May 2017

日本システム監査人協会

認定 NPO 法人

会報2017 年 5 月号

日本システム監査人協会報

No

194

No.194（2017 年 5 月号）＜4 月 25 日発行＞ ━━━━━━━━━━━━━━━━━

今月号のテーマは、「AIとシステム監査」です。
今、「AI（人口知能）」がホットな話題です。
・AIがつくる未来はどうなっていくでしょうか？
・AIの進展に、システム監査はどう対応していけばよいのでしょうか？
「AI」について少し考えてみませんか。
写真提供：仲会長

巻頭言『ＳＡＡＪとの関わりと月例研究会 ～会員のご参加と周りの方々への声掛けを！！～』
会員番号281 力 利則（副会長）

今、ＳＡＡＪの会員は約 700 名（個人 671 法人 31）います。私が昨年から担当させて頂いている月例研究会には毎回 70 名前後の会員と 30 名前後の非会員の方々に参加して頂いています。また地方の方々には支部を通してＤＶＤ録画や資料をご覧頂いています。ＳＡＡＪとの関わりとしてはまずは月例研究会と思いますが、会員の皆様、参加して頂いていますか？

毎回の参加率は会員の１０％程度です。毎回参加できるわけではないので参加して頂いた会員の割合はもう少し多いとは思いますが、決して高い割合とはいえません。
年 1 回の総会での特別講演を含めて年間 11 回程度の講演のうち数回にご参加頂ければ、まずは会員になって頂いたメリットは十分あるのではないかと思います。さらにＳＡＡＪの各種研究会にご参加頂けるようになれば、ご自分の関心テーマについてより深く学ぶことができます。各種研究会にご参加頂ければ、社外の方々とのつながりも広がります。内部監査部門に所属している方は、システム監査という共通の話題でお互いの情報共有や意見交換ができます。シニア層に近づくとその必要性・重要性が段々と分かってきます。
月例研究会、さらに各種研究会にぜひご参加頂き、システム監査／診断やセキュリティ監査／診断等のス
キルやノウハウや取組み方をより深めること、さらに社外の人たちとのつながりを広く深くして頂ければと思います。また周りにシステム監査技術者試験合格者や受験者、システム監査／評価に関心のある方々がいれば、ＳＡＡＪへの入会や月例研究会へのご参加に声をお掛けください。会員の皆様、一人一人にお会いできることを楽しみにしています。（私を見かけたらぜひ声をお掛けください！）

以上※ 月例研究会の講師も毎回、内外から選出しています。講師の自薦他薦があれば、ご一報頂けると幸いです。

日本システム監査人協会

会報1

May 2017

日本システム監査人協会

会報

各行から Ctrl キー+クリックで＜目次＞

該当記事にジャンプできます。

○ 巻頭言 ..................................................................................................................... 1【 ＳＡＡＪとの関わりと月例研究会

１．めだか～会員のご参加と周りの方々への声掛けを！！～ 】.................................................................................................................. 3【 AI とシステム監査 】(空心菜）

注目：AI 関連【 AI はシステム監査を変える？（AI とシステム監査）】（やじろべえ）

２．投稿..................................................................................................................... 5【 システム監査の新たな展開 】【 AI を対象としたシステム監査を考える（AI とシステム監査）】３．本部報告注目：AI 関連...................................................................................................................... 7【 第 220 回月例研究会講演録「次世代人工知能研究開発の目的と課題～AI システムの実装に向けて～」】
４．支部報告..................................................................................................................... 13【 北海道支部「facebook に SAAJ 北海道支部のページを開設」】【 東北支部「特別プロジェクト：『マイナンバー制度運用支援ツール』の作成」】【 北信越支部「2017 年度 支部総会・研究報告」】
５．注目情報...................................................................................................................... 21【「平成 28 年におけるサイバー空間の脅威の情勢等について」公表 】（警察庁）【「つながる世界の利用時の品質～IoT 時代の安全と使いやすさを実現する設計～」公表 】（ＩＰＡ）【「コーポレート・ガバナンス・システムに関する実務指針（CGS ガイドライン）」公表 】（経済産業省）【 情報処理安全確保支援士制度スタート 】（経済産業省）【「企業のＣＩＳＯやＣＳＩＲＴに関する実態調査 2017」を公開 】（ＩＰＡ）
６．イベント・セミナー開催案内............................................................................................ 22【 協会主催イベント・セミナーのご案内 】【 外部主催イベント・セミナーのご案内 】
７．協会からのお知らせ........................................................................................................ 24【 新たに会員になられた方々へ 】【 ＳＡＡＪ協会行事一覧 】

８．会報編集部からのお知らせ

日本システム監査人協会

会報........................................................................................ 26

2

May 2017

日本システム監査人協会

会報2017.4
めだか 【 AI とシステム監査 】

インフルエンザはウイルスによってかかる伝染病である。罹病すると高熱などの厄介な症状に苦しめられ、診断後、服薬し症状が収まっても5日間は外出を禁じられる。インフルエンザ・ウイルスは、A型やB型などさま
ざまなパターンがある。Wikipediaでは、ウイルスは次のように説明されている。
ウイルスは細胞を構成単位としないが、遺伝子を有し、他の生物の細胞を利用して増殖できるという生物の特徴を持っている。現在でも自然科学は生物・生命の定義を行うことができておらず、便宜的に、細胞を構成単位とし、代謝、増殖できるものを生物と呼んでおり、細胞をもたないウイルスは、非細胞性生物として位置づけられる。あるいは、生物というよりむしろ"生物学的存在"といわれる。
しかし、遺伝物質を持ち、生物の代謝系を利用して増殖するウイルスは生命体のひとつであることは明らかである。「ウイルスは生きている」によると、地球上に40億年前に生命体が生まれてから、さまざまな環境のもと、ウイルスを含め生命体は環境に応じて時には遺伝子を混じりあわせて生命をつないできた。哺乳動物であるヒトは、ヒトのゲノムに潜むウイルスが持つ遺伝子に由来するシンシチンというたんぱく質によって哺乳動物としてあるのであるという。
システム監査人は、システム監査の一環としてコンピュータ・ウイルス対策の適用状況を点検している。本物のウイルスと違ってコンピュータ・ウイルスは、悪意を持った者が目標にするコンピュータを攻撃し利益を得ようと画策するツールであり、本物のウイルスとはまったく違ったものである。
しかし、本物のウイルスと同じようにさまざまなパターンのコンピュータ・ウイルスが悪意を持った者によってつくられているため、従来のように外界と内部を隔てる外壁を建て、堀を掘って本丸を守るというワンパター
ンの防御策だけでは十分ではない。城郭の内部をさらに分けて内壁で侵入を食い止め、内部に入り込んだ侵入者が外敵と通信することを遮断し、時には侵入者をウソの目標に導いて罠に落とすというような総合的な防御策が必要になる。最近は、「AI」をはじめさまざまな考え方のウイルス対策ツールが市販されている。
2017年は、本丸すなわち本業を守って業務を継続するため、いろいろな対策ツールの導入を検討されてはいかがかと思う。
（空心菜）
参考：「ウイルスは生きている」中屋敷均著

講談社現代新書2359（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞

日本システム監査人協会

会報3

May 2017

日本システム監査人協会

会報2017.4
めだか 【 AI は システム監査を変える？（AI とシステム監査） 】

AI技術の進展とそれを支えるコンピュータ性能の向上を背景に、製造、流通、小売、サービス、金融、医療など、AIの活用分野が急速に広がりつつある。
こうしたAIの活用分野の広がりは、会計監査の分野にまで及んできており、大手監査法人において、不正会計の発見や監査業務の効率化を狙って、AIの会計監査業務への活用に取り組み始めたとの記事が、昨年後半から相次いで見られるようになった。
①あずさ監査法人は、2014年に設置したデータ解析専門部署「次世代監査技術研究室」で、AIを企業の会計監査に活用する研究を始めた。（2016/10/10日本経済新聞朝刊）②PwCあらた監査法人は、AIなどを活用した監査業務のあり方を追求する専門組織「AI監査研究所」を設置した。（2016/10/26日刊工業新聞）③新日本監査法人は、AIを使って不正会計を防ぐ次世代監査システムの開発に乗り出す。会計士のノウ
ハウをAIに学習させ、企業の帳簿データなどを解析して不正の疑いがある取引をチェックする。２~３年後の実用化を目指す。（2016/11/21日本経済新聞朝刊）④監査法人トーマツは、複数のAI技術を応用したテキスト分析技術の特許を取得した。本件特許技術を会計監査に利用することで、監査の品質向上を推進する。（2017/4/3日本経済新聞電子版）
こうした状況を受けて、今年1月4日の日本経済新聞の「春秋」には、「帳簿の点検がAIに置き換わり始めたとき、会計士はどうしたらいいか」という話題まで出されるに至っている。
翻って、システム監査ではどうか？
「会計監査で活用できるなら、システム監査にも活用できるのでは？」と考えてもおかしくない。
設計書やプログラムをAIでチェックして、問題がありそうな箇所を抽出してくれる。こんなことができたら、システム監査業務でも大いに役に立ちそうだ。
しかし、ここまで考えて、はたと気がついた。
「設計書やプログラムをAIでチェックして、問題がありそうな箇所を抽出してくれる」ことができれば、それはシステム監査で使うのでなく、まずはシステム開発の現場で使うはずである。そうすると、システ
ム監査の立場からは、AIによる開発業務のチェックも、開発現場で現在使っているデバッグツールその他の開発ツールと大差ないような気がする。どうも、AIの「システム監査業務への活用」は、「会計監査業
務への活用」と同じようにはいきそうにない。
AIの発展がつくる新しい世界には光も影もあるだろう。そうした新しい世界を想像することは、実に楽しい。皆様も、AIを活用した新しい世界を想像されてみてはいかがでしょうか？
（やじろべえ）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。）＜目次＞
日本システム監査人協会

会報

4

May 2017

日本システム監査人協会

会報2017.4投稿【 システム監査の新たな展開 】
会員番号 557 仲 厚吉 （会長）

「システム監査」は、情報システムの信頼性、安全性、有効性について、独立した立場から監査し、当該システムの責任者に報告し、あわせて、報告書の公表により、システム責任者の社会的説明責任を果たすことを支援する活動です。2017年は、「システム監査基準」と「システム管理基準」の見直しが始まります。
また、「ITアセスメント」は、「ITガバナンス」の6原則すなわち、責任、戦略、調達、パフォーマンス、
コンフォーマンス、人間行動の各原則、及び「情報セキュリティガバナンス」の原則に沿って、評価、指示、モニタのEDMサイクルを回して、経営課題や、ITを利活用する人々のニーズに応えていく活動です。
当協会は、システム監査の活性化に、システム監査を核とした「ITアセスメント」や「ITアセッサ」の定着に努めています。「ITアセッサ」は、ITによる社会的な課題の解決もアセスメントのテーマにしていくことになると思います。例えば、今、『食品ロス』が社会的な課題になっています。
政府広報オンラインでは、2016年10月に、「まだ食べられるのに捨てられている食べ物、いわゆる『食品ロス』が日本では年間約632万トンにも上ります。これを日本人1人当たりに換算すると、毎日お茶碗約1杯分（約136g）のご飯の量を捨てていることになります。私たちは多くの食べ物を輸入しながら、大量に捨てているのです。大切な食べ物を無駄なく消費し、『食品ロス』を減らして環境面や家計面にとってもプラスになるような、簡単な工夫をご紹介します。・・・」と公表しています。
https://www.gov-online.go.jp/useful/article/201303/4.html『食品ロス』の量が年間約632万トンとは、世界の食品援助量（2014年）の約320万トンと比較しても約２倍でありたいへん大量の食品ロスであることがわかります。また、消費者には、「消費期限」すなわち食品が食べられなくなる期限と、「賞味期限」すなわち食品の食味がまずくなる期限との違いが浸透していません。
井出留美氏は著書「賞味期限のウソ 食品ロスはなぜ生まれるのか」（幻冬舎新書432）で、「卵の賞味期限は通常、産卵日から3週間だが、実は冬場なら57日間は生食可。卵に限らず、ほとんどの食品の賞味期
限は実際より2割以上短く設定されている。だが消費者の多くは期限を1日でも過ぎた食品は捨て、店では棚の奥の日付が先の商品を選ぶ、小売店も期限よりかなり前に商品を撤去。その結果、日本は、まだ食べられる食品を大量に廃棄する『食品ロス』大国となっている。しかも消費者は知らずに廃棄のコストを負担させられている。」と書いています。
食品メーカー、配送、小売の各業界は、協力して『食品ロス』の問題解決に取り組み始めています。「ITの利活用」によって、メーカー、配送、小売の業界と消費者の間で情報共有ができれば、賞味期限の適正化と合わせて、『食品ロス』問題の解決へ道筋がつけられると思います。
＜目次＞

日本システム監査人協会

会報

5

May 2017

日本システム監査人協会

会報2017.4
投稿 【 AI を対象としたシステム監査を考える（AI とシステム監査） 】
会員番号 1342 安部晃生 （副会長）「AI と監査」というと、「AI を監査にいかに活用するか」という観点で語られることが多い。しかし、システム監査人としては、「AI を対象としたシステム監査（以下、「AI 監査」とする）を行うには、どう対応すればいいのか」のほうが、むしろ気になる。そこで、AI 監査を検討するうえでの考慮点について自分なりに考えてみた。以下に私見を述べてみたい。
１．AI に係るリスクの観点からどういう AI についてどういう目的で監査を行うかによって、チェックすべきポイントも当然異なってくるが、どんな AI 監査を行うにしても、まずチェックしなければいけないことは、「被監査組織において、AI に係るリスクを洗い出したうえで、それぞれのリスクに対して対策をとっているか」であろう。
では、AI に係るリスクには、どのようなものがあるのか？ その参考になるのが、総務省が「AI ネット
ワーク化検討会議報告書 2016」として昨年 6 月に公表した「AI ネットワーク化の影響とリスクー智連社
ウ イ ン ズ会（WINS）の実現に向けた課題ー」ある。当該報告書では、ロボットを例にして、以下のリスク類型・種類ごとにリスクシナリオの検討がなされている。
リスクの類型

リスクの種類①セキュリティに関するリスク

機能に関するリスク②情報通信ネットワークシステムに関するリスク③不透明化のリスク④制御喪失のリスク⑤事故のリスク⑥犯罪のリスク

法制度・権利利益に関するリスク⑦消費者等の権利利益に関するリスク⑧プライバシー・個人情報保護に関するリスク⑨人間の尊厳と個人の自律に関するリスク⑩民主主義と統治機構に関するリスク

２．AI に係るガイドラインの観点から
AI の開発や利用についてのガイドラインがあれば、「ガイドラインに沿った対応を行っているか」も、
AI 監査時のチェックポイントになりうる。
現状、確立したガイドラインはまだないようだが、その検討は進められてきている。
総務省では、昨年 12 月に『AI 開発ガイドライン』（仮称）の策定に向けて整理した論点について意見募集を実施済みであり、本年夏頃を目途に報告書を取りまとめて公表する予定としている。
AI を巡ってのリスクや対応ガイドラインは、上記のとおりまだ検討の途上にある。システム監査人としては、
AI の技術動向・利用状況もさることながら、AI に係るリスクや対応ガイドラインの検討状況を注視していくことが必要であろう。
＜目次＞
日本システム監査人協会

会報

6

May 2017

日本システム監査人協会

会報2017.4
第 220 回月例研究会：講演録
テーマ：【次世代人工知能研究開発の目的と課題 ～AI システムの実装に向けて～】
会員番号 2564 櫻井俊裕 （月例研究会）【講師】国立研究開発法人産業技術総合研究所 人工知能研究センター 首席研究員
東京工業大学特定教授
統計数理研究所、東京理科大客員教授
本村 陽一 氏
【日時・場所】2017 年 1 月 17 日（火）18：30 – 20:30、機械振興会館 地下 2 階ホール（神谷町）【テーマ】テーマ ： 「次世代人工知能研究開発の目的と課題 ～AI システムの実装に向けて～」【要旨】
最近、人工知能技術がビッグデータや IoT の普及によって大きな注目をあびている。現在大きな成果を上げているのは機械学習に基づく人工知能技術であるが、社会実装を進める上では学習した内容が人に理解できない事は大きな問題となる。現在、産総研人工知能研究センター（以下、産総研）が中心となって進めている「人と相互理解できる人工知能技術」の実現を目指す、次世代人工知能技術研究開発の計画と、ビッグデータを活用した生活・サービス分野におけるこれまでの事例、そこで用いられている確率モデリ
ング技術、また今後の課題について述べ、監査システムを含む社会システムにおける人工知能技術の応用に関して広く議論を行う。

【講演録】
１．人工知能（AI）の歴史
人工知能（以下 AI）は 2015 年に囲碁で人間のチャンピオンに勝利する等でメディアに取り上げられ始めた。過去、日本では第五世代コンピューティングプロジェクトとして、電子技術総合研究所が主体となり
Prolog を利用した AI プロジェクトが存在した。次の 10 年プロジェクトとして、機械学習（データから学習するタイプの AI）を用いたリアルワールドプロジェクトというのが開始され、1993 年頃に階層型ニューラル
ネットの第２次 AI ブームが始まり、現在の第 3 次 AI ブームに至る。第１次ブームでは 1 層だった機械学習
が、第２次は 3 層、それが現在 20 層、30 層と階層が増え第３次ブームのディープラーニングとなる。数学
的には全く同じシグモイド関数で構成されており、データを学習して能力を獲得すると言った意味では 90 年
代のものと基本的に同じである。しかしインターネットの発達により、学習対象データ収集の容易性は大きく向上した。
その後、IPA 未踏ソフトウェアプロジェクトでは、ユーザの Web でクリックした履歴から、そのユーザがどんなものが好きかという事を学習させて、ユーザが見たい情報を見せるユーザモデルが研究され、現在のリコメンド機能のはしりとなった。データがあるとコンピュータが賢くなる。それはユーザの好みを学習してくれて、ユーザにとって情報が提供されたり便利になったりする、そのような世界がインターネット中心に広がって行く。ユーザのカードと商品のバーコードから、ユーザの ID と商品の ID と紐づけたデータが溜まり、
日本システム監査人協会

会報

7

May 2017

日本システム監査人協会

会報

この人はこういう商品を買うという確率が推定できるので、ビッグデータのサービス分野における活用はさらに進む。経産省では、この様なサービス産業の生産性を向上させる研究プロジェクトを 2008 年頃に実施している。
歴史的には 24 年前の第２次ブームでの AI 研究がだんだん応用側に移って、人間の行動の研究サービスの研究へと発展した後に、2015 年に再び第３次ブームとして AI 研究に戻ってきたという経緯がある。現在は、NEDO と呼ばれる、人と相互理解できる AI の研究開発プロジェクトが、経産省傘下で 2020 年 3 月まで進められる予定になっている。

２．AI 研究開発の現状
２．１．本講演における AI の考え方
様々な切り口で AI が語られているが、一つ言える事はデータから学習する機能が今トレンドになっている
AI だという事である。本講演では AI はデータから学習するものとして定義する。

２．２．AI が学習するデータ
現在、画像系、空間系、テキスト系のデータを学習するという形の AI が非常にポピュラーに使われ始めている。これらのデータには、データそのものを人間が見て理解できる、と言う共通点がある。AI がどんな処理をしているのか分からないブラック BOX だったとしても、出て来た結果をみて正しいか不適切かが分かる。
しかし、今後 IoT インダストリー4.0 で増加するセンサーデータは、人間がそのデータだけを見ても正しいか
否かをすぐに判断できない。その様なデータに対して、いかに答えの妥当性や信頼性を保証するかが今後の課題である。システムだけではなく学習するデータの信頼性も考える必要がある等、課題解決に向けた幅広い議論が進んでいる。総務省の委員会や経産省でも議論がなされており、是非システム監査人の皆さんにもお考え頂きたい。

２．３．アメリカ企業の AI 活用
Amazon、Google、Facebook 等、AI によって成長した企業はアメリカの IT 産業に多いが、これは決して偶然ではない。日本の IT 産業の多くがハードウェアを中心としているのに対し、アメリカの IT 産業はサービスを中心としており、沢山のサービス会員を持っているため、アメリカの企業には簡単に AI を 1 社で廻せる量のビッグデータが集まる。日本のハードウェアを使って作られたデータも、それをつないでいる先のアメリカのサーバに全部入ってしまう現状がある。

２．４．AI 産業の成長サイクル
AI を使った結果、学習するデータが大量に生成されて、それによって AI の性能が上がったりサービスが便利になったり精度が高くなったりする事で、一層ユーザが増える。この様な循環サイクルに入るのが成長のポ
イントとなる。これまではムーアの法則と言われたハードウェアの進化による成長がなされたが、これからはデータが大量に集まって機械学習で性能が上がるというサイクルに乗らない限りは、成長には結びつかない。
その為、AI を導入するには前提となるビッグデータを集める仕組み作りが無いと、AI を使いこなせないとい日本システム監査人協会

会報

8

May 2017

日本システム監査人協会

会報

う問題が起きる。日本ではビッグデータブームが先にあって、その後 AI ブームが来た為に、ビッグデータと言うキーワードが若干意識から薄れているが、それは非常に危険な事である。AI を使いこなすためには十分
質の高いビッグデータとそれが流れ込むという仕組み作りに目を向けない限り、いくら学習アルゴリズムやAI のハードウェアばかリが開発されたとしても、成長サイクルをもたらす事はできない。データに関するしっかりとした戦略とそのデータの品質や信頼性確保が必要不可欠であり、データまで含めたシステムとして信頼性保証、評価を考えなくてはいけないという点が、今までの IT とは大きく異なる。期待されている第四次産業構造変革では、ビッグデータをどこで生むかが重要で、良いデータを作り出せる場所から変革が進む事が予想される。

３．産総研の次世代 AI 技術研究開発
３．１．産総研の AI 研究戦略
産総研は経産省傘下で、次世代 AI を開発している。どこでデータが生まれるかと言う事で、製造業現場（Manufacturing）、科学研究現場（Science）、生活現場（Human Life）の 3 つの出口戦略を定めた研究
戦略を立てている。今回は、特に生活分野において実際にどうやってデータを集めて、データが活用されて行
くかという AI システムの事例を紹介する。

３．２．生活現場での AI 活用目的
生活現場における AI 活用には、サービスの生産性を上げる、つまり生活現場におけるリスクやコストを下げてベネフィットを上げるという目的がある。在宅介護や高齢化社会における生活支援技術等により生活を便利にする事で、QOL（生活の品質）を向上させ、地域の活性化と産業構造変革に貢献できる。

３．３．生活現場 AI の特徴
生活分野においては、とにかく早く正解を出すというだけでは足りず、人による好みの違いや、文脈依存性、文化の背景等を生かして良い答え（その人にあった適切な答え）をタイムリーに出すというタイプの性能向上が必要であり、これが生活分野、サービス分野での重要なポイントとなる。
これを実現する一番良い方法は、AI を早く社会実装して、そのフィードバックをもらうと言うやり方が向いている。これは Amazon のレコメンデーションを見ればわかる通り、良いという答えを定義するのではな
くて、実際の社会の様子を見てこれが良い答えだということをフィードバックできるという事が、この問題を解決する鍵となる。早く社会実装して持続的にデータを集めると言ったものを作る事で、より良い社会が作りやすくなる。
この様に、後で変えられるシステムを社会に早く埋め込んで、そこで使われたデータを見ながら、システムを変える為に、機械学習（マシンラーニング、ディープラーニング）の技術が非常に有効である。

３．４．AI 研究の重要課題
監視カメラの画像と通行許可を学習した自動ドア AI を考えた場合、特定の人物を通してしまうバックドアが仕込まれていたり、システムとして正しく動作しても学習したデータの誤りにより、不審者の通過を許す問
日本システム監査人協会

会報

9

May 2017

日本システム監査人協会

会報

題が発生する可能性がある。こうした問題を事前に見抜けるのか？監査できるのか？といった事が、今後非常に重要な課題になって来る。
システム性能が高いだけではなくて、システムの動作について人間が分かっていて、コントロール可能である事が重要で、その為には人間が理解できる共通表現や言語で AI 動作が記述され、人間が判断できる必要がある。産総研では人が AI と相互理解できる事を大事なファクターとして研究を進めている。
特に生活現場や医療現場ではこの問題は顕著に現れ、人と一緒に活動できるか？もし AI が暴走する不安があったら、生活現場はもとより、子供を見守る保育現場等の非常に高い信頼性が要求されるタスクでは利用できない。介護や医療現場のコメディカルや介護士が、使いこなせて制御ができるといった必要がある。従って、全自動で人が不要な高性能ロボットが突然やってくる世界にはならない。現場の人が必要とする部分を支援してくれて、人が一緒に働きやすいといった AI でないと、長い間持続的に使われるものにはならない。産総研
ではこの様な問題についても研究を行っている。

３．５．AI と産業構造変革
アメリカはベンチャーが既存の産業を上書きしたり吸収したりして産業の構造変革がなされているが、日本の場合には歴史的背景から、今の産業を生かしながら組み替える形で新規サービスの産業構造を作っていく、
既存の企業が新しい役割を担い連携しながら構造変革が進むと思われる。

３．６．産総研人工知能技術コンソーシアム
この様な構造変革を目指して、共創的なアプローチやアクションリサーチ等、PDCA を回しながら結果を表して改善していく手法を用いている。
データの学習により変えられる特性を持つ AI にとっては、この結果デー
タから学習する PDCA の改善サイクル手法は適しており、改善が容易であり効果も高い。
産総研では前述の手法を元に、特に AI を利用するユーザのコミュニティを一緒に進化させて行く手法を重視し、AI 技術を使ってくれるユーザのコンソーシアムを設立した。今現在 84 社、将来は 100 社へ向けた拡大を計画している。ここでは AI 技術を共有しながら、各企業がもっているニーズやデータを集めて、データとニーズと技術を組み合わせる事で新しいプロジェクトを作り出し、できるだけ参画各社の協調領域を探した
上で、あまり競争が厳しくない新しい領域で連携し事例を作る方針である。これにより新しいデータを集め学
習結果を共有し、技術の信頼性を高め共有基盤を構築する。この仕組みの有望さから、NEDO プロジェクトでもこのスキームを活用する計画である。最近は一歩進んで、事例がある程度揃った段階で成功事例を標準問題にし、みんなに見える形でコンペ形式のコンテストを今後検討する予定である。
コンソーシアム内では、生活分野のユースケースを考える WG と製造業分野での活用場面を考える WG というアプリケーション側の WG をはじめ、データや知識も併せた共通基盤 WG や、複数社でのデータ共通プ
ラットフォーム作り WG、基盤技術に関してはデータマイニング技術や AI ツール WG と、生活分野でのセンサーデータを活用するリビングラボ等の WG がある。各 WG では積極的で自主的な提案がなされ、非常に民主的に運営されている。産総研が提供するこの場を使って、各社がそれぞれやりたい優先順位の高い課題を、全体会費でシェアしながら作って行く。また、知財とかデータが共有できる場として、全体でシェアできるというのが大きなメリットとなっており、各社から非常に喜ばれている。
日本システム監査人協会

会報

10

May 2017

日本システム監査人協会

会報

この様な形で社会実装や実際のトライアルを率先して進める事で、精度とか認証とか社会的重要性等を早い段階で確認できるというメリットが生まれる。これは最初にトライアルをできるように環境整備をして、そこでどんな問題が起こるかを見ながら、新しいデータを集めて AI に学習させ性能を上げていくという手法であり、最初にユースケース（使い方）が無いと動かせない。その為、最初に AI 技術がどういう風に使われるかを生活者側で考えましょうと言う事で、いろんな議論をしながらユースケース作りを行った。それをムービーの形にして、このユースケースを達成する為にはどうしたら良いか？その為にはどんなデータが必要なのかと言う出口から逆に考える試みを行った。

３．７．AI 技術の社会導入シナリオから分かった事
ユースケースの作成を通して、ユニバーサルな例外のない正解を求めるという計算だけでは社会導入が実現できないという事や、リビングラボの技術で観測すべき事柄、さらに１社では結構データが採れず異業種連携が不可欠だという事も分かった。そして一番何より大事なことは、目的変数が人の側の心理評価にあり、これを採る事が必要だという事だ。
こういう事を見ていくと、そのシステムを評価するというのは、そこでの生活の現象として見た方が適切、
つまり AI が学習する正解データというのはハード側にあるのではなくて人の側にあるということに気付く。
そして現在、この人の側にあるデータがビッグデータの形で採れる時代が到来した。SNS 世界とリアル世界の融合により、この時間この場所で良い現象が起きた事がビッグデータの中にあれば、それを再現しやすくして暮らしやすい状態に改善する事も可能となる。

３．８．次世代 AI
産総研ではこのような構想と将来イメージの実現に向け、次世代の AI について開発を推進している。一番のポイントは、計算モデルと現象モデルを分けて、どういう現象を計算対象にするのか？より良くするのか？
という現象の方に視点を置いている事が特徴である。現象を押さえた上で予測できる計算モデルができると、その状態が良くなるように制御が可能となる。そこにスマホやタブレットや自動販売機的なものを使う事で、人がいなくても見守ってくれたり、自動で制御したりしてくれるので、より良い現象が起こし易くなる。このサイクルを繰り返す事で、必要なデータがまた溜まり、それに人が知識を加えてくれると、ただデータを集め
るよりも、より効率的に意味が広がるという事で、データと知識が融合するという構想である。これをＣＰＳ（Cyber Physical System）と呼び、実社会の物理データを計算モデルにしてサイバースペースでシュミレーションできると、現実には試せない状態がサイバースペース上で試せる様になり、より良い状態が作り易くなる。この仕組みはアルファ碁の AI 同士の対局によるシステム強化にも利用されており、早いスピードでいろんな事を試すことで、世の中がより良くできる仕組みである。

４．イノベーションの民主化
AI はデータ活用が鍵であり、イノベーションの民主化により、その重心が企業や開発者側から生活者側に移行する。Steven Jobs の様に高度に嗅覚が発達したリードユーザがいる Apple 社の様な企業は、これが良
いこれが悪いという事がすぐ判って、より良い製品を早く市場に出す事が可能となる。今の技術はインター
日本システム監査人協会

会報11May 2017

日本システム監査人協会

会報

ネットで供給者側開発者側の論文等が簡単にアクセスでき情報の入手が容易になっている一方、ユーザの気持
ちというのはなおハードルが高い状態なので、ユーザ側にいながらにして高い技術を使うのが一番有利となる。
これはなかなか逆転することは無いので、今後もイノベーションの民主化が進む事はもう明らかだ。だとすると、ユーザ側にある情報とか知識に近い程イノベーションが起こしやすいという事であり、ここで読まれる
ビッグデータをいかに活用するかという事が生命線である事は間違いないと言える。こういった事が今後のイ
ノベーションや産業構造変革を考える時にはとても大事だという前提で、AI をどう使うかどこにデータをためていくかという事と、そういったシステムが社会に広がって行った時にどうやって安全性や信頼性や効率性という事を保証するかといった事が重要な問題になって来る。これはデータと使われ方を併せて評価するという点で、従来のシステム安全性や信頼性の見方とは全然違う新しい試みとなる。

５．社会の為の AI 技術活用へ
今後、社会が少しずついろんな事例を積みながら学習して、いろんなものを修正して改良してくという事が起こる。ここでどういうトライアルをしながら改良するかという社会実験、デザインがとても大事で、これは一つの組織だけでは不可能であり、ある地域の中で連携を組んでの実証実験が重要である。そういう意味では
産総研が AI センター単独で全てできるということは無く、できるだけいろんなパートナーと組む形で連携する事が鍵となる。また、その中にユーザが入って来る形でないとビッグデータが増えないので、いろんな地域
や自治体、行政等とも連携しながら活動を行っていく。
本日の講演内容をシステム監査の観点でどう考えて頂けるかについては皆様にご意見を頂きたく、そのアイ
デアはトライアルに繋がるので、是非前向きなご発言を頂きたい。

【所感】
AI の歴史から AI 研究の最新動向、そして AI 研究における考え方や課題を、豊富な事例を元に我々にも理解しやすく解説頂き、非常に価値のある内容でした。また、今後 AI システムの信頼性や安全性を確保する為に、どの様な施策が考えられるかについてシステム監査人に宿題を頂き、我々も共に AI のあり方について見
守って行く必要性を認識しました。
先生の AI 研究成果が社会実装され素晴らしい未来が到来する事を祈りつつ、我々も是非必要な協力を行いたいと強く感じさせられたご講演でした。
以

上.

＜目次＞

日本システム監査人協会

会報12

May 2017

日本システム監査人協会

会報2017.4
支部報告 【 北海道支部 facebook に SAAJ 北海道支部のページを開設 】
会員番号 1448 宮崎雅年 （北海道支部）

北海道支部では、以下を目的として 2017 年 4 月 1 日から facebook に SAAJ 北海道支部のページを開設

いたしました。開設に先立って支部役員の間で運用規約を取りまとめました。
1. システム監査普及のための情報発信
2. システム監査技術者試験に関する情報発信
3. SAAJ 北海道支部の活動に関する情報発信
4. 上記に関わる情報交換
facebook の利用については昨年 12 月の支部総会で提案があったものです。
以下に、facebook の SAAJ 北海道支部ページに掲載している支部長挨拶から抜粋します。
現在、情報セキュリティマネジメントシステム（ISMS）などの各種認定・認証制度のほか「金融商品取引法」などの法律の定めによって、システム監査を実施している企業は多数存在していますが、自主的な取り組みとしてシステム監査を実施している企業が多数存在しているとは言いがたい状況ではないかと推察いたします。
財務報告に係る内部統制における IT（情報システム）の監査を実施するにあたっては「システム監査基準」
ならびに「システム管理基準」を活用することになりますが、これらの基準には財務報告に係る内部統制のための IT 全般統制および IT 業務処理統制に対応可能な程度の詳細さが不足していたことから、平成 19 年
3 月に「システム管理基準 追補版（財務報告に係る IT 統制ガイダンス）」が公表され、平成 19 年 12 月に「システム管理基準 追補版（財務報告に係る IT 統制ガイダンス）追加付録」が公表されました。
これらに基づき、財務報告に係る内部統制のための IT 全般統制ならびに IT 業務処理統制の監査に従事しているシステム監査人は、監査側および被監査側に多数いらっしゃることと推察いたします。
一方、情報セキュリティについては、ISMS などの各種認定・認証制度のほかに、情報セキュリティ上の弱点を把握するための保証型もしくは助言型の監査を自主的に実施している企業が対数存在しています。
このことから、システム監査というと、一般に情報セキュリティ監査を指すイメージが強くなってしまうのはやむを得ないことと思います。
しかしながら、私たちにとってシステム監査は、財務報告に係る内部統制のための IT 全般統制および IT
業務処理統制の監査だけではないし、情報セキュリティ監査だけでもないと認識しています。
私たちは、システム監査人に活躍の声が掛かる機会がますます増えることを目指して日々活動を継続していきます。

URL は下記のとおりで、facebook のアカウントをお持ちの方であればどなたでもご覧いただけますので、お気軽に「いいね」していただけると幸いです。
https://www.facebook.com/SAAJHokkaido/＜目次＞
日本システム監査人協会

会報13

May 2017

日本システム監査人協会

会報2017.4
支部報告 【 東北支部 特別プロジェクト：「マイナンバー制度運用支援ツール」の作成 】
会員番号1347 横倉正教（東北支部

特別プロジェクト）１．はじめに（作成の経緯）
マイナンバー制度の運用が 2016 年より始まったが、中小企業での運用への対応は 十分とは言えないようである。特に、小規規模企業では、マイナンバー制度についての理解も十分にされていないように思った。
そこで、中小企業におけるマイナンバー制度の運用状況を確認できる、評価できるツールがあれば、中小企業としても対応しやすくなると考え、東北支部では、月例研究会とは別に特別プロジェクトとしてツールの作成を行うことにした。メンバーを支部会員内より募集し、３名（＋オブザーバー１名）で行なった。
最初に、関係機関のマイナンバー制度についてのＱ＆Ａやチェックシート等についての情報取集を行った。
そして、質問表を作り、メンバーのクライアントである中小企業に対して質問を行なった。さらに、その回答を元に EXCEL 形式のツールを完成させた。
ツールの特徴としては、運用についての回答内容に対しての評価レベルを付けてあることがあげられる。
マイナンバー制度への対応状況により、回答内容が変わってくるので、想定される回答と回答への評価レ
ベル及びアドバイス内容を準備しておくことにより、誰でも同じような評価・アドバイスができ、評価・ア
ドバイスに監査者による差異が付きにくくなると思う。

２．対象企業（仮想企業）の基本情報
対象企業として、以下のような企業を想定している。
１）業種：特定しない。
・例：小売業（店舗販売のみ、ネット販売なし）
・販売商品は限定しない
２）組織：本社と支店又は営業所、工場、店舗等がある。
・本社：取扱部門（管理部門）がある拠点（本社等）

・本社以外：取扱部門（管理部門）がある拠点（本社等）以外の拠点（支店、営業所、工場、店舗等）
３）従業員：２０～１００名（正社員の他に、パート、アルバイトあり）
・本社等 ： (総務部）・・・・・・・・・・・・・・・ ３～１０名（その他）・・・・・・・・・・・・・・・ ６～２０名
・本社等以外例：工場： ・・・・・・・・・・・・・・・・・・・ ５～２０名
店舗： (２～１０店舗）３名～５名／店舗 ・・・ ６～５０名
４）システム：マイナンバーを登録管理する（できる）システムは利用していない。
・例：給与システム（パッケージソフト）を利用。
（マイナンバーの登録管理ができないソフトを利用）
日本システム監査人協会

会報14

May 2017

日本システム監査人協会

会報５）外部業務委託：（個人専門家等への業務委託、法人への業務委託は対象外）
・有り
・例：税理士、社会保険労務士、経営コンサルタント（個人）等との取引あり。
６）賃貸契約：（個人からの賃貸、法人からの賃貸は対象外）
・無し
・例：個人からの土地、建屋の賃貸なし。

３．構成
ツールの構成は、以下のようになっている。
１）運用支援一覧 （質問＆回答＆評価＆アドバイス等内容 一覧）
・６７の質問と質問に対する回答を評価の観点から４段階にレベル分けし、回答・評価についてのアドバイス例をまとめた基礎データ。（参照：図－１）（図－１）・以後の監査者用シートや回答者用シートはこの基礎データの様式を変えて作成してある。
２）監査者用シート （質問＆回答＆評価

用紙）

・監査する者使うための質問毎のシート。（参照：図－２）
・質問と回答欄（空欄）、評価欄（空欄）があり、質問をしながら、回答を記入できるようにしてある。
・回答についての評価も記入できる。
・評価の際に参照できるように、回答（例）と評価とアドバイス等内容を一覧として掲載してある。

（図-２）

日本システム監査人協会

会報15

May 2017

日本システム監査人協会

会報３）回答者用シート （運用状況確認（質問） 用紙）
・回答者用に、運用支援一覧（基礎データ）の質問だけを表にしたもの。（参照：図－３）（図―３）
・質問内容とご回答内容（空欄）、評価（空欄）があり、回答者が記入できるようにしてある。
・事前に回答者に渡して記入しておいてもらうこともできる。
４）自動集計表（評価表）
・評価レベルを入力することにより自動集計をして評価点を出すことができる。
（検証はまだしていない。）
・評価レベルでは、「×」の場合にマイナス値を設定すると、未整備な部分を強調できるかもしれない。
５）添付資料（１）マイナンバー制度運用要件一覧
・マイナンバー関連業務の流れと安全管理措置とを表化したもの。（参照：図－４）（図－４）
日本システム監査人協会

会報16

May 2017

日本システム監査人協会

会報

・業務の流れは、ＰＤＣＡに沿って、Ｐ：事前準備、Ｄ：取得、保管、利用、委託、提供、
廃棄、Ｃ／Ａ：監査／見直しの８業務とした。
・安全管理措置は、組織的、人的、物理的、技術的の４措置とした。
・さらに、各業務毎に必要となる規程や様式を記載している。
・表化することにより、漏れやダブリ等の確認に利用することができると思う。
（２）本人確認とは・本人確認に必要な資料についての説明資料。
（３）個人番号取扱事務一覧
・企業が行うマイナンバー関連業務の一覧。
（４）参考文献・資料一覧

４．利用にあたっての留意事項
・監査者（内部、外部）用として使用する。
・利用は、基本的に（支部）会員に限定する。
尚、（支部）会員が第三者に提供する場合は、プロジェクトメンバーへ連絡すること。
（メンバー：横倉正教、佐藤賢一、後藤武志）
また、改訂／修正を行った場合も、プロジェクトメンバーに連絡すること。
（原本の改訂を行うため）
・今後のＳＡＡＪ等の活動で、活用してもらいたい。

５．最後に・サンプルをＨＰに掲載しているので、ダウンロードできます。
（http://www.saaj.or.jp/shibu/touhoku.html）
・ツール（ＰＤＦ形式ファイル）をご希望の方は、東北支部まで連絡をお願いします。
（saaj-t_yakuin@freeml.com）
・今後は、小規模企業向けのものも作成してゆきたい。

以 上

＜目次＞

日本システム監査人協会

会報17

May 2017

日本システム監査人協会

会報2017.4
支部報告 【 北信越支部 2017 年度 支部総会・研究報告 】
会員番号 1281 宮本茂明（北信越支部）
以下のとおり 2017 年度 北信越支部総会を開催しました．
・日時：2017 年 3 月 11 日（土） 13:00-17:00

参加者：11 名

・会場：富山県民会館（富山市）
・議題：１. 2017 年度北信越支部総会
２．本部総会参加報告
３．報告「OWASP(The Open Web Application Security Project)について」 長棟 隆 氏
４．研究報告「標的型攻撃の進化について」

森 広志 氏５．西日本支部合同研究会 北信越支部報告検討・北信越支部報告テーマ：IoT 関連テーマを継続検討していく◇研究報告「標的型攻撃の進化について」報告者 (会員番号 848 森 広志)
１．Ｊ社への標的型攻撃
私は、昨年６月に公表された大手旅行会社Ｊ社への標的型攻撃が、非常にシンプル(不正メール１本)であるにも関わらず効果が大きくなっている(日本年金機構における情報漏洩の約6倍の可能性)ことを知り、レベルが上がり進化を遂げていると感じました。
従来の標的型攻撃は、先ず攻撃先組織のメールアドレスを大量に窃取し、その後、そのメールアドレス
宛に悪意のあるリンク先やウイルスを添付した不正メールを送信する2段階の攻撃(2011年の某重工会社への手法から2016年の日本年金機構に至るまでの多数の標的型攻撃が同様と考える)を行うものですが、Ｊ社への標的型攻撃は、不正メール１本のみで行われています。
２．不正メールの特徴
以下は、Ｊ社への標的型攻撃に使用された不正メールの特徴です。
①

文面の日本語が流暢で、不自然なところがない。

②

メールアドレスを偽装しているが、実在の企業名を騙り信用を持たせている。

③

実在する部署名と担当者の署名を騙り信用を持たせている。

④

添付ファイル解凍後のファイルは、ＰＤＦファイルアイコンと拡張子が一致している。
最近大企業では、標的型攻撃メール訓練が行われるようになったが、文面の不自然さや、拡張子がｅｘｅ形式(日本年金機構のEmvidi亜種はこのタイプ)に注意を向けることに理解が進んでいるが、Ｊ社への不正メールはそれを上回り、判別が困難になっていると考える。

日本システム監査人協会

会報18

May 2017

日本システム監査人協会

会報

３．ウイルスの特徴
以下は、Ｊ社に対し使用された2種類のウイルスの特徴です。
①

ＰｌｕｇＸ(プラグエックス)：
・KORPLUG（コープラグ）の名称でも知られており、某国版Windows-OSのみで操作可能。
・遠隔操作により、感染パソコン内の内容表示・設定機能を持ち、ドラック&ドロップの簡易操作で攻撃ツールの送信が可能、このため分業化による攻撃作業が容易に行える特徴を持つ。
・サイバーセキュリティ戦略本部出典「日本年金機構における個人情報流出事案に関する原因究明
調査結果」では、感染端末31台毎に対し複数のC&Cサーバとの通信が確認できるため分業化されていると考える、このため攻撃操作の容易化が求められていると推察する。

②

ＥＬＩＲＫＳ(エリークス)：
・攻撃者が利用しているC&Cサーバの通信を中断された場合、ミニブログ「PLURK」に投稿し返信
データから別のC&Cサーバに接続するための設定情報を得て、別のC&Cサーバに接続して攻撃活動を継続する。この間のデータ送受信をミニブログとの接続と見せかける。
・情報漏洩流出を防ぐためには、C&Cサーバとの通信を中断することが肝要と考える。このウイルスの危険度評価は低いが、標的型攻撃のアキレス腱(C&Cサーバとの通信)を補強している。

４．ばらまき型メール攻撃とランサムウェア
不正メールの特徴は、Ｊ社への標的型攻撃で使用された不正メール(上記(2))と類似している。
添付ファイル解凍後のファイルは、WORDやEXCELファイルアイコンと拡張子が一致している。
添付ファイルを選択するとマクロ有効化の問合せがあり、有効化するとランサム(身代金の意)ウェアに感染する、その後C&Cサーバと不正通信を行ってファイルを暗号化し、身代金を要求する。
当攻撃は、標的型攻撃のようなリスクや高度技術は不要なため、ローリスクハイリターンにより感染が急速に拡大している。また、ランサムウェアは標的型攻撃にも応用でき、某電力公社や医療機関に大きな被害が発生している。
５．地元大学への標的型攻撃昨年秋、地元Ｔ大学に標的型攻撃があり、核融合関連の研究論文・個人情報漏洩が公表された。
添付ファイルは、ショートカットファイルで、ウイルスはＡＳＲＵＥＸ(アスラックス)、以下のように巧妙に隠蔽されダウンロード処理が行われる。
(ショートカットファイルを開くと、指定webページからファイルがダウンロードされ、該当パッチ
ファイルのコマンドにより、ダウンローダが外部からダウンロードされる、次に画像ファイルがダウンロードされるが、画像ファイル以降のデータには、XOR演算処理されたASRUEXが仕組まれており、ダウンローダはデータをXOR演算解除後にASRUEXを実行し感染させる。)
ASRUEXは、2015年秋以降に確認された新しいマルウェアであり、今後も標的型攻撃に使用される可能性があり注意が必要です。
６．標的型攻撃の対策
標的型攻撃の対策として、多層防御(①物理セキュリティ、②セキュリティポリシ，③ネットワーク
境界部、④エンドポイント、⑤アプリケーション、⑥データ)の考え方がありますが、中小企業では、
日本システム監査人協会

会報19

May 2017

日本システム監査人協会

会報

コストや人材投入に限界があります。このため多層防護の優先順位や、IPA（独立行政法人情報処理推進機構、以下IPA）の推奨する、以下の多層防御のセキュリティ対策ついて確認し、参加者の皆さんに議論を行って頂きました。

参考: IPA推奨の多層防御のセキュリティ対策「【注意喚起】ウイルス感染を想定したセキュリティ対策と運用管理を」
IPA http://www.ipa.go.jp/security/ciadr/vul/20150602-secop.html(1)ウイルス感染リスクの低減①

ソフトウェアの更新の習慣化と徹底

・パソコンやサーバをウイルスからの攻撃から守るため、可能な限り最新のソフトウェアを利用する。OSもパッチ管理をして、セキュリティレベルを高めておく。
②

セキュリティソフトウェア（ウイルス対策ソフト）の導入

・導入は不可欠で、パターンファイルも常時更新する。(振る舞い検知も推奨)③

メールの添付ファイル対策

・メールサーバやメールゲートウェイで不審な添付ファイルをブロック。
④

ウェブフィルタリング

・業務に必要の無いウェブサイトの閲覧を制限しWeb経由でのウイルス感染を防ぐ。
⑤

教育や訓練

・不審な添付ファイルを開かせないように訓練する。
(上記(1)を全て実施している中小企業は、まだ少ないと考える。特に教育・訓練はこれからというところも多いと思う。先ずは第1歩を進めることが重要と考える。)(2)重要業務を行う端末やネットワークの分離(昨年の支部年度総会では、当項目について皆さんと議論し、日本年金機構の実例のとおり分離されていないと脆弱性を突かれ被害が拡大するとの認識に至った。今年の議論では、行政組織を中心に重要業務を行う端末やネットワークの分離が進められてきており、システム監査を利用し定期的に分離状況をチェックすることが重要との意見が出された。)(3)重要情報が保存されているサーバでの制限
攻撃者の侵入が進み、サーバまでウイルスが行き着いてしまった場合を想定したリスク対策
アクセス権を設定し限られた担当者以外は機密情報ファイルをアクセスできないようにする。
(4)事後対応の準備
データを暗号化しデータが持ち出されても読むことができないようにすることで、漏洩後のリスクを低減、マイナンバーも暗号化を推奨。

【参考文献】「日本年金機構における個人情報流出事案に関する原因究明調査結果」
平成27年8月20日 サイバーセキュリティ戦略本部＜目次＞
日本システム監査人協会

会報20

May 2017

日本システム監査人協会

会報2017.4【 注目情報 】■「平成28年におけるサイバー空間の脅威の情勢等について」公表【警察庁】
３月23日、警察庁は2016年における「サイバー空間をめぐる脅威の情勢等」に係る統計を発表した。
同庁が攻撃を検知するためにインターネットとの接続点に設置したセンサーに対するアクセス件数は１日1692件で前年比132.0%増であった。増加要因は、モノのインターネット化（IoT）が進み、IoT
機器を対象としたウイルス「Mirai」による攻撃増によるものとしている。
https://www.npa.go.jp/news/release/2017/20170323cyber_jousei.html■「つながる世界の利用時の品質～IoT時代の安全と使いやすさを実現する設計～」公表【ＩＰＡ】
3月30日、ＩＰＡ（独立行政法人情報処理推進機構、理事長：富田達夫）技術本部ソフトウェア高信
頼化センターは、さまざまなモノ同士がつながるIoT（Internet of Things）時代に向けて、利用者の特性や利用状況を考慮してIoT製品／サービスを開発するポイントを紹介した報告書、「つながる世界の利用時の品質～IoT時代の安全と使いやすさを実現する設計～」を公開した。
https://www.ipa.go.jp/sec/reports/20170330.html■「コーポレート・ガバナンス・システムに関する実務指針（CGSガイドライン）」公表【経済産業省】
3月31日、経済産業省はコーポレート・ガバナンス・システムに関する実務指針として、「CGSガイ
ドライン」を策定した。また、本指針の別添として「経営人材育成ガイドライン」及び「ダイバーシティ
2.0行動ガイドライン」も策定した。
http://www.meti.go.jp/press/2016/03/20170331012/20170331012.html■ 情報処理安全確保支援士制度スタート【経済産業省】
4月1日にサイバーセキュリティ分野において初の国家資格となる「情報処理安全確保支援士」（登録セキスペ）の初回登録が実施され、4,172名の登録セキスペが誕生した。
http://www.meti.go.jp/press/2017/04/20170403005/20170403005.html■ 「企業のＣＩＳＯやＣＳＩＲＴに関する実態調査2017」を公開【ＩＰＡ】
4月13日、ＩＰＡは「企業のCISOやCSIRTに関する実態調査2017」を公表した。同調査は2016年10月上旬～11月上旬、日・米・欧の従業員数300名以上の企業のCISO、情報システム・セキュリティ担
当部門の責任者および担当者を対象にWebアンケートなどにより実施したもの。
調査結果によると、CISOが任命されている組織の割合は、米国が95.2％、欧州が84.6％であるのに対し、日本は62.6％と20ポイント以上の差があった。
また、CSIRTについては、「設置したCSIRTが期待を満たしている」と答えた割合は、米国は60.8％、欧州は45.4％であるのに対し、日本は18.4％と2割に満たなかった。
https://www.ipa.go.jp/security/fy29/reports/ciso-csirt/index.html＜目次＞

日本システム監査人協会

会報

21

May 2017

日本システム監査人協会

会報2017.4【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）
第
２
２
３
回

日時：2017年 5月16日（火）18時30分～20時30分
場所：機械振興会館 地下2階ホール
テーマ
講師「企業ＩＴ動向調査2017」
一般社団法人日本情報システム・ユーザー協会（JUAS）
常務理事

宮下 清 様JUAS では、経済産業省商務情報政策局の監修を受け、2016 年 10 月に「企業 IT 動向調査」を実施しました。本調査は、中立の情報システム・ユーザー団体として企業のIT 投資動向や情報化の実態を正確に捉え、今後の情報化に活用できる客観的な指標策
定や提言を目的としております。

講演骨子

調査期間は 2016 年 9 月 30 日から 10 月 18 日。 調査対象は、東証一部上場企業とそれに準じる企業の 4000 社で、各社の IT 部門長に調査票を郵送して回答を得ました。
調査の有効回答社数は 1071 社です。
その IT ユーザー企業の回答から、定点観測と重点テーマを通して IT 投資や IT 戦
略 方針など、世の中の最新動向を俯瞰していきます。

お申込み

特
別
月
例
研
究
会

http://www.saaj.or.jp/kenkyu/kenkyu/223.html

日時：2017年 6月 3日（土）13時～17時
場所：機械振興会館 地下2階ホール
テーマ
講師
お申込み

第
２
２
４
回

ＨＰでご案内中です。

IT ガバナンスの国際規格（ISO/IEC 38500 シリーズ）と今後の展開について～各国の IT ガバナンスの現状と国際標準の活用～（共催：情報処理学会）
４講演を予定。
詳細確定次第、ＨＰでご案内いたします。
詳細確定次第、ＨＰでご案内いたします。

日時：2017年 7月 3日（月）18時30分～20時30分
場所：機械振興会館 地下2階ホール
テーマ
講師「ＩｏＴにおけるサイバー攻撃の実態とその対策」（仮題）
横浜国立大学大学院環境情報研究院准教授

吉岡克成 様インターネットに接続された様々な機器・システムの中にはセキュリティ対策が不十分なものも多く、サイバー攻撃の対象となっている。本講演では、サイバー攻講演骨子

撃観測システムにより明らかとなったIoTにおけるサイバー攻撃の実態と、IoTマル
ウェアの収集・分析・駆除、製造者や公的機関への通知を通じた対策について説明
する。

お申込み

日本システム監査人協会

詳細確定次第、ＨＰでご案内いたします。

会報22

May 2017

日本システム監査人協会

会報■ＳＡＡＪシステム監査実践セミナー（東京）

第
３
１
回

日時：2017年 6月 22日（木）～6月23日（金）9:30～17:00（進行状況により若干の変更が生じる場合があります。）
場所：晴海グランドホテル（申込み状況により変更する場合があります）
当協会のシステム監査事例研究会「システム監査普及サービス」で実施したシス
概要

テム監査事例を教材として、ロールプレイングを中心とした演習によりシステム監
査を修得することを狙いとしたきわめて実践的なコースです。

お申込み

ＨＰでご案内中です。
http://www.saaj.or.jp/kenkyu/jissenseminar/jissenseminar31.html【 外部主催イベント・セミナーのご案内 】■システム監査学会

記設
念立
研３
究０
大周
会年

研究大会（東京）

日時：2017年 6月 2日（金曜日）
場所：機械振興会館 ホールおよびB2-1号室
統一論題
開催内容

「システム監査の過去・現在・未来 ― システム監査の歴史・課題と将来展開 ―」システム監査学会 HP でご確認ください。
http://www.sysaudit.gr.jp/taikai/2017_30th_kinen_taikai.html＜目次＞

日本システム監査人協会

会報23

May 2017

日本システム監査人協会

会報2017.4【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。

ご確認
ください

・ホームページでは協会活動全般をご案内
http://www.saaj.or.jp/index.html
・会員規程
http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・会員情報の変更方法
http://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇

特典

http://www.saaj.or.jp/nyukai/index.html

公認システム監査人制度における、会員割引制度など。

ぜひ参加を・各支部・各部会・各研究会等の活動。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。

http://www.saaj.or.jp/shibu/index.html

皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

セミナー

CSA
・
ASA

・「情報システム監査実践マニュアル」「６か月で構築する個人情報保護マネジメントシステム」などの協会出版物が会員割引価格で購入できます。
http://www.saaj.or.jp/shuppan/index.html
・月例研究会など、セミナー等のお知らせ

http://www.saaj.or.jp/kenkyu/index.html

月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。
・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。

http://www.saaj.or.jp/csa/index.html

会報・会報のバックナンバー公開
http://www.saaj.or.jp/members/kaihou_dl.html）
電子版では記事への意見、感想、コメントを投稿できます。
会報利用方法もご案内しています。http://www.saaj.or.jp/members/kaihouinfo.pdf

お問い
合わせ

・お問い合わせページをご利用ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会

会報24

May 2017

日本システム監査人協会【 ＳＡＡＪ協会行事一覧
2017

4月

】

理事会・事務局・会計
13：理事会30：法人住民税減免申請

赤字：前回から変更された予定
認定委員会・部会・研究会
初旬：春期 CSA・ASA 書類審査
中旬：春期ＡＳＡ認定証発行
19：第 222 回月例研究会「サイバー攻撃被害を軽減するための研究開発と人材育成の動向」

会報

2017.4
支部・特別催事
11：WindowsVistaSP2
サポート終了15：近畿支部 第 56 回システム
監査勉強会（大阪）
16：春期情報技術者試験

5月

11：理事会中旬：春期 CSA 面接

6月

1：年会費未納者宛督促メール発信
8：理事会
10：会費未納者督促状発送
9～：会費督促電話作業（役員）30：支部会計報告依頼（〆切 7/14）
30：助成金配賦額決定（支部別会員数）

3：特別月例研究会「ＩＴガバナンスの国際規格（ISO/IEC 38500 シリーズ）と今後の展開 認定 NPO 法人東京都認定日について」（2015/6/3）
中旬：春期 CSA 面接結果通知

7月

5：支部助成金支給
13：理事会

3：第 224 回月例研究会「IoT におけるサイバー
攻撃の実態とその対策」

16：第 223 回月例研究会「企業 IT 動向調査
2017」下旬: 春期 CSA 認定証発送
14：支部会計報告〆切

下旬：秋期 CSA・ASA 募集案内
〔申請期間 8/1～9/30〕

8月（理事会休会）26：中間期会計監査

1：秋期 CSA・ASA 募集開始～9/30

9月

14：理事会

10 月

13：理事会

7：第 217 回月例研究会
22:関東地区主催新会員向け SAAJ 活動説明会

11 月

10：理事会12,19,26：秋期 CSA 面接
15:第 218 回月例研究会
17～18：第 29 回システム監査
実務セミナー（東京：晴海）
20： CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
29：IT アセスメント研究会
30： CSA 面接結果通知

30：西日本支部合同研究会
in Fukuoka(福岡)

前年度に実施した行事一覧
16：秋期情報処理技術者試験（東京：茅場町）

13：予算申請提出依頼（11/30〆切）
支部会計報告依頼（1/6〆切)18：2017 年度年会費請求書発送準備
25：会費未納者除名予告通知発送
30：本部・支部予算提出期限

12 月

1月

2月

3月

1： 2017 年度年会費請求書発送
1： 個人番号関係事務教育
8： 理事会：2017 年度予算案
会費未納者除名承認
第 16 期総会審議事項確認
12：総会資料提出依頼（1/9〆切)15：総会開催予告掲示
19：2016 年度経費提出期限

5-6：西日本支部合同研究会
in Matsue（開催場所：松江）

２：北海道支部総会
7：第 219 回月例研究会
10：東北支部総会＆講演会
15： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
26：秋期 CSA 認定証発送

9： 総会資料提出期限 16：00
12：理事会：総会資料原案審議

1-31：CSA・ASA 更新申請受付
17：第 220 回月例研究会

28：2016 年度会計監査
30：総会申込受付開始（資料公表）
31：償却資産税・消費税

20： 春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
26～27：システム監査実践セミナー
於：東京晴海2：理事会：通常総会議案承認
27：法務局：資産登記、活動報告提出
理事変更登記
28：★年会費納入期限

1～3/31：CSA・ASA 春期募集

1：NPO 事業報告書、東京都へ提出

1-31: 春期 CSA・ASA 書類審査

6：年会費未納者宛督促メール発信
9：理事会

4: 事例に学ぶ課題解決セミナー(お茶の水）
11-12&25-26：システム監査実践セミナー （東京：晴海）
28：第 221 回月例研究会

6：支部会計報告期限

25：SAAJ 創立記念日

24：第 16 期通常総会
下旬：CSA・ASA 更新認定証発送＜目次＞
日本システム監査人協会

会報25

May 2017

日本システム監査人協会

会報2017.4【 会報編集部からのお知らせ 】
１．会報テーマについて
２．投稿記事募集□■ １． 会報テーマについて2017 年度の年間テーマは、「システム監査の新たな展開」です。先月号までの四半期テーマ「技術革新とシステム監査」に続いて、「技術革新」の中でも特に今話題の「AI」に焦点をあてて、「AI とシステム監査」を、今月号から 7 月号までの四半期テーマとしました。皆様のご投稿をお待ちしています。
システム監査人にとって、報告や発表の機会は多く、より多くの機会を通じて表現力を磨くことは大切なスキ
ルアップのひとつです。良識ある意見をより自由に投稿できるペンネームの「めだか」として始めたコラムも、投稿者が限定されているようです。また記名投稿のなかには、個人としての投稿と専門部会の報告と区別のつきにくい投稿もあります。会員相互のコミュニケーション手段として始まった会報誌は、情報発信メディアとしても成長しています。
会報テーマは、皆様のご投稿記事づくりの一助に、また、ご意見やコメントを活発にするねらいです。会報テー
マ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２．会員の皆様からの投稿を募集しております。
分類は次の通りです。
１．めだか：Word の投稿用テンプレート（毎月メール配信）を利用してください。

２．会員投稿：Word の投稿用テンプレート（毎月メール配信）を利用してください。

３．会報投稿論文：「会報掲載論文募集要項」及び「会報掲載論文審査要綱」をご確認ください。

□■ 会報投稿要項（2015.3.12 理事会承認）

・投稿に際しては、Word の投稿用フォーム（毎月メール配信）を利用し、会報部会（saajeditor@saaj.jp）宛に送付して下さい。
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定非営利活動促進法第２条第２項の規定に反する内容(宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど)は、ご遠慮下さい。
・表紙の写真も、随時募集しています
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
会報記事への投稿の締切日は、毎月 15 日です。
バックナンバーは、会報サイトからダウンロードできます。
http://www.saaj.or.jp/members/kaihou_dl.html＜目次＞

日本システム監査人協会

会報26

May 2017

日本システム監査人協会

会報2017.4

会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ID は、年会費請求書に記載しています。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人

日本システム監査人協会

会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場
合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当
編集委員： 藤澤博、安部晃生、久保木孝明、越野雅晴、桜井由美子、高橋典子
編集支援： 仲厚吉（会長）、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2017、認定 NPO 法人 日本システム監査人協会＜目次＞

日本システム監査人協会

会報27