できること（A.3.3.4）

日本システム監査人協会 会報25

April 2018

日本システム監査人協会 会報e)マネジメントレビューのアウトプットには、継続的改善の機会及び PMS のあらゆる変更の必要性に関する決定を含んでいること。（A.3.7.3）（2016：リスク認識とその対応）
f)PMS を継続的に改善していること。（A.3.8）
・文書審査では、包括的に個人情報保護管理者等による承認手順を確認する。
・現地審査では、A.3.2 から A.3.8 の管理策について、承認を得たことが確認できる記録を確認する。
・承認は、電子承認でもよい。

【3300 個人情報取扱規程】サンプル
３．個人情報保護マネジメントシステム（PMS）
3.1 一般要求事項
当社は、個人情報保護マネジメントシステム（PMS）を確立し、実施し、維持し、かつ、改善する。本規
程の 3.2（個人情報保護方針）から 3.8（是正処置）の承認については、3.3.4（資源、役割、責任及び権限）に定める。
■
A.3.2 個人情報保護方針 （2006：3.2）
目的 個人情報保護の理念を明確にし、公表するため。
A.3.2.1
内部向け
トップマネジメントは、5.2.1e)に規定する内部向け個人情報保護方針を文書化した情報には
個人情報保護
次の事項を含めなければならない。
a)事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること[特定さ方針
れた利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、“目的外利用”という。）
を行わないこと及びそのための措置を講じることを含む。]。
b)個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること。
c) 個人情報の漏えい、滅失又はき損の防止及び是正に関すること
d)苦情及び相談への対応に関すること。
e)個人情報保護マネジメントシステムの継続的改善に関すること。
f) トップマネジメントの氏名
トップマネジメントは、内部向け個人情報保護方針を文書化した情報を、組織内に伝達し、必要に応じて、利害関係者が入手可能にするための措置を講じなければならない。
内部向け個人情報保護方針に、単に“事業内容及び規模を考慮して適切に取扱います”などと記載したり、本体 A.3.2.1 の a)～e)の各事項の文言をそのまま記載することは A.3.2.1に適合しない。
A.3.2.1 の a)においては、“特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、目的外利用という）を行わないこと及びそのための措置を講じることを含む ”
附属書 Bとされているが、これは本体の A.3.4.2.6 を遵守した対応を求めているものである。
A.3.2.1b)の“法令、国が定める指針その他の規範”については、B.3.3.2 に示す。
A.3.2.1 の“利害関係者”には、従業者のほか、例えば、委託先、協業相手などの取引先などが考えられる。
【P マーク審査のポイント】
・内部向け個人情報保護方針には、方針の内容についての問い合わせ先掲載については問わない。
・外部向け個人情報保護方針(A.3.5.1b)のみでも良いが、その場合は、A.3.1.1 を含むこと。
A.3.2.2

外部向け
個人情報保護方針

附属書 B

トップマネジメントは、外部向け個人情報保護方針を文書化した情報には、A.3.2.1 に規定する内部向け個人情報保護方針の事項に加えて、次の事項も明記しなければならない。
a)制定年月日及び最終改訂年月日b)外部向け個人情報保護方針の内容についての問い合わせ先
トップマネジメントは、外部向け個人情報保護方針を文書化した情報について、一般の人が知り得るようにするための一般の人が入手可能な措置を講じなければならない。
外部向け個人情報保護方針は、A.3.2.2 に基づき一般の人が知り得るようにするための措置が求められるため、容易に理解できる表現であることが望ましい。
A.3.2.2 の、“一般の人が知り得るようにするための措置”としては、例えば、ウェブサイトによる公開が考えられる。 ウェブサイトをもたない場合は、例えば、会社パンフレットに記載し、受付カウンターに自由に持ち帰ることができるように用意しておくとともに、遠方からの問合わせに対しては、要望があればすぐに送付する体制を整えておくといった手段
で差し支えない。

日本システム監査人協会 会報26

April 2018

日本システム監査人協会 会報【3300 個人情報取扱規程】サンプル
3.2 個人情報保護方針
トップマネジメントは個人情報保護の理念を明確にし、次の事項を含む「3200 個人情報保護方針」を定める。方針は従業者に教育および掲示によって周知し、また利害関係者や一般の人が入手できるように当社のホームページに掲載する。
a)b)

事業の内容および規模を考慮した適切な個人情報の取得、利用及び提供に関し、目的外利用を行わないことおよびそのための措置を講じること。
個人情報の取扱いに関する法令、国が定める指針、その他の規範を遵守すること。

c)d)

個人情報の漏えい、滅失又はき損の防止および是正に関すること。
苦情および相談への対応に関すること。

e)f)

PMS の継続的改善に関すること。
トップマネジメントの氏名g)h)

制定日および最終改定日
個人情報保護方針の内容についての問合せ先

次回は、A.3.3

計画■から考察します。

「3300 個人情報取扱規程」の 3300 とは、A.3.3 の規格番号に起因し、A.3.3.1（個人情報の特定）、A.3.3.3（リスクアセスメント及びリスク対策）など、規格要求事項に対応する、PMS の規程となります。

発表した会報をベースに、HTML 版を公開しています。

規格本文＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/000JISQ15001_2017.html
管理策 1＞https://www.saaj.jp/03Kaiho/saajpmsJISQ15001_2017/001JISQ15001_2017.html
以上 ■■

＜目次＞
日本システム監査人協会 会報27

April 2018

日本システム監査人協会 会報
2018.3

本部報告 【 「発注者のプロジェクトマネジメントと監査」を刊行 】
会員番号 1604 原田憲幸 （プロジェクトマネジメントのシステム監査研究会）

1．開発トラブルを未然防止する「プロジェクトマネジメントと監査」を 3 年かけて本にしました！
システム開発で大トラブルとなる例は少なくないですが、どのプロジェクトも必死に取り組んでいて、それでも大トラブルになっています。なぜそうなるのか？何とかしたい……というのが、当研究会のテーマです。その成果を３年かけてまとめ、ようやく本にしました。

2．内容
・1 章～3 章では、トラブル事例の紹介とトラブル未然防止の基本、発注者／受注者の役割について述べます。
・4 章～10 章では、発注者のプロジェクトマネジメントと要点を述べ、11 章では、それを PMBOK®で解説します。
・12 章～15 章では、開発を成功に導くプロジェクト監査について具体的に述べます。
執筆：プロジェクトマネジメントのシステム監査研究会
監修：ＮＰＯ日本システム監査人協会
出版社：同文館出版株式会社

A5 版 220 ページ

3．特徴
発注者と受注者が Win／Win となる本開発を成功に導くために発注者は何をすべきか？を発注者視点で具体的に示します。本書では、ユーザ企業だけでなく、再発注における発注者（SI 会社等）も発注者とします。

詳細な項目表、絶対に外せない Point、豊富な事例等で、PM が何をPM の心強いアドバイザー

したらよいかを具体的に述べ、アドバイスします。
すぐ活用できるチェック表、分析法などを満載し、プロジェクトの現現場を明るく照らす指南書

場ですぐ実践できる指南書です。
システム開発を成功に導く監査

4. 購入方法・書店、Amazon 等

具体的な監査観点表を豊富に掲載し、開発を成功に導くプロジェクト
監査の実践にすぐ役立ちます。

：定価 \3,456（本体￥3,200＋税）

・SAAJ 会員の安価な購入：￥2,900（税込み、送料込み）SAAJ ホームページから「書籍注文書.PDF」（次ページ様式）をダウンロードして、出版社に FAX で直接申し込み下さい。
https://www.saaj.or.jp/shibu/130801PRJM2018Chirashi.pdf

日本システム監査人協会 会報28

April 2018

日本システム監査人協会 会報＜目次＞
日本システム監査人協会 会報29

April 2018

日本システム監査人協会 会報
2018.3

支部報告 【 北信越支部 2018 年度 支部総会・研究会報告 】
会員番号 1281 宮本茂明（北信越支部）
以下のとおり 2018 年度 北信越支部総会・研究会を開催しました．
・日時：2018 年 3 月 10 日（土） 13:00-17:00

参加者：12 名（会員 9 名，他団体 3 名）

・会場：富山県民会館（富山市）
・議題：１. 2018 年度北信越支部総会
２．本部総会参加報告
３．研究報告「サイバーセキュリティ経営ガイドライン」の改訂について「FISC 安全対策基準 第 9 版について」梶川 明美 氏長谷部 久夫 氏

４．意見交換：「データ利活用のシステム監査を考える」 コーディネータ：宮本 茂明◇2018 年度北信越支部活動計画について
2018 年度北信越支部では，3 ヶ月毎に各県で研究会（3 月支部総会[富山]，6 月福井県例会，9 月長

野県例会，12 月石川県例会）を開催し，会員の研究報告及び他支部との合同研究会のテーマ検討等を実施していきます．他団体との支部研究会での交流等を通じ会員増強，システム監査の普及・啓発を推進していきます．また，西日本支部合同研究会を 11 月 17 日に福井市で「データ利活用に関するシ
ステム監査」をテーマに開催することを計画中です．
◇研究報告 1「サイバーセキュリティ経営ガイドライン」の改訂について
報告者 (会員番号 0947 梶川明美)
１

はじめに
経済産業省と独立行政法人情報処理推進機構（IPA）は、IT に関するシステムやサービス等を供給する企業や経営戦略上 IT の利活用が不可欠な企業の経営者を対象に、経営者のリーダーシップによってサイバー
セキュリティ対策を推進するため、「サイバーセキュリティ経営ガイドライン」を策定された。平成 27 年
12 月 28 日に Ver1.0 が公表され、平成 28 年 12 月 8 日に Ver1.1 として改訂、平成 29 年 11 月 16 日に Ver2.0 が改訂公表された。
このガイドラインには、経営者が認識する必要のある「3 原則」と経営者が CISO 等に指示すべき「重要10 項目」がまとめられている。

２

改訂概要
昨今、サイバー攻撃が巧妙化しているため事前対策だけでは対処が困難となっており、米国のサイバーセ
キュリティフレームワークでは事前対策だけでなく、事後（検知、対応、復旧）対策を要求している。また、従来のガイドラインでは CSIRT の構築などの「対応」に関する項目はあるものの、「検知」や「復旧」に関日本システム監査人協会 会報30April 2018

日本システム監査人協会 会報

する内容が弱かった。このことから、米欧の取り組み状況も意識し、攻撃の検知や復旧に関する項目にもフォーカスした内容となっている。
３

企業経営と情報セキュリティに関する意識
企業の IT 利活用は、業務の効率化だけでなく、新しい製品やサービスを創造していく強い企業の必須条件となっている。一方サイバー攻撃は年々高度化、巧妙化しており、サイバー攻撃によって深刻な影響を引き起こす事件が発生するなど、その脅威は増大している。
そのため、セキュリティ投資は事業継続性の確保やサイバー攻撃に対する防衛力の向上だけでなく、IT
利活用によって企業の収益を生み出す上でも重要な要素となっている。セキュリティ対策の実施を「コスト」と捉えるのではなく、将来の事業活動・成長に必須なものと位置づけて「投資」と捉えることが重要である。
このことから、経営戦略としてのセキュリティ投資は必要不可欠かつ経営者としての責務であるといえる。
経営資源の配分として、セキュリティ投資を成長投資と認識している企業は２割弱であるが、コストとみる企業は６割強にのぼる。また、成長投資と考えている企業では７割以上の企業が必要なセキュリティ予算を確保できているのに対し、コストと考えている企業では４割程度に留まっている。

４

経営者が認識すべき３原則
経営者は、以下の３原則を認識し、対策を進めることが重要である。

(1) 経営者は、サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要(2) 自社は勿論のこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要(3) 平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開示など、関係者との適切なコミュニケーションが必要
５

経営者が CISO 等に指示すべき１０の重要事項
経営者は、CISO 等に対して、以下の１０項目を指示し、着実に実施させるとともに、実施内容について
CISO 等から定期的に報告を受けることが必要である。
下線を引いた指示は、今回の改訂で追加された指示または項目を含むものである。
＜サイバーセキュリティリスクの管理体制構築＞
指示１ サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示２ サイバーセキュリティリスク管理体制の構築
指示３ サイバーセキュリティ対策のための資源（予算、人材等）確保＜サイバーセキュリティリスクの特定と対策の実装＞
指示４ サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
指示５ サイバーセキュリティリスクに対応するための仕組みの構築「攻撃の検知」に関する指示項目として追加された。
検知のための機器やシステムを導入しただけで満足せず、実際にログのチェックや職員の教育を行うなど、実効性のある運用が伴わなければならない。訓練を行っても巧妙に仕組まれた標的型メー
日本システム監査人協会 会報31April 2018

日本システム監査人協会 会報

ルを開いてしまうことがあり、サイバー攻撃がますます巧妙化していくことを理解しなければならない。
指示６ サイバーセキュリティ対策における PDCA サイクルの実施＜インシデント発生に備えた体制構築＞
指示７ インシデント発生時の緊急対応体制の整備
指示８ インシデントによる被害に備えた復旧体制の整備「復旧」に関する指示項目として追加された。
企業では BCP の策定・訓練の実施が進んでいるが、自然災害対策等を想定しており、サイバー攻撃についての復旧が意識されていないケースが多い。ランサムウェアのように、可用性に影響を与える攻撃も増加しているので、復旧に関する対策は重要である。
＜サプライチェーンセキュリティ対策の推進＞
指示９ ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
委託先が SECURITY ACTION を実施しているか。
ISMS 等の認証を取得していることが望ましい。
委託先におけるリスクマネーの確保として、委託先がサイバー保険に加入していることが望ましい。
＜ステークホルダーを含めた関係者とのコミュニケーションの推進＞指示１０ 情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供◇研究報告 2「FISC 安全対策基準 第 9 版について」報告者 (会員番号 1766 長谷部 久夫)

平成 30 年３月末に改訂完了する予定の標記について情報交換したうえで，システム監査人の役割について意見交換した．
１．FISC とは
公益財団法人 金融情報システムセンター（FISC:The Center for Financial Industry Information
Systems）の略．銀行，証券会社，保険会社，コンピュータメーカー，情報処理会社等の出捐により財団法人として 1984 年 11 月に設立し，2011 年 4 月に公益財団法人へ移行．金融情報システムに関連する諸問題（技術，IT 利活用，リスク管理，セキュリティ等）について総合的な調査研究を行い，安全対策基準
等の各種ガイドライン・調査レポートの作成，セミナー等を通じて，その成果を還元している．
２．現行安全対策基準の概要
ガイドライン名は「金融機関等コンピュータシステムの安全対策基準・解説書」．金融機関等のよりどころとなるべき共通基準として昭和 60 年 12 月初版刊行．現行版は，第 8 版（平成 23 年 3 月），第 8 版
版追補改訂（平成 27 年 6 月）．自然災害，機器障害，不正使用行為等から生ずる金融機関等コンピュー
タシステムの障害に対し，「障害発生の未然防止」「障害影響の最小化」「障害からの早期回復」を図ることを目的とする．基準項目は，設備基準（138 項目），運用基準（120 項目），技術基準（53 項目）で

日本システム監査人協会 会報32

April 2018

日本システム監査人協会 会報構成され，合計 311 項目．近年は，「サイバー攻撃対応」「クラウド利用」「外部委託管理」をテーマとして基準項目を整備している．

３．安全対策基準（第９版）の改訂概要
安全対策基準（第 9 版）は，近く発刊予定であり，その改訂内容については当協会の会報や研究会等で紹介されることが想定されるため，本稿では説明を割愛する．基準改訂の考え方は，公表されている『外部委託』『Fintech』に関する有識者検討会報告書での提言で示されているため，それらを紹介する．
（１）リスクベースアプローチを踏まえた基本原則の導入
多様化する基幹業務系以外のシステムに対し，安全対策を一律に実施するのではなく，リスクに応じて安全対策を策定する．安全対策基準の考え方は，ＩＴカバナンスの下，金融情報システムに対しリスク評価を実施してリスク特性に応じた安全対策を適用するよう見直しする．
（２）基本原則に基づいた安全対策基準の明確化
高い安全対策が必要なシステムは，金融情報システムのうち，重大な外部性を有するシステムや，機微情報（要配慮個人情報を含む）を有するシステム．金融機関等は最低限必要な対策を実施して，それ以外のシステムにおいても，金融機関等の判断により，高い安全対策を適用可能とする．
（３）外部委託先の統制基準の拡充
外部委託やサービス利用への依存度が高まる中，安全対策基準は統制面の対策を拡充していくことが求められる．その要求に応えていくため，安全対策基準において，統制基準を明示的に示すことが
有効．
４．システム監査人の役割
安全対策基準（第９版）改訂は，リスクベースアプローチによる安全対策実施を主眼とするものである．
本改訂を踏まえると，システム監査人には，安全対策基準の基準項目に照らして管理策の不備を抽出するに止まらず，「組織が経営陣の IT ガバンンスの下，高度化するリスクをタイムリーに把握し，適切に対応する管理態勢を整備した上で，実際に成果を出しているか」検証すること，すなわちリスク管理 PDCA に関与するシステム監査に取り組むことが、より一層重要になると考える．
特に，被監査者のリスクアセスメントをモニタリングし，それが不適切な場合は，当該事実及び監査人が自ら実施したリスクアセスメントの結果と，それに応じたマネジメント，又はコントロールの整備及び運用にかかる「助言」は重要な指摘事項となる．そのような有効な助言型監査を行うためには，被監査者と密接なコミュニケーションをとり，監査人自身の見識を高めることが必要になると思われる．
今後も３ヶ月ごとの支部例会・研究会等の「場」や，インターネットを活用したコミュニケーションにより、支部会員間で幅広く意見交換を行う本協会の活動を通じて，自己の見識をより高めることに努めていきたいと存じます．
以上＜目次＞
日本システム監査人協会 会報33

April 2018

日本システム監査人協会 会報
2018.3

支部報告 【 近畿支部 第１７２回定例研究会 】
会員番号 2520 松本拓也（近畿支部）

１．テーマ
２．講師

「地方自治体における ICT 監査の現状と課題」
大阪市行政委員会事務局
ICT 監査担当課長

監査部

片岡 学 氏

３．開催日時２０１８年１月１９日（金） １９：００〜２０：３０

４．開催場所

大阪大学中之島センター

２階 講義室２０１

５．講演概要
講師は、企業の内部監査、監査法人、会計検査院でのご経験を経て、現在大阪市行政委員会事務局において ICT 監査をご担当されています。監査生活約 40 年の豊富なご経験の中から、今回は、ICT が高度化・多様化する中で、地方自治体における ICT 監査への取り組みと課題について、お話いただきました。

＜講演内容＞（１） はじめにICT が高度化・多様化する中、地方自治体では ICT を適正に利用し、住民への行政サービスの向上と行政コストや業務の効率化に資すること、また、住民情報の漏えい防止など情報セキュリティを確保す
ることが命題となっており、それらを監査委員の立場から検証する ICT 監査の役割は非常に大きいものである。
現に、地方自治体の行政サービスや行政運営においては、ICT が重要な基盤として役割を果たしているが、これまで、この ICT 領域について監査委員による十分な監査が行われているとは言えない状況であり、ICT を管理・運営する部署においても受査経験が少ないものとなっている。
しかし、最近では公的団体での ICT 問題（マイナンバーカードの管理システムに係るシステム障害、システム刷新の失敗事例など）がクローズアップされてきており、会計検査院も ICT に係る施策を注視している。また一般の事業会社等の ICT 監査の普及も徐々に進んでいるなかで、地方自治体における ICT
監査への取組みは、更なる整備・充実が求められる段階にきている。

（２） 地方自治体における監査制度
大阪市の事例から見る監査委員監査の大きな特徴は、ICT 監査によって検出された個々の不備そのものの指摘のみならず、その不備の本質的な原因を追究することが重要とされている点である。これは、監査委員監査において、ICT 監査をいわばツールとして考え、監査委員が経営者目線で、大阪市の ICTの課題についての検証と改善勧告に取り組んでいるからであり、この点で、監査委員監査における ICT
監査には経営者に近い目線での監査が求められている。

日本システム監査人協会 会報34

April 2018

日本システム監査人協会 会報（３） 地方自治体における ICT と ICT 監査の重要性
地方自治体の活動において、ICT が果たす役割がさらに拡大していくなか、総務省も「電子自治体の取組みを加速するための 10 の指針」
（平成 26 年 3 月）を提示している。しかし、こういった統一的な指針に対し、各地方自治体では従来からのローカルルールが複数存在する場合があり、これらを一つに取りまとめていくのはなかなか難しい。
地方自治体における ICT 監査は、ICT の適正利用の実現を阻害するリスクに対して、適切なコントロールが整備され、運用されているかを確認し、助言・勧告するものである。
地方自治体における ICT の問題としては、一般的に「ICT の適正利用が政策目標達成の手段として十分に位置づけられていない」、「情報システムの導入を、情報システムに精通していない各部署が実施している」、「電子自治体の取組みは、特定の職員の能力や努力に依存する」などが挙げられる。多くの地方自治体では、これまで ICT 監査を本格的・定期的に実施してきておらず、実施している場合でもテー
マ数が民間企業と比較して少ない状況である。これにより、地方自治体の ICT の担当者や情報システムの委託先は、適切な点検・評価を受けておらず、前述のような ICT の問題を引き起こしている可能性がある。
地方自治体における ICT の役割が拡大し、住民の関心も増していくなかで、今後、地方自治体の ICTに関する適切な税金の使い方についても、住民への説明が必要になってくるのではないかと考えられる。

（４） 地方自治体における ICT 監査の取組みの方向性
地方自治体における ICT 監査では、個々の統制活動の不備指摘のみならず、本質的・共通的な問題（行財政運営組織における ICT の統制環境上の課題）をとらえ、十分な検証と問題指摘及び提言の実施、未然防止の重要性に念頭を置いた監査の実施、内部統制体制の構築への貢献、ICT リスクに関わる関係者のレベルアップへの貢献が重要である。
しかし、地方自治体で ICT 監査に取り組むには、様々な課題がある。
・システム調達においては、制度や仕組みは構築されているが、それらをモニターする能力が弱い。
・個別システムにおいて、管理者や担当者、システムエンジニアが、監査や点検を受けた経験が少ない。
・監査体制において、監査委員では ICT 監査の重要性や必要性への認識が不十分であったり、監査委員監
査をサポートする事務局要員では ICT に係る知見が不足していたりということがあり、IT ガバナンス
上の課題についての検証や問題指摘及び提言するためのスキルが不足している。
大阪市では、ICT や情報セキュリティのリテラシー向上に向け、監査事務局要員や局長級職員向けの研修などが実施されているとともに、ICT 部門においては、即戦力となる外部人材の採用などの対応も行われている。
地方自治体における ICT 監査の今後の取組みの方向性として、「監査委員自らが、ICT 監査に係る知見
日本システム監査人協会 会報35

April 2018

日本システム監査人協会 会報を獲得し、その重要性を認識する」、「監査委員事務局スタッフが、ICT に係るリスクやコントロールについての基礎的な知識やスキルを修得することなどによって、ICT 監査の実施環境を整備する」、「監査委員監査の実行部隊である監査委員事務局スタッフが、経営的視点から指摘や改善勧告につながる活動を行う」ことが重要である。
地方自治体における ICT の活用はこれからであり、ICT 監査も次の世代が継続できるように取り組ん
でいかなければならない。

６．所感
監査委員監査については、なかなか直接触れる機会がなく、その仕組みや考え方を具体的に説明していただけたため、大変勉強になりました。
今回、講師が挙げられた地方自治体における ICT 監査の課題は、私自身がこれまでに担当した地方自治体向けの情報セキュリティ監査等でも、強く実感した部分です。特に人材育成について、職員が 2～3 年のサイクルで人事異動となることが多い地方自治体では、管理者や担当者のスキルレベルをなかなか維持できず、
情報セキュリティ対策の導入は十分に行われていても、それを運用・管理していくことが難しいケースを目の当たりにしました。場合によっては、監査人の方が対象システムに詳しい、というような経験をしたこともあります。
これまで地方自治体では、マイナンバー制度の開始や総務省の指針に基づくネットワークの見直し等に取り組まれてきました。また今後も、総合窓口の導入やビッグデータの活用等でますます ICT 分野の利活用が注目されるなかでは、それらの導入後に絶対に必要となる維持・改善活動の存在を認識し、ICT 監査へも積極的に投資していかなければならない時期に来ていると感じました。
以上＜目次＞

日本システム監査人協会 会報36

April 2018

日本システム監査人協会 会報
2018.3

注目情報（2018.2～2018.3）■「システム監査基準」「システム管理基準」の改訂案に対する意見公募【経済産業省】
経済産業省では、情報システムに想定されるリスクを適切にコントロール・運用するための手段のひとつであるシステム監査制度について、「システム監査に関する検討会」を開催し、制度に関する見直しを進めてきた。
このうち、システム監査を実施する監査人の行為規範及び監査手続の規則を規定した「システム監査基準」、
システム監査人の判断の尺度を規定した「システム管理基準」について、昨今の社会情勢の変化や技術の進展等を踏まえて改訂が行われ、3月6日から20日までの間、改訂案に対する意見公募が行われた。
＊改訂案 ： 「システム監査基準」（案）「システム管理基準骨子」（案）「システム管理基準」（案）■サイバーセキュリティに関するガイドラインを公開【ＪＡＳＡ】
特定非営利活動法人日本セキュリティ監査協会（本部：東京都江東区、会長：慶應義塾大学名誉教授 土居範久）は、ISMSを適用している組織が、サイバーセキュリティ対策を行うための2つのマネジメントガイ
ドラインを、3月2日に公開した。
公開したのは、「サイバーセキュリティ対策マネジメントガイドライン」とサプライヤーに求められる「管理された非格付け情報の保護対策マネジメントガイドライン」である。
サイバーセキュリティ対策については、米国政府が重要インフラ向けに策定した「重要インフラのサイ
バーセキュリティ対策向上のためのフレーム（Framework for Improving Critical Infrastructure
Cybersecurity – NIST）」と、これに関連してサプライヤーが順守すべき管理された「非格付け情報の保護対策（NIST SP800-171 Protecting Controlled Unclassified Information in Nonfederal Information
Systems and Organizations）」が世界的に用いられている。二つのガイドラインは、各々の基準と ISMSのための国際標準である ISO/IEC27001 及び ISO/IEC27002 とを各々比較し、ISMS に不足している、あるいはより明確にした方がいい内容を、ISO の規格に従って整理したものである。
サイバーセキュリティ対策マネジメントガイドラインについては、特に検知やインシデント対応、事業継続などについての記述が多く、予防が重点である ISMS に対して、初期被害を受けた後の対処の際に重要な内容が多く記載されている。管理された非格付情報の保護対策マネジメントガイドラインにおいては、初期被害を受けた後の対処の際に重要な内容とともに、ベースラインとして最低限行うべき内容が明記されており、一定以上の強度をもつセキュリティ対策の具体例が分かる。
http://www.jasa.jp/news/news_20180302.html＜目次＞
日本システム監査人協会 会報37

April 2018

日本システム監査人協会 会報
2018.3【 協会主催イベント・セミナーのご案内 】

第２３１回■SAAJ 月例研究会（東京）
日時：2018年 4月17日（火曜日）18:30～20:30
場所：機械振興会館 地下2階ホール
テーマ
講師
講演骨子
お申込み

「システムの不具合がもたらす社会的影響：ある損害賠償係争事件を巡って」
法政大学 理工学部 創生科学科 教授
玉井 哲雄 氏
詳細確定次第、ＨＰでご案内いたします。
近日、以下のＨＰでご案内いたします。
https://www.saaj.or.jp/kenkyu/kenkyu/231.html

特別月例研究会■４団体共同 システム監査制度カンファレンス（東京）
日時：2018年 5月19日（土曜日）13:00～16:00
場所：イイノホール
共同開催団体当協会のほか、ISACA東京支部、システム監査学会、ITGI
１．基調講演「システム監査制度改訂の意義」

プログラム案

２．パネルディスカッション「システム監査基準、システム管理基準の改訂のポイント」
３．講演「システム監査制度の普及と継続的改善」等

お申込み

詳細確定次第、ＨＰでご案内いたします。

＜目次＞

日本システム監査人協会 会報38

April 2018

日本システム監査人協会 会報
2018.3【 外部主催イベント・セミナーのご案内 】

２０１８年３月例会■ISACA 月例会（東京）
日時：2018年 3月28日（水曜日）18:30～20:10
場所：日本教育会館 一ツ橋ホール
テーマ
講師「FinTech 時代のリスク管理 ～ 銀行経営と監督のあり方を巡って ～」日本銀行 金融機構局 国際課 企画役
山田 隆人 氏
バーゼル銀行監督委員会は2016年4月、FinTechの発展が銀行業や銀行監督にもたらす含意について検討を行う作業部会を立ち上げた。今回は、同委員会が講演骨子2018 年 2 月19 日 に 公 表し た 最 終 提 言 書 の ポ イ ン ト を 紹 介 し つ つ 、 今後
FinTechが普及していく過程において浮上するであろうリスク管理や経営上の課題等について考察する。

お申込み

http://www.isaca.gr.jp/education/18_0305annai.html＜目次＞

日本システム監査人協会 会報39

April 2018

日本システム監査人協会 会報
2018.3【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

・ホームページでは協会活動全般をご案内
・会員規程
・会員情報の変更方法

http://www.saaj.or.jp/index.html

http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
http://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇 http://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
http://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「情報システム監査実践マニュアル」「６か月で構築する個人情報保護マネジメントシステ
ム」などの協会出版物が会員割引価格で購入できます。
http://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ http://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html

会報

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

お問い
合わせ

・お問い合わせページをご利用ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞

日本システム監査人協会 会報40

April 2018

【
2018
3月

ＳＡＡＪ協会行事一覧

日本システム監査人協会 会報】

赤字：前回から変更された予定

理事会・事務局・会計
8：年会費未納者宛督促メール発信
8：理事会

4月

27：法務局：資産登記、理事変更登記
活動報告書提出
東京都：NPO 事業報告書提出
12：理事会

5月

10：理事会

6月

9月

1：年会費未納者宛督促メール発信
14：理事会15：会費未納者督促状発送
16～：会費督促電話作業（役員）29：支部会計報告依頼（〆切 7/13）
30：助成金配賦額決定（支部別会員数）
5：支部助成金支給
12：理事会（理事会休会）24：中間期会計監査
前年度に実施した行事一覧
14：理事会

10 月

12：理事会

11 月

9：理事会
9：予算申請提出依頼（11/30〆切）
支部会計報告依頼（1/9〆切)18：2018 年度年会費請求書発送準備
25：会費未納者除名予告通知発送
30：本部・支部予算提出期限
1： 2018 年度年会費請求書発送
1： 個人番号関係事務教育
14：理事会：2018 年度予算案
会費未納者除名承認
第 17 期総会審議事項確認
15：総会資料提出依頼（1/9〆切)15：総会開催予告掲示
19：2017 年度経費提出期限
9： 総会資料提出期限 16:00
10：役員改選公示（1/25 立候補締切）
11：理事会：総会資料原案審議
27：2017 年度会計監査
30：総会申込受付開始（資料公表）
31：償却資産税・消費税申告
1：理事会：通常総会議案承認

7月
8月

12 月

1月

2月

28：2018 年度年会費納入期限

2018.3

認定委員会・部会・研究会
支部・特別催事
1-31: 春期 CSA・ASA 書類審査
3-4 ＆17-18:「第 31 回システム監査実務セミナー(日帰り４日間コース)」
会場：関東 IT ソフトウェア健保会館
14：第 230 回月例研究会
31：第 20 回「事例に学ぶ課題解決セミナー」
会場：市ヶ谷健保会館
初旬：春期 CSA・ASA 書類審査
15：春期情報技術者試験
中旬：春期 ASA 認定証発行
17：第 231 回月例研究会
中旬：春期 CSA 面接
19：システム監査制度カンファレンス

中旬：春期 CSA 面接結果通知

認定 NPO 法人東京都認定日（2015/6/3）

下旬: 春期 CSA 認定証発送

下旬：秋期 CSA・ASA 募集案内
1：秋期 CSA・ASA 募集開始～9/30

13：支部会計報告〆切

～ 秋期 CSA・ASA 募集中 ～9/30 迄
2：第 19 回「事例に学ぶ課題解決セミナー」
5：第 225 回月例研究会「IoT 時代のセキュリティを実現する 3 視点とシフトレフト」 30：西日本支部合同研究会
in Fukuoka(福岡)14-15 & 28-29：第 30 回システム監査実務セ
ミナー(日帰り 4 日間コース)
21:SAAJ 活動説明会（東京茅場町）
15：秋期情報処理技術者試験
30：第 226 回月例研究会
11,18,25：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
30： CSA 面接結果通知

15：第 228 回月例研究会
15： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
26：秋期 CSA 認定証発送

1-31：CSA・ASA 更新申請受付
19： 春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
29：第 229 回月例研究会
1-3/31：CSA・ASA 春期募集
下旬：CSA・ASA 更新認定証発送

12:協会創立記念日

6：支部会計報告期限

23：第 17 期通常総会
役員改選

＜目次＞
日本システム監査人協会 会報41

April 2018

日本システム監査人協会 会報
2018.3【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて2018 年度の年間テーマは、「システム監査人の新たな活躍」とし、さらに四半期ごとに具体的なテーマを設定して、皆様からのご意見ご提案を募集いたします。
今月号から 6 月号までの四半期テーマは、「システム監査基準・管理基準改訂とこれからのシステム監査人」です。システム監査基準・管理基準の改訂に対して、システム監査人としてどう対応していくのか、
皆様のご意見をお待ちしています。
システム監査人にとって、報告や発表の機会は多く、より多くの機会を通じて表現力を磨くことは大切
なスキルアップのひとつです。良識ある意見をより自由に投稿できるペンネームの「めだか」として始めたコラムも、投稿者が限定されているようです。また記名投稿のなかには、個人としての投稿と専門部会の報告と区別のつきにくい投稿もあります。会員相互のコミュニケーション手段として始まった会報誌
は、情報発信メディアとしても成長しています。
会報テーマは、皆様のご投稿記事づくりの一助に、また、ご意見やコメントを活発にするねらいです。
会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。
＊2018 年度会報テーマ
四半期テーマ1 月号～3 月号

システム監査人に求められる能力

4 月号～6 月号

システム監査基準・管理基準改訂とこれからのシステム監査人

7 月号～9 月号（決まり次第ご連絡します）

10 月号～12 月号（決まり次第ご連絡します）

年間テーマ

システム監査人の新たな活躍□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報42April 2018

日本システム監査人協会 会報□■ ３．会員の皆様からの投稿を募集しております。
分類は次の通りです。
投稿要項が変更になっておりますので、下記をご確認の上、投稿をお願いします。
□■ 会報投稿要項1.

めだか

匿名（ペンネーム）による投稿
原則１ページ※Word の投稿用フォーム（毎月メール配信）を利用してください。

2.

記名投稿

原則４ページ以内※Word の投稿用フォーム（毎月メール配信）を利用してください。

3.

会報掲載論文

会報掲載「論文」募集要項（2018. 1.11 改訂）（投稿は会員限定） 6000 字以上。17,000 字程度。図表を含める。
システム監査の啓発、普及、理論深化、情報提供、実践、手法開発等に役立つ論文であること。
既発表論文は除く。

■投稿について・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット ※毎月メール配信を利用してください。
・投稿先： saajeditor@saaj.jp 宛メール添付ファイル
・投稿メールには、以下を記載してください。


会員番号



氏名



メールアドレス

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。


会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・投稿された記事については「会報編集委員会」から表現の訂正や削除を求めることがあります。
又は、採用しないことがあります。
・編集担当の判断で、字体やレイアウトなどの変更をさせて戴くことがあります。
お問い合わせ先：

saajeditor@saaj.jp

日本システム監査人協会 会報

43April 2018

日本システム監査人協会 会報
2018.3

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】 http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員： 桜井由美子、安部晃生、久保木孝明、越野雅晴、竹原豊和、豊田諭、福田敏博、藤澤博、
柳田正、山口達也
編集支援： 小野修一（会長）、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2018、認定 NPO 法人 日本システム監査人協会

日本システム監査人協会 会報＜目次＞
44