September 2022

日本システム監査人協会

認定 NPO 法人

日本システム監査人協会報

会報2022 年 9 月号

258

No

No.258（2022 年 9 月号）＜8 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━━

長期休暇明けの情報セキュリティ対策～引き続き警戒を！

巻頭言

３５
５あ

『システム監査人の育成について』
会員番号：1８16 野田正勝（副会長 システム監査事例研究会主査）

システム監査事例研究会では、オープンセミナーであるシステム監査実務・実践セミナーや、会員にシステム監査の実施機会を提供するシステム監査普及サービスを実施しています。セミナー受講や普及サービス参加の動機を見ると、システム監査に関する各種資格は取得したものの、システム監査の機会や経験がないという方が多くなっています。
日経ＸＴＥＣＨの 2021 年 9 月「IT エンジニアが取得したい資格」では、システム監査技術者が同率 4 位にランクインしており（ちなみにプロジェクトマネージャは 7 位）
、関心の高さは伺えるものの、IPA のシステム
監査技術者試験合格者は 2021 年度までの累計で 12,248 人で、IPA のプロジェクトマネージャ試験合格者の累計 26,739 人の半数以下となっています。
また、セミナー受講者の近年の傾向として、情報システムに関する業務経験は無いものの、内部監査業務上の必要性からシステム監査に関する知識を付けたいという方が増えてきています。近年、どこの企業でもシステム開発・運用の外注化や情報システム部門の子会社化などにより、社内の情報システムに関する業務スキルが不足している実態が背景にあるのかもしれません。しかしながら、情報システムに関する知識・スキルのある人が監査の知識・スキルを習得する場合に比べて、監査知識・スキルはあるものの、情報システムに関する知識・スキ
ルのない人がその知識・スキルを習得することは容易でありません。
先日、当協会では経済産業省よりシステム監査人の教育・育成に関するヒアリングを受けましたが、世の中的にも、システム監査人の育成への関心が高まってくることが想定されます。一方、実態として上記のような状況が見え隠れするなか、システム監査人の育成や外部監査の活用について、当協会の役割発揮がますます重要になってくるものと考えます。
以上
日本システム監査人協会 会報1

September 2022

日本システム監査人協会

会報

＜目次＞
各行から Ctrl キー+クリックで該当記事にジャンプできます。

○ 巻頭言............................................................................................................... 1【 システム監査人の育成について 】

１．めだか.............................................................................................................. 3【 この変化の時代にシステム監査が目指すもの ‐ MMT ‐ 】

２．投稿................................................................................................................. 4【投稿【第三者委員会設置は内部統制の敗北ではないのか】 】【コラム】システム監査のための、法律・会計再入門（9）3．本部報告 ............................................................................................................. 11【第 269 回月例研究会：講演録】
テーマ：『情報システム・モデル取引・契約書』第二版
セキュリティ仕様の概要と合理的な統制の在り方

4．注目情報............................................................................................................ 14【 「ICT サイバーセキュリティ総合対策2022」（案）に対する意見募集の結果及び「ICT サイバーセキュリティ総合
対策2022」の公表（総務省） 】【 KDDI 株式会社及び沖縄セルラー電話株式会社に対する電気通信事故に関する適切な対応についての指導（総務省）】

5．セミナー開催案内 ................................................................................................. 15【 協会主催イベント・セミナーのご案内 】

6．協会からのお知らせ .............................................................................................. 16【 新たに会員になられた方々へ 】【 協会行事一覧 】

7．会報編集部からのお知らせ..................................................................................... 18

日本システム監査人協会 会報2

September 2022

日本システム監査人協会

会報2022.8
めだか 【 この変化の時代にシステム監査が目指すもの ‐ MMT ‐ 】

この変化の時代にシステム監査が目指すものを考える。この変化の時代とは、気候変動やコロナウ
イルスのパンデミック等であり、システム監査が目指すものとは、正しさである。さて、資料は、「MMT（現代貨幣理論）」について書いている。
「不況は総需要不足で起こっているから、需要を作るべきである。その方法として、赤字財政によって政府支出を増加させればよい。これまでの経済学者は、国債が積みあがればひどいインフレが起こるというが、インフレは総需要が生産能力に届かない限り起こらないから、財政拡大を続けるべきだ。日本では政府債務が異常に膨らんでいると言われるが、それでもインフレは起こっていない。したがって、日本で財政赤字をさらに続けても心配する必要はない。
市中にお金を回すには、財政赤字以外にも金融緩和という手段があり、日本でも異次元緩和を行っているが、一向に効果は見えない。金融緩和とは、日銀から民間金融機関に貨幣を貸し出し、それを民間金融機関が企業や消費者に貸し出すことによって、需要を作り出すものである。しかし、現在の不況下では、投資も消費も低迷して民間の資金需要は冷え込んでいるため、日銀からの貸し出しを受けた銀行は、資金を日銀内の自分の当座預金に貯め込むだけであり、資金は市中に流れていかない。そのため、政府が国債を発行し、それを日銀が引き受け、政府がその資金で財政拡大をすれば、強制的に市中にカネが流れる。そうすれば人々の可処分所得が増えるから、
旧ケインズ経済学の消費関数と乗数効果の論理によって総需要が増える。
」
このように MMT 理論では、金融緩和では市中のお金が増えないため、大規模な赤字財政によって市中にカネを流すべきであると主張している。しかしながら、現実には、日本は膨大な財政赤字を積み重ねているが、景気は一向に回復していない。いま、日本の成熟経済では、もともと総需要不足（＝過剰生産能力）におちいっている。
格差拡大で豊かになった人々には勤勉と質素倹約をゆるめて、消費、たとえば、音楽、美術、スポーツ、ゲーム、
旅行、福祉など自分がしたいことに励むとよい。資産プレミアムの安心感すなわち資産選好でいくよりも、カネを使って楽しみを実感することである。
資産プレミアム
基本方程式 :

γ(m,c) ＋ Δ(a,c)
流動性プレミアム

ｍ貨幣

時間選好率
＝

a 資産

c 消費

ρ

+

π
物価変化率

私たちは、さまざまな出来事と自らの役割に対し、改めて考えてみる必要がある。
（空心菜）
資料：
「資本主義の方程式 経済停滞と格差拡大の謎を解く」小野義康著 中公新書 2679
（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。
）＜目次＞
日本システム監査人協会 会報3

September 2022

日本システム監査人協会

会報2022.8
投稿【第三者委員会設置は内部統制の敗北ではないのか】
会員番号 436 大石正人
トラック・バスが主力製品の H 社で発覚したエンジンの性能試験にかかる不正について、２０２２年８月３日に外部有識者で構成される特別調査委員会が調査報告書を公表しました。８月１２日には米国において、当社及び米国子会社、親会社 T 社に対し、損害賠償請求訴訟が提起された旨公表されました。

トラックなど日本の商用車メーカーはかつて６社体制でしたが、外資傘下に入るなどして再編が進み、今回の事案がさらなる再編を呼ぶのでは、といった観測記事もみられます。個人消費のうち耐久消費財を構成する乗用車と異なり、商用車の購入者は事業者が中心です。このため、品質不正と聞いても反響は少なめに感じます。

しかし社員へのヒアリングをもとにした先の調査報告書の内容はかなり深刻です。

８月３日の報告書（概要）末尾の記載によると、問題は排出ガスや燃費といったエンジンの性能試験を担う「パワートレーン実験部」で発生した、と認定しつつも「当委員会は、本問題の真因を次の ３つと考えた。
」として、以下の指摘があるからです。
① みんなでクルマをつくっていないこと② 世の中の変化に取り残されていること③ 業務をマネジメントする仕組みが軽視されていたこと

詳細は下表の通りです。
① みんなでクルマをつくっていないこと
・ セクショナリズムが強く、組織が縦割りで、部分最適の発想に囚われて全体最適を追求できていない
・ 職業的懐疑心や批判的精神に基づいて開発のプロジェクトにおいて自由闊達な議論をしていない・ 能力やリソースに関して現場と経営陣の認識に断絶がある
・ 法規に関する情報収集をする部署、品質保証部門や品質管理部門の位置付けや関わりがみんなでクルマをつくるという発想になっていない②世の中の変化に取り残されていること。過去の成功体験の大きさゆえに、変化することや自らを客観視することができず、外的環境や価値観の変化に気付かなかったということ
・ 上意下達の気風が強すぎ、｢上に物を言えない｣、｢できないことをできないと言えない｣という風通しの悪い組織となっている
・ 過去の成功体験を引きずり、｢できない｣ことや過去の過ちを認めることができない。また問題点を指摘す
ると自ら解決を担当させられて他部署の助けが得られない・ 開発プロセスに対するチェック機能が不十分、などの現象が発生していた。

日本システム監査人協会 会報4September 2022

日本システム監査人協会

会報③業務をマネジメントする仕組みが軽視されていたこと
・ パワートレーン実験部が開発業務と認証業務の双方を担当していた・ 規程やマニュアル類の整備が十分でなかった
・ 役員クラスと現場との間に適切な権限分配がなされていない、などの現象が発生していた。

さらに、国交省からの「他者で発覚した認証取得時の排出ガス・燃費試験における不適切な事案の有無について、２０１６年に報告を求められた際、不適切な事案はなかった旨の虚偽の回答を行った」ことも発覚しています。

報告書の公表を報じた８月３日付の日経新聞朝刊の見出しには「遅れ お立ち台で責任追及」「助け合いせず
犯人捜し」を副題として「パワハラ体質 Ｈ社の弊害」とあり、「開発スケジュールのひっ迫、絶対視」「担当が明確な業務以外は積極的に引き受けない雰囲気が蔓延」「上位下達の気風」「最後の砦としての役割期待、次第に追いつめられる」「T 社グループだから大丈夫というおごりの意識」といった文字が踊り、目を覆う惨状です。こんな「昭和な」組織がまだ生き残っているのは、おそらくバス事業の再編と T 社グループ傘下に入ったことを除いて、経営統合など、事業のやり方などガバナンス面で目立った経営再編を経験していないからだと推察されます。

今回の報告書では、排ガス規制への対応の過程で、性能試験不正が行われたことを認定していますが、調査委員会は「可能な限り遡ったが、（今回不正を認定した）２００３年以前から不正があった」可能性を否定していません。

ちょうど１年前に本稿でふれた大手電機メーカーの鉄道車両についての、空調装置等の検査不正でもそうでしたが、長年（このケースでは 35 年間）にわたり意図的な検査不正が隠蔽された結果、公共交通機関の運行にも影響を与えかねないものでした。

今回のＨ社の場合は、公表された報告書の範囲では、排ガス規制をクリアできていない製品を出荷したので、直ちに公道における安全性を脅かすとは限りませんが、性能試験の信頼性を損なったわけですから「他の試験は大丈夫だったのか」という疑念を引き起こすことは避けられません。自動車に限りませんが、性能を含めた製品（今回はディーゼルエンジン）の品質は、それが最終消費財に組み込まれることで、利用シーンに不安定要素を持ち込むことになるのです。この点が大きな問題を伏在させています。

Ｈ社の対外公表資料（ウェブサイトで閲覧可能なもの）で、有価証券報告書などガバナンスや内部統制、コン
プライアンスに関する記述を参照しても、上場会社としての枠組みや体裁は十分に整っているように見受けられます。独立監査人（公認会計士）や監査役なども現状を追認しているので、結局Ｈ社のケースでも 1 年前に言及した大手電機メーカーと同様、品質不正につき、臨時に設けた外部有識者による調査委員会の手を借りなけれ
日本システム監査人協会 会報5September 2022

日本システム監査人協会

会報

ば、実態は明らかにならなかった、といえます。しかも調査が進むにつれて、当初公表した範囲を超えて、不正の影響範囲が広がるのも同じパターンです。ちなみにマスコミ報道のなかには、今回の調査結果につき、海外向
け車種への言及がないとして、今後の影響範囲の拡大など、を予想する記事もありました。

調査につれて影響範囲が拡大するのは、かの大手電機メーカーでも同じ経緯を辿っています。Ｈ社の場合は、バス向けのエンジンを供給するＩ社を含め一時出荷停止を余儀なくされています。海外での訴訟提起は今後の影
響拡大の兆しかもしれません。同社グループは、米国以外にもアジアやオーストラリアなどに採算拠点を持っているからです。

Ｈ社は調査結果を踏まえた今後の対応（再発防止策）のなかで、企業風土・土壌改革に向けた取り組み として「HINO ウェイ」
（基本理念、サステナビリティ方針、行動規範を改訂）を職場に浸透させることを企図しています。
（注）「HINO ウェイ」の掲載場所

https://www.hino.co.jp/corp/about_us/hino_credo.html

日本法人が１３千人弱、海外を含めて３４千人に対し、対話などを通じて浸透させていく、としていますが、その道は多難です。これまでものづくりに自信を持ってきた商用車メーカーが、２０２２年に昭和（次の平成を挟みすでに３０年以上前）の生き残りのような企業体質を変えていくのは容易ではありません

こうした企業体質が内部統制システムだけでは改善されないまま今日まで来てしまったのは、結局のところ、製品が公道を走るという公益性を有する商用車メーカーでありながら、排ガス規制をクリアできず、不正に手を染めてしまうほど、技術的な困難を抱えているからに相違ありません。リコールや出荷停止などのインパクトか
らいずれ、事業所の再編や人員整理など、リストラの検討も俎上に上ってくるでしょう。どこまで士気を維持し、優秀な人材を確保できるか正念場だと思います。

結局のところ、事業の拡大や企業としてのサステナビリティの維持と、有効な内部統制システムの構築、運用とは、事業体にとって、経営の車の両輪であることを再認識することが何より重要と考えます。Ｈ社の経営陣やマネジメント層が、そうした根本からの反省、気づきを得ているかどうか、が今後のＨ社の生き残り（ひいては、日本の商用車メーカーの存続）に大きく影響するといえるでしょう。

比較的成功例として取り上げられることの多い、２０１６年１０月に「危機対応業務における不適切な手続きによる貸付が発覚」した商工組合中央金庫の場合でさえも、２年後に公表した経営改革プログラムに基づく施策の実効性向上、組織内への定着、ビジネスモデル転換への道筋にはあしかけ５年の期間を要しました。

システム監査も内部監査も、内部統制システムの一翼を担う重要なミッションを担っています。専門性を発揮しながら、あえて苦言を呈する覚悟をもって、日々の業務に従事したいものです。
＜目次＞
日本システム監査人協会 会報6September 2022

日本システム監査人協会

会報2022.8【コラム】システム監査のための、法律・会計再入門（9）会員番号 1644 田淵隆明 （近畿支部 システム監査法制化推進プロジェクト）§1.はじめに
7 月中旬より、新型コロナの第７波が深刻化している。筆者が懸念していた通り、変異により、感染力だけでなく毒性も強くなった。
「第２類から第５類への変更」を声高に叫ぶ一部評論家もいるが、軽々に判断せず、慎重に対応した当局の対応は賢明であったと言えよう。我々は、何としてでも、この危機を乗り切らねばならない。
なお、最近、世界中で生活必需品の価格が上昇しており、中間層や貧困層の生活を圧迫している(→文献[4])。このような場合には欧州諸国では、VAT(付加価値税)の軽減税率の拡充(軽減税率対象の拡大または税率の引き下げ)を行う。
我が国の場合も 2023/10 から「インボイス方式」に移行するため、このような対応がやり易くなる。
2023 年 10 月まであと 1 年以上掛かるため即効性は無いが、我が国の中長期的な経済・国民生活の回復を考えるならば、「インボイス移行」と同時に、以下のことは検討されてしかるべきであろう(→文献[1])。
①軽減税率を現行の 8％から 5％に引き下げる。(地方財政を考慮し、地方は 1.76％を維持し、国税分を 3.24％とする)②医薬品を軽減税率対象に加える(フランスでは超軽減税率の 2.1％で、基礎的食料品の 5％よりも低率)。
①に必要な財源は 1.5 兆円であるが、②は 1600 億円(予備費の範囲)で可能である。コロナ禍の中、解熱剤などの需要は当面続くものと思われる。せめて②だけでも、インボイス制度を待たずに 2023 年 4 月から実施するべきであろう。

§2.研究開発費の一律費用処理問題
先月号で、国産初のコロナ治療薬が緊急承認されることを願うと書いたが、またしても承認されなかった。痛恨の極みである。8 月 11 日は BA.2.75 にも効果があることが報道発表された(→文献[5,6])。次回の審査は 9 月に予定されている。今度こそ、承認されることを願うばかりである。
これまで述べてきたように、国産のコロナ治療薬及びワクチンの開発が遅れた最大の元凶は、2006 年の会計基準の改悪により、研究開発費が一律費用処理され、しかも、大半が損金算入できないという、他の G7 諸国には見られない
異常な制度にあると考えられる。早急な是正が求められるが、今回は、この問題の問題の発生について、時系列で分析することとする(→文献[1,2,3])。
〔1〕会計基準の設定主体と改廃権限者
まず、日本会計基準及び国際会計基準の設定主体と改廃権限者は次の通りである。

〔2〕「企業会計基準委員会」(ASBJ)による各種の会計基準
2001 年までは政府の企業会計審議会が、法律・政令・府令・省令の範囲内で会計基準を定めて来たが、2001 年に金融庁の外郭団体として「財務会計基準機構」が設立され、その下部組織の「企業会計基準委員会」(ASBJ)が法律・政令・府令・省令の範囲内で会計基準を策定することとなった。ASBJ の策定する基準とその目的は次の通りである。
①「企業会計基準」(1～31 号。一部廃止)⇒企業会計の基準の根幹を定める②「企業会計基準適用指針」(1～31 号。一部廃止) ⇒企業会計基準の細則を定める③「実務対応報告」(1～42 号。一部廃止)⇒経過措置・特殊な論点の規定を定める
日本システム監査人協会 会報7

September 2022

日本システム監査人協会

会報

ただし、法令の世界では、法律＞政令＞府令・省令であるが、ここでは②が①を改廃したり、③が①や②を改廃することも行われていることに注意が必要である。

〔3〕実務対応報告の一覧
ASBJ の定める各基準の内、最下位のものが「実務対応報告」であるが、第 1 号～第 42 号まで存在する。本来の趣旨は経過措置または特殊論点の規定が目的であるため、役目を終えたものは順次廃止されている。
「分類」欄をみれば、第 19 号だけが突出していることが容易にお分かり頂けると思われる。

日本システム監査人協会 会報8September 2022

日本システム監査人協会

会報★「研究開発費の一律費用処理」は、最下位の「実務対応報告」の第 19 号の第 5 項より、次のように定められている。法律でも政令でも府令でも省令でもないところで、このように重大なことが決められているのである。
(5) 開発費の会計処理
開発費は、原則として、支出時に費用（売上原価又は販売費及び一般管理費）として処理する。ただし、開発費を繰延資産に計上することができる。この場合には、支出のときから 5 年以内のその効果の及ぶ期間にわたって、定額法その他の合理的な方法により規則的に償却しなければならない。
開発費とは、新技術又は新経営組織の採用、資源の開発、市場の開拓等のために支出した費用、生産能率の向上又は生産計画の変更等により、設備の大規模な配置替えを行った場合等の費用をいう。ただし、経常費の性格をもつものは開発費には含まれない。なお、「研究開発費等に係る会計基準」の対象となる研究開発費については、発生時に費用として処理しなければならないことに留意する必要がある。
‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐
ここで、「新技術又は新経営組織の採用、資源の開発、市場の開拓等のために支出した費用、生産能率の向上又は生産計画の変更等により、設備の大規模な配置替えを行った場合等の費用」とあるため、新薬の開発などは「開発費」には該当せず、資産計上が不可能となり、製薬会社などは「研究開発をすればするほど赤字になる」というジレンマを抱えることとなった。しかも、研究所の建物・機械・他社の特許使用料等は税法上は損金とはならない。
このことは、IFRS への Convergence の逆行であるのみならず、研究開発費が罰金・課徴金・接待交際費並みの扱いを受け、製造業にとっての生命線である筈の「研究開発部門」が「コスト・センター」に転落したことを意味する。その結果、企業経営者は R&D 部門の合理化・効率化を株主から求められるようになり、自らもそれを経営指針に加える経営者が続出した。その結果、機械や半導体や製薬を始めとする全産業分野において、研究開発部門の縮小・リストラが横行し、我が国の一流企業の研究所から我が国の産業を支える”虎の子の人材”が、大量に海外に流出することとなるに至った。また、2005 年に制定された「金融検査マニュアル」(2010 年 3 月限りで廃止)の厳格運
日本システム監査人協会 会報9September 2022

日本システム監査人協会

会報

用に伴う、赤字の製造業に対する金融機関の「貸し渋り」・「貸し剥がし」が横行したため、製造業は新製品の開発において、大きな足かせをはめられることとなった。
〔4〕歴史的経緯
これまでの経緯を時系列で纏めると次の通りである。
【1】1998 年に、企業会計審議会が「研究開発費に関する会計基準」を定め、それを受けて公認会計士協会も「研究開発費及びソフトウェアの会計処理に関する実務指針」を定めた。
【2】2001 年に、企業会計審議会が「研究開発費の一律費用処理」を定め、公認会計士協会もそれに追随した。
しかし、繰延資産の部に「試験研究費」が残っていたため、ここに資産計上する道が残された。
【3】2001 年に財務会計基準機構が設立され、その下部に「企業会計基準委員会(ASBJ)」が設立された。
【4】会社法の施行に伴う、2006 年の「財務諸表等規則」の改正で、繰延資産の部から「試験研究費」が削除され、「開発費」が新設された。
「試験研究費」の償却年限が 3 年以内であるところが「開発費」は 5 年に延長されたものの、実務対応報告第 19 号「繰延資産の会計処理に関する当面の取扱い」で極端に使用を制限され、非常に使いづらいものとなった。
【5】企業会計基準第 23 号により、吸収合併により資産を継承した場合に限り、実務対応報告第 19 号の適用除外とされ、資産計上が可能となった。
※【4】の「財務諸表等規則」
・「会社計算規則」には「開発費」の計上要件について具体的な規定はない。法人税法上金額の大半が損金不算入であるのはこの為であると考えられる。まさに、会計と税法の矛盾が齎した悲劇である。
〔5〕立法府・行政府が行うべき方策
次の 3 つが考えられる。昨今の経済情勢・コロナ対策を考慮し、遅くとも 2023 年 4 月から実施するべきである。
①国際会計基準 (IFRS)と同様に、無形固定資産に「研究開発費」を追加し、資産計上可能とする。
②ASBJ に「実務対応報告第 19 号」を廃止させるか、これを上書きする形で「財務諸表等規則」の「開発費」の計上要件を明記し、研究開発費の資産計上を可能とする(2022/7/1 の例に倣う)。
※「会社計算規則」には具体的な規定は無いので、中小企業庁が資産計上を推奨することも考えられる。
③規制緩和して、上場企業以外も、個別財務諸表も含めて、IFRS や JMIS(日本版修正国際基準)の使用を可能とする。
(実は、昨年以来、政府の「骨太の方針」の金融財政執行方針には、IFRS の適用拡大・推奨が謳われている。)§3.その他
今回は、紙面の都合で言語に関することは少量にとどめる。先日、筆者が「ベンチ」と言ったところ、相手には「デンチ」の聞き間違えられた。確かに、B と D は聞き間違いやすい。実際、我が国の俗世間では D を「デー」とドイツ語風に発音して聞き間違いを回避している用例も多数存在している。(→文献[2,3])なお、中国人と仕事をする場合、「不要」が「禁止」であることには注意を要する。それでも、中国は 1950 年代の言語改革により、「為」や「与」な
どの多義語の意味を限定したので、漢文よりはコミュニケーションはラクである(詳細は次回取り上げます)。
※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用等については、必ず、御自身でご担当の顧問会計士その他の専門家の方々への御確認・照会をお願いします。
<参考文献>[1]「「軽減税率」田淵隆明が語る、医療機関の損税問題とその"処方箋": ～消費税導入以来の制度上の盲点～～国民の大半の理解を得られる処方箋は何か?～」[2]「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考～「収益認識に関する会計基準」(≒IFRS15)対応版 ～動作相・純額処理・有償支給廃止に注意～ (2021/3/1)[3]「「軽減税率」田淵隆明が語る、数学・理科カリキュラム再考」(2022/06/13)[4] 中低所得ほど苦しい…スクリューフレーション深刻 生活必需品が高騰
https://www.asahi.com/articles/ASQ7Q5QGKQ7QULFA02.html[5] コロナ死者、今後さらに増加懸念 厚労省専門家組織 https://news.yahoo.co.jp/pickup/6435279[6] 塩野義、開発中のコロナ飲み薬「BA.2.75 にも効果確
https://mainichi.jp/articles/20220810/k00/00m/040/228000c<目次>
日本システム監査人協会 会報10September 2022

日本システム監査人協会

会報2022.8
第 269 回月例研究会 講演録
テーマ：『情報システム・モデル取引・契約書』第二版
セキュリティ仕様の概要と合理的な統制の在り方
会員番号 1200 豊田諭（月例研究会）【講師】アップデートテクノロジー株式会社代表取締役、一般社団法人ソフトウェア協会理事、Software ISAC 共同代表
板東直樹（ばんどうなおき）氏【日時・場所】2022 年 7 月 13 日（水）18:30 – 20:30、オンライン（Zoom ウェビナー）【テーマ】『情報システム・モデル取引・契約書』第二版
セキュリティ仕様の概要と合理的な統制の在り方【要旨】
システム開発では、扱われる情報が侵害された場合の影響を考慮に入れて設計されるべきであり、想定リスクの影響度に応じたレベルを定め、適切なセキュリティ仕様要件が策定されることが重要である。そこで、経済産業省・IPA の「情報システム・モデル取引・契約書」第二版は、改正民法への対応に加え、セキュリティ仕様を取りまとめるプロセスと、具体的なセキュリティ設定を例示した。
本セミナーでは、セキュリティ仕様作成のプロセス策定の狙いと、セキュリティに関する合理的な統制の在り方について解説する。
【講演録】
１．昨今のランサム事例と教訓（1）事例 1 製造業
ファイルサーバーの暗号化と⾝代金の要求、個人情報の漏洩が発生した。VPN 装置の脆弱性が放置されたことにより、同社ネットワークに侵入し、PC には総当たり攻撃でログオンされたものと推定される。
(2) 事例 2 社会福祉法人
ファイルサーバーの暗号化と⾝代金の要求、個人情報の漏洩が発生した。データセンターにホスティングしたシス
テムへのリモート接続により侵入し、PC には総当たり攻撃でログオンされたものと推定される。
（3）事例 3 徳島県つるぎ町立半田病院
ファイアーウォール装置の脆弱性が放置されたことにより侵入し、PC にはリモートデスクトップによる総当たり
攻撃でログオンされたものと推定される。
講師が有識者会議委員及び現地調査委員長として参画された事例であり、病院のシステム環境とランサムウェア攻撃内容、そこから得られる防御策について解説された。
病院側は⾝代金を支払わず、システムを稼働停止させて再構築した。その２ヶ月間は電子カルテが使えず、手作業となり、また医事会計システムが停止して手元資金が枯渇寸前に至った。幸いなことに、南海大地震想定の BCP で紙
カルテでの対応のシミュレーションができていたので、手作業への切替対応ができた。
（4）事例から得られる教訓
日本システム監査人協会 会報11September 2022

日本システム監査人協会

会報

・多層防御の重要性
脆弱性が放置され、PC のパスワードが弱いままでも、送信元 IP アドレス制限とパスワードのロックアウト設定の多重防御をしていれば防げた。
・Default 設定の放置は危険
リモートデスクトップは、Default ではロックアウト設定されておらず、Default 設定の放置は危険。
・安直な運用
Administrator PW が共通であり、マシン個別にユニークにしていれば、⽔平展開を防げた。
・閉域網の過信
閉域網だから安全という思い込みが、VPN の脆弱性放置につながったのではないか。
・曖昧な契約
ユーザーはセキュリティ保守を含む、ベンダーはハード保守のみ、と認識が違っていた。
(5)防御の基本的な考え方・管理者であっても永続的でない一時的で限定的な管理者権限にするなど、最小特権にすること。
・ID を取得させない、アプリケーションのホワイトリスト以外禁止など攻撃表面を最小化すること。
・属人化の排除、役割（ロール）ベースのアクセス制御など、知る必要性に基づくアクセス制御とすること。
・ネットワークベースの検出、OS の安全な構成、外部サーバーにログを保存など、多層防御とすること。
・独立したネットワーク、多要素認証など、管理接続を保護すること。
・複雑でない、定期変更しない、長い、ロックアウトなど、パスワードを保護すること。

2．セキュリティ仕様策定プロセス
IPA の調査では、開発全体としてはセキュリティ方針基準が存在しても、企画・設計・製造・検査など開発の各段
階における具体的な手順や技術詳細は存在していない企業が多い。セキュリティ仕様策定において、ユーザー、ベンダー、IT コンポーネント供給者それぞれに課題がある。
2020 年の債権法改正にともない、IPA 社会基盤センター「モデル取引契約書見直し検討部会」が設置されて経済産業省の「情報システムモデル取引契約書」の改訂が立ち上がった。この中で、情報システム開発契約における技術的なセキュリティ仕様の検討を支援するために、セキュリティ検討プロジェクトチームが設置され、「情報システム
開発契約のセキュリティ仕様作成のためのガイドライン」（※1）が作成された。

3．攻撃ベクトルと安全な構成（1）攻撃ベクトル
マルウェア Emotet の攻撃ベクトルは明らかになっており、また良く使われる攻撃手法は IPA のセキュリティガイ
ドラインなどで例示されている。対処としては、侵入後にツールで検出するよりも、初期侵入で設定と運用で防御する方が簡単で効果的。
（2）攻撃ベクトルを遮断する安全な構成
マルウェアが、メール添付ファイルできたとき、VPN 経由できたとき、USB 経由できたとき、更に内部で⽔平展開をさせない、それぞれの場合で、攻撃ベクトルを遮断する安全な構成がある。安全な構成を保護する手法として、
日本システム監査人協会 会報12September 2022

日本システム監査人協会

会報

Active Directory Group Policy の再読み込み、脆弱なプロトコル、暗号スイートの無効化、ログのアクセス権限の限定、リモートレジストリサービスの無効化などがある。
（3）パスワードについて
NIST SP800 では、パスワードの複雑性や定期変更は⾮推奨としており、IPA はガイドラインで、パスワードの、
長さ、定期変更、アカウントロックアウト、パスワードの変更について推奨策を示している。
（4）推奨策米国の⾮営利法人 MITRE 社では、実際に使用された攻撃テクニックを分類した ATT＆CK（Adversarial Tactics,
Techniques, and Common Knowledge）に基づく詳細設定対策として、具体的な緩和策を例示している。
ISO27002(情報セキュリティ管理策の実践のための規範)は、改訂されて 2022 年版（現在邦訳中）となったが、MITRE ATT＆CK を意識した作りになっている。
米国 OWASP（Open Web Application Security Project）から、WEB アプリケーションを設計・開発・テストする際に必要なセキュリティ要件のフレームワークである ASVS 4.0(Application Security Verification Standard JAv4) （アプリケーションセキュリティ検証標準 4.0 日本語版）（※2）が出ている。

4．防御の基本的な考え方
防御には、技術的な設定で実現するものと、監査・規則で実現していくものがある。基本的な考えに基づいた監査・規則・技術の組合わせをすることで、相当強固になる。
IPA のガイドラインは具体的な脅威に対する安全な構成を提供し、詳細な技術的な設定を支援している。ASVS は
セキュアコーディングの具体例を列挙している。この２つを監査の視点も含めて利用することにより、「統制」と「安全な構成」でセキュリティを維持することが重要となる。
監査の視点にガイドラインと ASVS を加えれば、日本のシステムはより強靱になると言えよう。

※1 情報システム開発契約のセキュリティ仕様作成のためのガイドライン
https://www.softwareisac.jp/ipa/index.php※2

ASVS（アプリケーションセキュリティ検証標準 4.0 日本語版）

https://www.saj.or.jp/documents/NEWS/pr/20200903_OWASP_ASVS4.0‐ja.pdf【所感】
徳島県で直近に起きた事例を含めて具体的にご説明いただいた上で、攻撃やそれをを防御する安全な構成やそれを保護する手法を説明いただき、文字通り貴重なお話しを聞かせていただけた機会であった。セキュリ
ティ対策は多層防御が重要といわれるが、それは技術的な設定による「安全な構成」を多層化するだけではな
く、規則などで実現していく「統制」も併せた多層化が重要である、という防御の考え方がより理解できた。
セキュリティ対策の面からも、技術的な設定だけに頼らずに組織としてのコントロールやガバナンスが重要であるということを改めて認識した。

以 上
<目次>

日本システム監査人協会 会報13September 2022

日本システム監査人協会

会報2022.8
注目情報（2022.7～2022.8）■ 「ICTサイバーセキュリティ総合対策2022」（案）に対する意見募集の結果及び「ICTサイバーセキュリ
ティ総合対策2022」の公表（総務省）
総務省は、2017 年（平成 29 年）1 月より「サイバーセキュリティタスクフォース」（座長：後藤厚宏 情報セキュリティ大学院大学 学長）を開催してきました。今般、本タスクフォースにおいて「ICT サイバーセキュリティ
総合対策 2022」が策定されましたので公表します。
URL：https://www.soumu.go.jp/menu_news/s‐news/01cyber01_02000001_00142.html■KDDI株式会社及び沖縄セルラー電話株式会社に対する電気通信事故に関する適切な対応についての指導（総務省）
本日、総務省は、KDDI 株式会社（代表取締役社長 髙橋 誠）及び沖縄セルラー電話株式会社（代表取締役社長 菅隆志）に対し、令和 4 年 7 月 2 日に発生した大規模な電気通信事故に関し、同様の事故を再発させないよう厳重に注意するとともに、再発防止の観点から種々の取り組みを確実に実施するよう、文書により指導しました。
URL：https://www.soumu.go.jp/menu_news/s‐news/01kiban05_02000247.html＜目次＞

日本システム監査人協会 会報14September 2022

日本システム監査人協会

会報2022.8【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）

第
２
７
０
回

日時

2022 年 9 月 2 日(金) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

ISMAP の現状について講師

有限責任あずさ監査法人 IT 監査部 パートナー 山口達也 氏

講演骨子

参加費
お申込み

ISMAP については、施行後 2 年が経過しました。この 2 年間でも細かなものも含め様々な修正が入ったり、2022 年 6 月には ISMAP‐LIU という新しいスキーム案も公表されました。また、現場においても政府機関のみならず民間での活用も確実に広がりつつある状
況にあります。本講演においては、この 2 年間で制度が変わったところ、現場における活用事例等を中心に紹介すると共に、現在検討されている新しいスキーム等の概要について
も月例研究会開催時点における公表情報を元に解説します。
SAAJ 会員 1,000 円 ⾮会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/270.html■SAAJ 月例研究会（東京）

第
２
７
１
回

日時

2022 年 10 月 7 日(金) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

スマートフォンゲーム開発を取り巻く環境と変化

講師

講演骨子

参加費
お申込み

株式会社スクウェア・エニックス ブロックチェーン・エンタテインメント事業部
事業部長 畑 圭輔（はた けいすけ）氏
今や私達の生活には欠かせない存在のスマートフォン。搭載されている高性能なチップの恩恵を受け、リッチなゲームもプレイすることが可能ですが、スマートフォンにおけるゲーム開発環境は、2007 年に発売された Apple 社の iPhone から始まり、Google 社のAndroid OS 含めて、15 年もの間で大きく変化、進化しました。本講演では、初期からス
マートフォンゲーム開発に関わってきた経験を活かし、ゲーム開発環境、配信形態の変化、売上、各プラットフォームのガイドラインなど、幅広くお話させていただきます。
SAAJ 会員 1,000 円 ⾮会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/271.html＜目次＞
日本システム監査人協会 会報15September 2022

日本システム監査人協会

会報2022.8【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

特典

ぜひ
ご参加を

ご意見
募集中

・ホームページでは協会活動全般をご案内
・会員規程

https://www.saaj.or.jp/index.html
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf

・会員情報の変更方法

https://www.saaj.or.jp/members/henkou.html

・セミナーやイベント等の会員割引や優遇

https://www.saaj.or.jp/nyukai/index.html

公認システム監査人制度における、会員割引制度など。

・各支部・各部会・各研究会等の活動。

https://www.saaj.or.jp/shibu/index.html

皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。
・「発注者のプロジェクトマネジメントと監査」

出版物

・「６か月で構築する個人情報保護マネジメントシステム」
・「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。
https://www.saaj.jp/04Kaiin/60SeminarRireki.html

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「CSA：公認システム監査人」 と「ASA：システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
・CSAサイトで詳細確認ができます。

会報

お問い
合わせ

・過去の会報を公開

https://www.saaj.or.jp/csa/index.html

https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

会報に対するご意見は、下記のお問合せページをご利用ください。

・お問い合わせページをご利用ください。

https://www.saaj.or.jp/toiawase/index.html

各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会 会報16

September 2022
【 ＳＡＡＪ協会行事一覧 】

日本システム監査人協会
赤字：前回から変更された予定

9月

理事会・事務局・会計（理事会休会）6：中間期会計監査
8：理事会

10 月

13：理事会11 月

9： 予算申請提出依頼（11/28〆切）
支部会計報告依頼（1/9〆切)10：理事会
16：2023 年度年会費請求書発送準備
28：会費未納者除名予告通知発送
28：本部・支部予算提出期限
1： 2023 年度年会費請求書発送
1： 個人番号関係事務教育
8： 理事会：2023 年度予算案
会費未納者除名承認
第 22 期総会審議事項確認
10：総会資料提出依頼（1/9〆切)14：総会開催予告掲示
20：2022 年度経費提出期限
9：総会資料提出期限 16:00
12：理事会：総会資料原案審議
28：2022 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
2：理事会：通常総会議案承認

8月

12 月

1月

2月

認定委員会・部会・研究会
1：秋期 CSA・ASA 募集開始～9/30
18：第 38 回 CSA フォーラム
２:第 270 回月例研究会
24‐25：第 40 回システム監査実務セミナー(日帰り 4 日間コース前半)
30:秋期 CSA・ASA 募集締切
7:第 271 回月例研究会
8‐9：第 40 回システム監査実務セミナー(日帰り 4 日間コース後半)

会報2022.8
支部・特別催事

9:秋季情報処理試験・情報処理安
全確保支援士試験
29:PM 会員活動説明会

4：第 272 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
12：第 273 回月例研究会
12：協会創立記念日
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕
23：秋期 CSA 認定証発送
1‐31：CSA・ASA 更新申請受付
6：支部会計報告提出期限
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
2/1‐3/31：CSA・ASA 春期募集
17：第 22 期通常総会

28：2023 年度年会費納入期限
3月

4月

4：年会費未納者宛督促メール発信
10：理事会28：法務局：資産登記、活動報告書提出、東京都：NPO 事業報告書提出
14：理事会

5月

12：理事会

6月

1：年会費未納者宛督促メール発信
9：理事会
21：年会費未納者督促状発送
22～：会費督促電話作業（役員）28：支部会計報告依頼（〆切 7/11）
30：助成金配賦決定（支部別会員数）

下旬：CSA・ASA 更新認定証発送
前年度に実施した行事一覧
1‐31: 春期 CSA・ASA 書類審査
4:第 265 回月例研究会

18:第 266 回月例研究会
初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行
18:第 267 回月例研究会
中旬・下旬土曜：春期 CSA 面接
上旬： 春期 CSA 面接
15:第 268 回月例研究会
18‐19: 第 39 回システム監査実務セミナー(日帰り 4 日間コース前半)
中旬： 春期 CSA 面接結果通知

17:春期情報技術者試験・情報処理
安全確保支援士試験

3:認定 NPO 法人東京都認定日（初回：2015/6/3）

中旬・下旬： 春期 CSA 認定証発送＜目次＞

日本システム監査人協会 会報

17September 2022

日本システム監査人協会

会報2022.8【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2022 年の会報年間テーマは「この変化の時代にシステム監査が目指すもの」
です。
様々なことが変化、進化していく時代の中で、システム監査人は何を目指す必要があるのか、システ
ム監査は何を目的として、実施すべきなのか、その対象範囲やシステム監査人に求められるスキルはどうなるのかという点について、整理・検討が必要なタイミングではないかと考え設定しています。

会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是⾮お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会 会報18

September 2022

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事
1. めだか

匿名（ペンネーム）による投稿
原則１ページ 下記より投稿フォームをダウンロードください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

2.

記名投稿

原則４ページ以内 下記より投稿フォームをダウンロードください。
https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx

3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限定）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット ※毎月メール配信を利用してください。
・投稿先： saajeditor@saaj.jp 宛メール添付ファイル
・投稿メールには、以下を記載してください。
✓

会員番号

✓

氏名

✓

メールアドレス✓

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、⾮会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。
✓

会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。

■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。
・特定⾮営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞

日本システム監査人協会 会報19September 2022

日本システム監査人協会

会報2022.8
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会 会報編集部〒103‐0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart

掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、金田雅子、越野雅晴、坂本誠、辻本要子、豊田諭、野嶽俊一、柳田正、
山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997‐2022、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会 会報20