November 2022

日本システム監査人協会

認定 NPO 法人

日本システム監査人協会報

会報2022 年 11 月号
No260

No.260（2022 年 11 月号）＜10 月 25 日発行＞ ━━━━━━━━━━━━━━━━━━（注目情報）「2021 年度組込み/IoT 産業の動向把握等に関する調査」の調査結果を公開（IPA）

巻頭言『 この変化の時代にシステム監査が目指すもの― サイバーハイジーン ― 』
会員番号：1342 安部晃生（副会長）

最近、「サイバーハイジーン（Cyber Hygiene : サイバー衛生管理）」という言葉を、耳にすることが多い。
今年 2 月に公表された金融庁「金融分野におけるサイバーセキュリティ強化に向けた取組方針（Ver.3.0）」では、それまでの取組方針（Ver.2.0）策定時以降の金融分野におけるデジタル化の進展、金融機関を取り巻く環
境変化に対応した「新たなリスクへの備え」の一つとして、「サイバーハイジーンの徹底」があがっています。
その中では、「外部委託の拡大などにより、ＩＴ資産管理の範囲が拡大し複雑化する中、安全性の高い ＩＴ環
境を維持するには、境界型セキュリティや特定のセキュリティ製品だけに依存することなく、風邪予防における手洗い、うがいなどの公衆衛生活動と同様に、ＩＴ環境においても、例えば、ＩＴ資産の適切な管理、速やかなセキュリティパッチ適用などの基本的な行動を組織全体に浸透させる取組み（いわゆるサイバーハイジーン）が重要であり、こうした取組みを金融機関に促していく」とされています。
では、サイバーハイジーンが適切に行われているかどうかの基準は、どういったものなのでしょうか。
某監査法人に尋ねてみたところ、「米国の非営利団体 Center of Internet Security（CIS）が作成している『CIS Controls（Ver.8）』の全 153 保護策のうち、特に優先度の高い 56 保護策」が、サイバーハイジーンの対策項目として取り扱われることが多いとのことでした。
その 56 保護策を見てみると、資産管理、アカウント管理、脆弱性管理、ログ管理、マルウェア対策、セキュ
リティ教育等、従来から言われてきている基本的なセキュリティ対策であり、サイバーハイジーンとして、これまでにない新たなセキュリティ対策が要求されているわけではありません。
しかし、「サイバーハイジーン」は、基本的なセキュリティ対策の必要性を被監査組織に説明するには、便利な言葉です。我々システム監査人は、「サイバーハイジーン」が叫ばれている背景等も含めて、被監査組織に説明し、基本的なセキュリティ対策の重要性を理解させるように努めていく必要があると改めて感じています。
以上
日本システム監査人協会

会報1

November 2022

日本システム監査人協会

各行から Ctrl キー+クリックで

会報

＜目次＞

該当記事にジャンプできます。

○

巻頭言........................................................................................................ 1【 この変化の時代にシステム監査が目指すもの

１．めだか― サイバーハイジーン ― 】...................................................................................................... 3【 この変化の時代にシステム監査が目指すもの ‐ 成長と成熟 - 】

２．投稿......................................................................................................... 4【 投稿 】デジタル給振とリスク管理の重要性【 コラム 】システム監査のための、法律・会計再入門（11）3．本部報告..................................................................................................... 11【 第 270 回月例研究会講演録 ISMAP の現状について 】
4．支部報告..................................................................................................... 15【 北信越支部 2022 年度長野県例会/9 月リモート例会 】【 近畿支部 第１９６回定例研究会 】
5．注目情報.................................................................................................... 22【 「2021 年度組込み/IoT 産業の動向把握等に関する調査」の調査結果公開(IPA) 】

6．セミナー開催案内......................................................................................... 23【 協会主催イベント・セミナーのご案内 】

7．協会からのお知らせ...................................................................................... 24【 新たに会員になられた方々へ 】【 協会行事一覧 】

8．会報編集部からのお知らせ

日本システム監査人協会.............................................................................. 26

会報2

November 2022

日本システム監査人協会

会報2022.10めだか【 この変化の時代にシステム監査が目指すもの ‐ 成長と成熟 - 】

この変化の時代にシステム監査が目指すものを考える。この変化の時代とは、大きくは気候
変動やコロナウイルスのパンデミック等であり、システム監査が目指すものとは、正しさである。現代において私たちは常に変化と共にあることを知りシステム監査を考える。
「この国のかたち」は、司馬遼太郎の歴史随想（エッセイ）で 1986 年より 1996 年まで月刊『文藝春「巻頭随筆」の冒頭に掲載された。それは、“――日本人は、いつも思想はそとからくるものだとおもっ秋』ている。”の言葉ではじまる。七世紀に様相が一変し、“あっというまに、大和政権による統一性の高い国家ができてしまう。”ということがおきた。“一衣帯水の中国大陸にあっては、それまで四分五裂していて、おぼっこう

かげで周辺諸国は安穏だった。それが、六世紀以来、隋という統一帝国が 勃興 することによって、衝撃波がひろがった。七世紀の統一国家のつくり方について、当時の大和の政治家や吏僚が、国家をつくるにつ、 、いての しん として考えたのは、「律・令・格・式」というものだった。隋唐の律令制による土地制度は、
王土王民制で、土地も人民も皇帝ひとりの所有である、という思想である。この思想は、儒教から出たも
ふ て ん

もと

のらしい。「詩経」にいう「普天 の 下 、・・・」。”というものである。しかし、かたちを、“隋唐の官制をかんがん導入しながらも、もっともユーラシア大陸的な 宦官 は入れず、また隋唐の帝政の基本ともいうべき科挙の制も入れなかった。”という。
さて、同じく「この国のかたち」であるが、資料「日本史を疑え」によると、「この国のかたち」は、時代によって変わるといっている。著者は、“日本列島がひとつの国といえるようになったのは、せいぜい 1590
年、豊臣秀吉による奥州平定が完了した時点であり、まだ四百年余りしか経っていない。”という。まず、こ く が“古代の朝廷は、全国に 国衙 （今でいえば県庁）を設置し、国分寺・国分尼寺を置くなど、律令体制のもと、日本全国を支配していたというが、じつは、古代王朝は畿内―瀬戸内海―博多を核とする完全な西国国家だった。”といっている。“鎌倉時代とは、その東国から独自の権力が形成され、西の朝廷と、ときに争い、ときに依存し、ときに支配するという複雑な関係を結んだ時代だといえる。朝廷、鎌倉幕府、そして、
奥州平泉政権を加えた三国状態だったと考えたほうが、実態に即している。”という。
「この国のかたち」は、中国や朝鮮半島の王朝は原則的に文官優位であったが、日本では、なぜ武士優位の社会が生まれたのかという問題を提起する。また、現在に通じるものを考えさせられる。変化の時代にシステム監査が目指すものを考え、そして私たちはさまざまな出来事と自らの役割に対し改めて考えてみる必要がある。（空心菜）
資料：「日本史を疑え」本郷和人著 文春新書 1360
（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。
）＜目次＞

日本システム監査人協会

会報3

November 2022

日本システム監査人協会

会報2022.10
投稿【デジタル給振とリスク管理の重要性】
会員番号0436 大石正人

給与振込が、キャッシュレス口座にも認められる方向となりました。これまで認められていた現金と銀行などへの振込に加えて、何々ペイ、と呼ばれる資金移動業者（いわゆるフィンテック事業者）の「口座」についても対象になる可能性があります。以下、これにより実現するサービスをデジタル給振、と呼ぶことにします。
併せて、銀行同士の資金決済を行う「全銀システム」（全国資金決済ネットワーク。全銀協＜全国銀行協会＞
傘下で運営されています）についても、これまで銀行などに限定されていた接続を、フィンテック事業者に開放する旨、２０２２年９月１５日に公表されました。
（注）全銀システム参加資格拡大の決定について
https://www.zengin-net.jp/announcement/pdf/announcement_20220915.pdf
改めての確認になりますが（会報２４２号「議論途上のデジタル給与払い」）、労働者の賃金については、労働基準法第 24 条（賃金の支払い）で、いわゆる「通貨払の原則」、つまり「（別段の定め等がなければ）賃金
は、通貨で、直接労働者に、その全額を支払わなければならない。」、と定められ、使用者は労働者の合意を得た場合のみ「銀行その他の金融機関のほか、労働者が指定する金融商品取引業者への払込み」、として現状では証券総合口座等に限定されています。
給与振込先を資金移動者まで拡大する方針は、政府の成長戦略や新しい資本主義のグランドデザイン（2020年７月や 2022 年６月に閣議決定されたフォローアップ）に盛り込まれたものですが、その際にも「賃金の確実な支払等の労働者保護が図られるよう、資金移動業者が破綻した場合に十分な額が早期に労働者に支払われる保証制度等のスキームを構築しつつ、労使団体と協議の上」との文言が盛り込まれました。
このため厚生労働省の「労働政策審議会労働条件分科会」（以下、労働条件分科会）でも慎重な議論が続いてきました。仮に新たに賃金の支払先として認めた場合、「資金移動業者が破綻した場合に十分な額が早期に労働者に支払われる保証制度等のスキームがあるのか」という疑念があったためです。
報道によれば、労働条件分科会の論点整理（6 月 13 日）を踏まえ、２０２３年春にも、資金移動業者が提供する口座への給与振込（デジタル払い、と呼ぶようです）を解禁する、とのことです。詳細は同分科会のウェブサイトをご覧頂くとして（注）、分科会で整理された論点のうち、当方が理解した範囲で大切と思われる点を確認してみます。
（注）https://www.mhlw.go.jp/stf/shingi/shingi-rousei_126969.html
第一に、事業者が破たんした場合の保証制度について、個々の資金移動業者も日々の資金保全義務を課されていますが（供託や金融機関との保全契約）、確実にいくら迄、という保証はなく、つまるところ、銀行の預金
日本システム監査人協会

会報4

November 2022

日本システム監査人協会

会報

保険制度のように元本 1 千万円まで、とか、業界としてプールした「保険」機能はなさそう、ということです。しかも万一の還付には半年程度を要する見込みです。
第二に、資金移動業者の監督・規制について、金融庁（財務局）による現行（1 階部分）に加え、今回デジ
タル払が認められる事業者には、賃金の確実な支払い、のため厚労省による上乗せ（2 階部分）策が講じられます。しかし果たしてその監督や万一の場合の是正措置に実効性があるのか、という疑念です。
第三に、振込金額の上限を１００万円以下の資金移動業者に限定し、その額を超えて振り込まれた場合には、当日中に銀行口座などに差額を振り込む、としていますが、果たして事業者が迅速に事務対応できるのか、という心配です。
一方で、アカウントの有効期限を銀行並みの１０年にする、という措置も、相続などとの関連で心配が残ります。資金移動業者の場合通帳などがなく、残高の確認（=証明）手段が限られているからです。
これ以外にも論点はあると思いますが、資金移動業者の破たん以前に、取引口座の「信頼性」にかかる課題
は、これまでと変わりません。自分が使わないのでネットの情報や日常会話などのなかで知りうる範囲にすぎませんが、多くの資金移動業者のサービスでは、スマホのアプリのなかで、残高確認その他のサービスが利用できます。
しかしネットバンキングなどと比べると、入金、出金の明細情報は限られているようです。家計簿アプリでは様々な資金移動をまとめて管理できるようですが、資金移動業者のサービスについては対応途上とみられます。
ネットバンキングの場合は、給与振込やカード、公共料金などを、銀行間の決済を処理する全銀システム経由でやりとりするため、一元的な把握ができます。冒頭に述べた資金移動業者も一定の要件の元で、全銀シス
テムへの参加を認め（本年１０月から）、そのためのシステム対応を進める措置もこうした流れの中で講じられました。給与資金のもとになる事業者の銀行口座から、デジタル給振先に振り込むためには、全銀システム経由での処理が想定されるからです。
全銀ネットへの参加には、日本銀行に当座預金を持つ清算参加者と、清算参加者に決済を委託する代行決済
委託（間接参加者）の２つがありますが、いずれに全銀ネットに加盟審査など手続きが必要ですし、日本銀行に当座預金を開設するには審査基準をクリアして、政策委員会という最高レベルでの審議をクリアする必要があります。全銀協や日本銀行の審査はなかなか厳しいはずですから、資金移動業者も戸惑うと思いますが、ともかくも銀行など以外に、一定の要件を満たす前提で参加を認める方向になったのは画期的なことです。
ただ仮にこうしたさまざまな条件をクリアした場合でも、デジタル給振にまつわる不安や課題から、利用者も資金移動業者も逃れることはできません。利便性が高まる分だけ、適切なリスク管理を求められるはずです。
考慮すべき最大の懸念は、給振資金の滞留を見込んだ、不正アクセスの増加、と考えます。利用者は給与振込を受けることで、今までよりデジタル口座への入金の手間が（少なくとも 1 回は）減りますが、給与振込を受けてから次回入金までの残高がこれまでより多くなると予想されます。
日本システム監査人協会

会報

5

November 2022

日本システム監査人協会

会報

セキュリティ侵害でデジタル口座から資金をかすめ取ろう、とする悪意の第三者は、給振が集中する月末近くに、資金移動業者のシステムへの攻撃を試みるでしょう。またこれまで以上に、ＳＮＳなどを利用して偽のホームページへ誘導し口座情報の盗取を企図するフィッシングメールの増加も見込まれます。
銀行のネットバンキングでも同様の脅威が現に日常茶飯事となっていますが、今後はデジタル口座への攻撃も一段と増加が予想されます。銀行は口座保有者に重い過失がなければ不正やセキュリティ侵害への補償に応じてきましたが、資金移動業者の場合は、事業者のスタンスによっては、利用者の責任範囲を広く考える可能性もあります。そしてなにより、補償に応じるまでに迅速に対応できるだけの体制を、資金移動業者が用意できるのかが、今後利用者にとっての不安要素として残るでしょう。
併せて、少額決済ゆえに膨大となる、取引に伴う利用履歴などの個人情報も、利用者にとって機微性を有します。不正アクセスの頻度が高まれば、ますますこうした個人情報の管理への要請も強まるでしょう。
労働条件分科会の整理でもこの面での「上乗せ規制の必要性」が指摘されており、その内容としては、個人情報管理にかかる認証の取得や当局による日常のセキュリティ侵害についてのモニタリング、が記載されています。しかし監督する厚労省において、こうしたノウハウやモニタリングの体制を整えるのは業務との関連性
その他から現実ではないと思われ、実効性はなかなか期待できないでしょう。
繰り返しになりますが、デジタル給振の実現による「利便性」を真に享受するためには、サービスの利用者、サービスを提供する資金移動業者、および制度設計をした行政当局、それぞれにおいて、予想される、あるいは不測の事態に備えたリスク管理体制の整備が望まれます。ここ数年の問題事案に照らすと、諸外国に比べ、日本ではこうした点での配慮が不十分なために、予想外の事態にきちんと対応できないことが懸念されます。
銀行の場合は、過去からこうした経験を積み重ね、システムの信頼性や万一の対策を講じてきました。金融監督当局も、銀行の情報セキュリティ管理などにある意味では厳しく対処してきたと思いますし、金融機関の破たん、といった不測の事態も経験し対処してきました。ここには経験知が蓄積されています。
こうした過去の経緯や経験の蓄積は、銀行口座の利用者には必ずしも目には触れず、当たり前の前提になっているように見えます。銀行も監督当局も、給与振込、生活資金の確保など、口座を安心して利用してもらえる信頼性を最優先に考えてきたからだとも想像します。
これからデジタル給振を提供する資金移動業者も、利用者なり収益なりの拡大ばかりに目を奪われず、厚労省などの行政当局も含め、給振口座の信頼性確保の重要性を十分に認識したうえで、セキュリティ侵害や事業者の破綻など不測の事態への対処を大なり小なり経験し、対応力を付けていくことを強く期待したと思います。併せてこうした対応力の有無を第三者の目線で確認するうえで、システム監査の役割も極めて重要ですので、資金移動業者においても、システム監査を活用した信頼性の向上が望まれます。
＜目次＞
日本システム監査人協会

会報

6

November 2022

日本システム監査人協会

会報2022.10【コラム】システム監査のための、法律・会計再入門（11）会員番号§1.はじめに1644 田淵隆明（近畿支部

システム監査法制化推進プロジェクト）--- システム監査の強化のための方策

システム監査の強化やソフトウェアの品質向上のために、次のような政策を推進するべきである。
[1]「製造物責任法」をソフトウェアに適用できるようにする。
現行では「製造物」の定義が「製造または加工された動産」となっており、不良ソフトウェアに適用されない。
[2]「ソフトウェアの品質確保に関する法律」(仮称)の制定
ソフトウェアに関するリコール制度などの創設も考えられる。
[3]システム監査人の設置の義務化
本来、会社法を改正して、株式会社の機関設計において、大会社や委員会設置会社において設置が義務付けられている「会計監査人」とパラレルな立場での「システム監査人」という機関を新設するのが理想であるが、まずは、喫緊性の高い金融商品取引法適用会社に限定して義務化するほうが実現は早そうである。
[4]SI 認定・SI 登録制度の復活、または、その簡易版の策定
システム開発の品質担保に大いに貢献し、かつ、有資格者が厚遇されるインセンティブにもなっていた「SI認定・SI 登録制度」は経済産業省の商務情報政策課が主幹であった。しかし、SI 認定は 2003 年度の税制改革において廃止され、SI 登録は 2009 年の「事業仕分け」によって問答無用で廃止されてしまった。その結果、ソフトウェア開発の現場では、有資格者が冷遇され、価格競争が激化することとなってしまった。これは明らかに失政であり、我が国の国際競争力を低下させることになった。
§2.研究開発費を巡る、各会計基準及び税法の BS,PL,CF の比較表
ASBJ による 2006 年 8 月 11 日付の「実務対応報告」第 19 号により、研究開発費は一律費用処理されることとなってしまった。当時は金融検査マニュアルがあり、「3 年連続赤字ならば、金融機関は貸し剥がす」ことを求められ、貸出先の破綻・再編が推進されていた。これでは、我が国の製造業の R&D 能力が急速に低下するのも、我が国の国際競争力が 2006 年以降、急激に低下したのも当然の帰結である。各会計基準及び税法における BS(貸借対照表),PL(損益計算書),CF(キャッシュフロー計算書)の比較表設例を用いて示す。(→文献[1,3])〔設例 2.1〕次のような製薬業 A 社がある。A 社の 2021 年度の期首の BS は次の通りであった。
現預金90,000,000/
諸負債
200,000,000
諸資産
210,000,000/
資本金100,000,000
また、2021 年度の売上等は次の通りであった。
売上1,000,000,000
売上原価
600,000,000
販管費
200,000,000
また、同年度の研究開発投資は 280,000,000 であり、その内訳は次の通りである。
①人件費
50,000,000②機械装置
60,000,000 (期首に使用開始、法定耐用年数＝10 年、定額法)③建物70,000,000 (期首に使用開始、法定耐用年数＝50 年、定額法)④他社特許使用料 100,000,000 (期首に使用開始、法定耐用年数＝8 年、定額法)
A 社の 2021 年度の、①旧日本会計基準(2001～2005 年度)、②現行の日本会計基準(2006 年度～)、③R&D 費
用を「無形固定資産」への計上(国際会計基準と同様)または「繰延資産」(2005 年以前の日本会計基準及び現行の税法と同様)への計上を認めた場合、④国際会計基準、⑤税法基準の BS,PL,CF(直接法)を求めよ。

※1.簡単のため、売掛金・買掛金・棚卸資産の期首残高と期末残高は等しいものとする。
※2.上記以外の土地・建物、及び、他社特許の使用は無いものとする。
※3.国際会計基準では耐用年数については、明確な経済的耐用年数が無い場合は 20 年である。
※4.研究開発税制の適用により、課税額が数％程度圧縮できる可能性はあるが、「研究開発費が全額費用になるが大半が損金算入できない」という、G7 唯一の異常な状況の解決には、焼け石に水であり、遠く及ばない。
日本システム監査人協会

会報

7

November 2022

日本システム監査人協会

会報〔解答〕まず、各基準における償却額は次の通りである。

★BS(貸借対照表＝財政状態計算書)★PL(損益計算書)⇒自力で研究開発する企業にとって、2006 年以降の日本会計基準が突出して極端に不利。
現行日本基準では研究開発費 280,000,000 は全額費用となるが、税法上は 69,900,000 しか損金にならない。

★CF(キャッシュフロー計算書)(直接法)⇒各基準とも同じ。

日本システム監査人協会

会報8

November 2022

日本システム監査人協会

会報

ここで、2005 年度まで存在した「試験研究費」の耐用年数は 3 年、実務対応報告第 19 号により使用が極端に制限された「開発費」は 5 年である。新たに、会社計算規則第 74 条第 3 項第 5 号または財務諸表等規則第37 条第 2 項の規定に基づき、実務対応報告第 19 号の対象外である「研究開発費」を無形固定資産/繰延資産に計上する場合の耐用年数は 5 年とした。
★コロナ治療薬・ワクチンに限らず、近年、医療を巡る進歩は凄まじいものがある。しかし、我が国の異常な会計制度を放置すれば「自力で開発する製造業」が損をすることになる。G7 で唯一の異常な制度を一刻も早く改正しないと我が国の産業競争力はますます低下することは不可避である。(→文献[6-9])§3.教育カリキュラムと言語［1］命題の逆・裏・対偶(→文献[1,2])
前回も指摘したように、「第一次ゆとり教育」(1966/04/02～1978/04/01 生れに適用)では、文系の大半と理系の一部が、集合と論理、順列・組合せ、確率・統計を履修していない。特に、命題「A ならば B」が成立する場合に、対偶である「B でないならば A でない」は成立するが、命題の裏である「A でないならば B でない」は必ずしも成立しないということが通じないことが多い。このことは医療現場でも重大な問題を起こしているようである。
【事例 1】(2021 年)マニュアルには「酸素飽和度が 95％未満ならば、重症である。よって救急搬送が必要」と書いてあった。
ある中年男性が、発症して救急要請をして、救急隊員が酸素飽和度を測定すると 95％であった。
⇒救急隊員が保健所に電話で連絡。
⇒保健所は「酸素飽和度≧95％だから、重症ではない。救急搬送は不要」と判断。
⇒患者が苦しんでいるにも関わらず、救急車は帰ってしまった。
【事例 2】(2020 年)マニュアルには「発熱(37.5 度以上)が 4 日以上続いたら、病院にいく」と書いてあった。
ある初老の男性と中年の女性が発症し、3 日高熱が続いたので区役所に連絡。
⇒保健所に電話で連絡。
⇒保健所は「発熱が 4 日継続していないから、病院にかかる対象ではない」と判断。
⇒2 人とも入院できず、症状は悪化した。
［2］「A または B」の意味(→文献[1,2])
先日、親戚の子供に確率を教えていて、「A または B」の意味について議論の錯綜があった。集合論の Venn
図を用いて説明すると、「A または B」には 2 通りの意味があると考えられる。

日本システム監査人協会

会報

9November 2022

日本システム監査人協会

会報

ここで、某翻訳サイトの変換結果をご紹介する。

言語によっては「包括的離接」と「排他的離接」は区別できないようである。これは翻訳上重要な論点である。

[3]電子回路素子と NAND 回路(→文献[4,5])
情報処理試験の登竜門の１つである「基本情報」では、全ての論理回路は NOT ゲートと AND ゲートと OR
ゲートの組合せで表せる(完全系)であることを学ぶ。(なお、XOR ゲートは NOT ゲートと AND ゲートと OR
ゲートの組合せで表せる。) そして、次のステップで NOT ゲートと AND ゲートと OR ゲートも、AND の否定である NAND(論理否定積)ゲートの組合せだけで表せることを学ぶ。そのため、現在、半導体素子の大半はNAND ゲート型である。
このように、物理的にも OR(包括的離接)ゲートと XOR(排他的離接)ゲートは大きく異なるのである。

※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用等については、必ず、御自身でご担当の顧問会計士その他の専門家の方々への御確認・照会をお願いします。
<参考文献>[1]「「軽減税率」田淵隆明が語る、数学・理科カリキュラム再考」(2022/06/13)[2] 「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考～「収益認識に関する会計基準」(≒IFRS15)対応版 ～動作相・純額処理・有償支給廃止に注意～ (2021/3/1)[3] 「軽減税率」田淵隆明が語る、IFRS&連結会計 Ver7〔Ⅰ・Ⅱ〕(2022/4/18)[4] https://ja.wikipedia.org/wiki/NAND%E3%82%B2%E3%83%BC%E3%83%88[5]http://www.sb.ecei.tohoku.ac.jp/lab/wp-content/uploads/2014/04/2014-d03.pdf(※回路の直前の分岐は、2 つの input に同じ真偽値が入ることを示している)[6] ウイルスでがん細胞を狙い撃ちする画期的な治療薬が登場 https://www.youtube.com/watch?v=lzVyIe2mm4s[7] 「あの薬ががんにも効く！？～今、がん治療薬の開発でおこっている大きな変化～」
https://www.youtube.com/watch?v=LZ77aYsO5ek ～抗がん剤に対する癌幹細胞の治療抵抗性[8] ハイパー・サーミアの効力 https://www.youtube.com/watch?v=n5_Hj7g9oGY[9] https://www.youtube.com/watch?v=3D1WQzxocEA<目次>

日本システム監査人協会

会報10November 2022

日本システム監査人協会

会報2022.10
第 270 回月例研究会

講演録

テーマ：ISMAP の現状について
会員番号 2075 細川健一（月例研究会）【講師】有限責任あずさ監査法人 IT 監査部 パートナー 山口達也（やまぐち たつや）氏【日時・場所】2022 年 9 月 2 日（金）18:30 – 20:30、オンライン（Zoom ウェビナー）【テーマ】ISMAP の現状について【要旨】
ISMAP については、施行後 2 年が経過した。この 2 年間でも細かなものも含め様々な修正が入り、この 2022 年 6 月には ISMAP-LIU という新しいスキーム案も公表された。また、現場においても政府機関
のみならず民間での活用も確実に広がりつつある状況にある。
本講演においては、この 2 年間で制度が変わったところ、現場における活用事例等を中心に紹介すると共に、現在検討されている新しいスキーム等の概要についても月例研究会開催時点における公表情報を元に解説する。
【講演録】
1. ISMAP 概要(1) ISMAP 制度とは
政府情報システムのためのセキュリティ評価制度（Information system Security Management andAssessment Program：通称 ISMAP（イスマップ））は、政府においてクラウドサービスの円滑な導入に資することを目的とした制度である。政府がクラウドサービスを調達する際には、ISMAP が公表するクラウド
サービスリストに登録されたサービスから調達することを原則としている。
(2) ISMAP 制度設立の背景
政府情報システムは「クラウド・バイ・デフォルト原則」、すなわち、クラウドサービスの利用を第一候補としている。これを踏まえ、各省庁は民間クラウドサービスを含め、クラウド技術の積極的な活用を図っている。クラウドサービスは数多くあり、異なるリスクが存在することから、クラウドサービスについての統一的な安全性評価の必要性が生じた。クラウドサービスの多様化・高度化に伴い、官民双方が一層、安全・安心にクラウドサービスを採用し、継続的に利用していくため、諸外国の例も参考に、クラウドサービスの安全性評価について、「クラウドサービスの安全性評価に関する検討会」が 2018 年 8 月に立ち上げられた。
その後、成長戦略 2019、デジタル・ガバメント実行計画において、2020 年度内の制度利用開始が決定された。
(3) ISMAP の基本的枠組み
本制度で定められた評価プロセスに基づいて要求する基準に基づいたセキュリティ対策を実施していることが確認されたクラウドサービスを、本制度が公表するクラウドサービスリストに登録し、各政府機関は登録されたサービスから調達することを原則とするのが、基本的な枠組みである。
日本システム監査人協会

会報11November 2022

日本システム監査人協会

会報

本制度は、官房長官（NISC、IT 室）、総務省、経済産業省、デジタル庁が所管し、最高意思決定機関として有識者（情報セキュリティ監査、クラウドコンピューティング、情報セキュリティの専門家を含む）と所管官庁を構成員とした ISMAP 運営委員会を設置し、NISC に事務局を設置する。事務局は本制度の運営状況
をサイバーセキュリティ戦略本部に報告する。
(4) ISMAP の目指す姿
統一的なセキュリティ基準を明確化することで、調達側とクラウドソリューションプロバイダ（以下、CSP と言う）の双方がメリットを享受できる姿を目指している。
(5) ISMAP の基本的な考え方
4 つの視座……①調達から運用までカバー、②技術変化を見据える（クラウドサービスの技術変化が速い
ことから、柔軟性確保を重視）、③運用における実効性の確保（統一的に一定のセキュリティ水準を確保）、④民間が評価結果を活用することも視野に7 つの基本的な考え方……①評価対象はサービス単位（注：CSP 単位でない）、②システムのクラスに応じたサービスの選択が可能、③既存の仕組みや認証制度を最大限活用、④クラウドサービス利用による経済性・効率性を損なわない、⑤クラウドサービス形態（IaaS、PaaS、SaaS）の差異を踏まえた制度、⑥複数の運用主体・要素でクラウドサービスが構成されることを考慮、⑦過度に日本特異な制度としない(6) ISMAP クラウドサービス登録の流れ①

CSP 側で内部統制を整備し、ISMAP 監査機関リストに登録された監査機関に監査を依頼②

監査機関が管理基準に基づいて情報セキュリティ対策の実施状況を監査③

監査機関から監査実施結果報告書を受領し、登録申請書に添付書類を付けて、ISMAP 運用支援機関（IPA：情報処理推進機構）に審査申請。その後、ISMAP 運営委員会で審査④

登録が妥当と判断された場合、ISMAP クラウドサービスリストに登録※登録の継続には、毎年の更新・審査が必要(7) ISMAP 制度の管理基準
管理基準としては、ISO27000 シリーズを原則すべて取り込み（①）、統一基準の内容について目的趣旨を
CSP 向けに書き換えて①に含まれないものを追加し（②）
、さらに、米国 FedRAMP 制度 SP800-53 の内容
から、インシデントレスポンスに関する内容を中心に①と②に含まれない観点を追加したものである。
現時点での管理策項目は、ガバナンス基準が 18 項目、マネジメント基準が 64 項目、管理策基準（個別のセキュリティ対策）が 1077 項目である。ISMAP 制度ではガバナンス基準とマネジメント基準（計 82 項
目）については全項目が対応必須であり、管理策基準（1077 項目）については、CSP が提供サービスにおけるセキュリティリスク評価に基づき、必要な項目のみを選択して申請する。
(8) ISMAP 取得に関する外部サービス
一般的に CSP では、以下のような外部サービスを利用して、登録申請している。
・体制構築支援……各種コンサルティング会社
・事前診断サービス（言明書作成支援）……監査機関／各種コンサルティング会社
・情報セキュリティ監査……ISMAP 制度に事前登録されている監査機関（現時点で 5 法人）

日本システム監査人協会

会報12

November 2022

日本システム監査人協会

会報

2. ISMAP 制度の現状(1) 現時点での登録状況
2022 年 6 月時点で 38 のサービスが登録済み。制度開始当初は IaaS サービスが中心であったが、2022
年に入ってからは SaaS サービスの登録も増えている。
(2) 運用開始してわかったこと① CSP 側での申請までの準備が想定以上に大変……非常に細かな評価項目であり、一から対応することが必要な状況。従業員の採用や教育研修等に関する要求事項もあり、想定以上の期間とコストが必要。
② 制度設計時の想定以上の外部監査費用……ISMAP は、SOC2 と ISMS の中間的なレベルの制度として設計したが、実際には想定以上に外部監査費用がかかる（条件によっては年間 1000～2500 万円程度）。
③ 情報セキュリティ監査が思った以上にやりにくい……標準監査手順（登録監査機関にのみ開示）で詳細な部分まで実施方法が規定されており、一定の品質が維持できるものの、個別事情によるリスク判断を受け付けない。コロナ禍による監査業務実施の制約に完全には対応していない（面談必須等）。
④ 世の中で一定程度、注目されている……地方自治体からの対応要請、大手民間企業の RFP に ISMAP 制度
への登録が条件などの話を聞く機会が増えている。
(3) ISMAP で公表されている情報
サービスリストでは、サービス名称、事業者名称などの公開情報に加え、「言明対象範囲」と「基本言明要件のうち実施している統制目的の管理策」が記載されている。「言明対象範囲」には、登録されているサービスの概要と対象とするリージョンが記載されている。「基本言明要件のうち実施している統制目的の管理策」には、ISMAP 管理策基準のうち、対応していることを言明しているもの／対応していないものが、統制目的別に記載されている。
(4) ISMAP における第三者確認内容の詳細
管理策は、統制目標（3 桁基準）とそれに紐付く詳細管理策（4 桁基準）に分かれている。詳細管理策については、CSP のリスク判断によって、統制目標を達成するために必要なものが選択されている。公開情報か
らは、どの詳細管理策が採用されたかはわからないが、一般的な整備状況評価の水準としては高く、非採用とした管理策の妥当性については ISMAP 運営員会において審査されている等のことから、統制目的の確認が実施されていると考えてよいと思われる。
(5) ISMAP リスト掲載までのスケジュールの実態
CSP 側での事前準備期間（言明書を作成し、内部統制の構築・運用し、監査機関による監査ができるまでの期間）については、6 か月～9 か月のケースが多い。また、ISMAP 制度側での審査期間は、3 か月では完了せず、直近の事例では最低でも 6 か月はかかっている。
3. ISMAP-LIU(1) ISMAP-LIU 検討の背景
一部サービス（主に SaaS）で ISMAP 制度の活用が進まなかったことから、新しい仕組みとして、2022
年 6 月に新しいオプションともいえる ISMAP-LIU がパブリックコメントとして公表された。
(2) ISMAP-LIU の概要
日本システム監査人協会

会報13

November 2022

日本システム監査人協会

会報

名称は ISMAP for Low-Impact Use であり、SaaS の中でも影響度が低い（＝セキュリティ上のリスクの小さい）業務や情報処理に用いるサービスを対象にした制度である。
表：ISMAP と ISMAP-LIU の比較
ISMAP
事前申請

不要

ISMAP-LIU
政府機関の担当者と調整し、事前申請
が必要

内部監査

ISMAP 管理基準に基づいて実施

3 年で管理策基準全ての統制目標が対象となるように実施

内部監査報告申請時に提出不要

既定の書式で申請時に提出必要

外部監査対象全ての管理策(非採用以外)

対象管理策数が減少

外部監査のコスト

管理策数に応じたコスト

コスト減少が見込める

申請時添付書類登録規則に記載された書類を添付

必要な添付書類が増加

登録先

ISMAP クラウドサービスリスト

ISMAP-LIU クラウドサービスリスト

利用可能な業務に制限無し

利用可能な業務に制限有り

更新時

外部監査から開始

事前申請から開始

重大インシデント

インシデント対応フローのとおり対応

当該サービス登録を即座に一時停止

発生時(3) ISMAP-LIU で何が変わるのか
・ 外部監査費用は確実に低減することが期待される・ ISMAP では必要のない事前申請が追加になる等、CSP の負担が増加する可能性がある
・ ISMAP-LIU は専用のリストで公開されるため、ISMAP 同様の付帯効果は限定的か。

【所感】
ISMAP 制度が運用開始してから 2 年経過した。本講演では、制度の目的・概要から、実際の運用における課題、2022 年 6 月にパブリックコメントとして公表された ISMAP-LIU の内容など、これからのISMAP の方向性を含めて具体的にご説明いただき、貴重なお話しを聞かせていただけた機会であった。
クラウドファーストと呼ばれる時代において、情報システムを安全かつ安心に使うために、透明性の高い制度であることがよく理解できた。将来的には民間の重要分野での活用が期待されること、ISMAP そのものがシステム監査の仕組みを活用していることから、システム監査人としても、本制度の動向について
継続的に確認する必要があることを再認識した。
以

上

＜目次＞
日本システム監査人協会

会報

14

November 2022

日本システム監査人協会

会報2022.10
支部報告【北信越支部 2022 年度長野県例会/9 月リモート例会】
会員番号1281 宮本 茂明（北信越支部）

以下のとおり北信越支部 2022 年度長野県例会/9 月リモート例会を開催しました。
・日時：2022 年 9 月 3 日（土）現地参加者：8 名、リモート参加者：5 名

・会場：現地会場とリモート（zoom）のハイブリッド開催（現地会場: 長野市生涯学習センター）
・研究報告：「地域金融機関のシステム共同化プロジェクト事例－レガシーシステム化の未然防止に向けた工夫と考慮点」

長谷部

久夫

氏

「オペレーショナルレジリエンスとリバースエンジニアリング的アプローチについて」
小嶋

潔

氏

「AI を活用した 地域公共交通に関する 共同研究の実施について」宮島 正彦

氏◇研究報告 1
「地域金融機関のシステム共同化プロジェクト事例－レガシーシステム化の未然防止に向けた工夫と考慮点－」
報告者 (会員番号 1766 長谷部久夫)

報告者が勤務する地方銀行が参加しているシステム共同化プロジェクトの概要、当該プロジェクトの開発行として配慮しているレガシーシステム化の未然防止策、およびシステム障害防止・対応策を報告した。更に、銀行の勘定系システムの新技術対応と今後の取組みについて言及した。
１．地域金融機関におけるシステム共同化の現状
金融機関は、預金・融資・為替等の主要業務を担う勘定系システム等に莫大なシステム投資をしている。このため、1990 年代後半から複数の地域銀行においてシステム開発・運用を共同化する動きが起きており、
2009 年の日本銀行の調査では全地域銀行（108 行）のうち、システム共同化実施は 53 行（49.1％）。
その後、システム共同化は更に進み、2021 年 12 月時点では全地域銀行（99 行）のうち、共同システム利用行は 88 行（88.9％）にのぼる。
共同システムの運営について誰が主導（業務アプリを提供）するかは、①委託先（ベンダー）主導型、②特定の銀行主導型に大別される。
２．システム共同化プロジェクト事例
報告者が関与する共同化プロジェクトは上記②特定の銀行主導型に該当し、2001 年にシステム共同化に合意した複数の地方銀行で構成される。勤務先は「共同版システム」の開発を担っている。
基本理念として、①基幹系システムはもとよりできる限り広範囲のシステムを共同化し、効率的なシステム
開発・運用を行うこと、②更に、商品・サービス、事務処理手順についても統一化を図り、より一層のシステ
ム共同化効果をあげることを目的とする。②は、規程・基準・マニュアル類、帳票用紙、データ項目（コード含む）まで統一することを意味し、システム開発においては、要件定義～テスト等の各開発工程における成果物を共有できている。
日本システム監査人協会

会報15

November 2022

日本システム監査人協会

会報

共同化プロジェクトの組織体制としては、システム部門にとどまらず、企画、事務、融資、商品推進等、各業務部門における業務全般にかかる施策や方向性を協議する場を設けていることに特色がある。
プロジェクト発足から 20 年以上が経過し、当初ねらいとした①システム開発の拡大とスピードアップ、②人材の戦略的配置、③システムコスト削減には相応の成果が出ている。更に、参加行所在地にコマンドセン
ターを配置し、東日本・西日本に跨がるバックアップ態勢を構築できたのは大きなメリットである。
３．開発行としての役割・責任（１）レガシーシステム化の未然防止
共同版システムのベースとなっている開発行の基幹系システムでは、メインフレームを利用し、OS・ミドル
ウェアも当該ベンダーから提供されている。ホスト系開発言語による密結合プログラムを長年使用しているが、導入当初から 24 時間 365 日稼働を実現しており、機能的には特に不足はない。
ただし、将来にわたり、レガシーシステム化することがないよう、６つの分野（①アプリケーション、②デー
タ、③他システムとの連携、④IT 基盤、⑤開発／テスト環境、⑥人材育成）のレガシーシステム度指標に基づき、現状を評価したうえで、要改善点を把握し業務計画等に反映している。
（２）システム障害の防止・対応策
共同版システムの開発行として、システム障害の未然防止・対応策については特に配慮している。日本銀行の調査論文（2012 年）および金融庁の分析レポート（2021 年）等を参考にし、システム環境変化とそれに伴う想定リスクを継続的に把握したうえで、対応策を策定し実践している。
また、他金融機関における障害事例を踏まえ、①経営陣と IT 部門との連携、②システム部門の一体運営、③
システムアーキテクチャの事前レビュー体制について現状を評価し、改善を図っている。
４．勘定系の新技術対応と今後の取組み
2020 年 3 月、金融庁は基幹系システム等の先進的取組みをシステムモニタリングの観点から支援するため、「基幹系システム・フロントランナー・サポートハブ」を設置し、地域銀行の基幹系システム再構築プロ
ジェクトを支援している。また、金融庁は、デジタル時代における基幹系システムの目指す方向性として、以下のロードマップ的なモデルを提示している。
（１）勘定系システムを、マイクロサービスの疎結合構成で、パブリッククラウド上にアジャイル開発し柔軟性や拡張性実現。API 接続により他の事業者に金融機能等を提供する BaaS（Banking as a Service）型
ビジネスを目指す。
（２）外部サービスや銀行の営業関係のシステムと勘定系システムを連携するための基盤（オンラインデータ連携基盤）を設け、この部分を「戦略領域」と位置づけ、柔軟かつ低コストでの機能追加を実現する。一方、勘定系システムは「非戦略領域」と位置づけ、オープン系システムへの転換でコスト削減を図るとともに、機能追加は厳選して追加コストを抑制する。
今後、上記のロードマップモデルを参考とし、地域金融機関を取り巻く環境の変化を踏まえつつ、共同版シ
ステムのアーキテクチャの刷新を計画・実現していくことになる。それに向けては資金決済サービスを提供する重要インフラの担い手であることを肝に銘じて、まずは現行システムのレガシーシステム化を防止し安定稼働させるとともに、更なるスリム化に取り組んでいく所存である。
※以上に述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。
日本システム監査人協会

会報16

November 2022

日本システム監査人協会

会報◇研究報告 2
「オペレーショナルレジリエンスとリバースエンジニアリング的アプローチについて」報告者 (会員番号 1739

小嶋潔)

近年オペレーショナル・リスク管理に関する考え方としてオペレーショナルレジリエンスという概念が注目されているが、このオペレーショナルレジリエンスを検討する際に求められている、リバースエンジニアリン
グ的アプローチについて考察した。
確率的な要素を持って重大な不確実性を生み出す「リスク」とは異なり、オペレーショナルレジリエンスは避けがたいものと考えなければならない。レジリエンスとは「回復力」や「復元力」という意味で、オペレー
ショナルレジリエンスはリスク事案（地震などの自然災害リスクやサイバーセキュリティリスク等多岐に亘る）が生じた場合にも、企業が提供するサービスを継続できるもしくは速やかに回復する能力のことを指す。
レジリエンスが何についての回復力であるかが重要な観点となるが、ＢＣＰやＢＣＭといった自社業務という視点ではなく、顧客（広く捉えればステークホルダー）に提供するサービスという視点が重要となる。レジリエンスの対象となる「顧客に提供するサービス」が何であるのかを定義する際には顧客の視点で捉える必要があり、判断基準は自社への影響や自社にとっての重要性ではなく、あくまで顧客への影響の大きさになる。
自社の提供するサービスにどれぐらいの顧客が存在し、顧客にとってどれぐらい重要（なくてはならないもの）であるのか、また顧客が自社のサービスが利用できない場合に代替可能な手段（自社の別サービスあるいは他社のサービスの利用可能性）があるのか考える必要がある。これは顧客のリスクトレランスという概念で整理できる。
リスクトレランスとは、晒されているリスクについて顧客はどの程度まで許容できるかという考え方である。オペレーショナルレジリエンスにおけるリスクトレランスの観点には、サービス提供の縮退度とサービス停止期間が挙げられる。最終的には顧客のリスクトレランス（顧客がどこまでサービスの縮退や停止を許容できるか）に応じて、必要な回復力、復元力を求めていく必要がある。逆に言えば、企業がどこまで顧客の期待に対して応えるのかを定義するものと言える。
企業のレジリエンスに影響を与える事象は、サプライチェーンや委託先に係るものなど、必ずしも自社に限定したものとは限らない。自社の業務だけではなく顧客に提供するサービス軸で捉え、そのサービスを提供するための自社以外のサプライヤーや委託先も含めた全体、つまりそのサービスの End to End でレジリエンスが担保されているかについてみていくことが重要となる。すなわち、サービス提供を行う上で必要な資源が全て機能するのか、機能しない場合の影響は許容可能なものなのかについてもみていくことが必要である。また、レジリエンスを考える上では重要サービスの提供にサプライヤーや再委託先を含めた委託先がどのように関与しているのか、それらの集中リスク（代替可能性、分散可能性）についての確認、検討が重要となる。
オペレーショナルレジリエンスにおいては、顧客に提供するサービスの視点から、当該サービスを支える業
務プロセスを End to End で特定・把握し、サービス提供に関する資源への依存度を把握、シナリオを想定し損害ダメージを受けた際にサービスの継続可能性の観点で、顧客のリスクトレランスの範囲に収めるという枠組みを構築することが必要である。つまり、顧客目線でサービス軸を捉え直し、顧客のリスクトレランスを考慮して End to End でそのサービスのレジリエンスを検討するというのが、求められているリバースエンジニ
アリング的アプローチであると言える。
日本システム監査人協会

会報

17

November 2022

日本システム監査人協会

会報

オペレーショナルレジリエンスの概念は、潜在的なオペリスクイベントの発生は回避できない、如何に二重三重のバックアップを備えていてもリスクイベントは顕在化するという認識から、過度なリスク対策を抑制できるという面もある。オペレーショナルレジリエンスは、事前にすべての潜在的なリスクに対応することは不可能であり、想定外の事象が生じたらどうするかという視点から考えるアプローチである。最初に資本がいくら毀損するという結果を想定し、その契機となるイベントや対応策を考えるという、リバースストレステストと共通するアプローチである。別の言い方をすれば、インパクトアプローチ、すなわち、結論として守るべき価値や利益から逆算しての検討を行うこと、これがリバースエンジニアリング的アプローチであるということができる。
顧客視点で重要な業務やサービスを特定し、当該業務・サービスの提供が阻害された場合の許容度を個別に設定する。許容度は最大でどれぐらいの時間その状態を許容できるかに基づいて設定する。設定した許容度を現状と照らし、許容度の範囲内で影響を抑制するために必要な対策や手段を講じる。さらに業務等が停止した
環境下においても業務やサービスの提供を継続するための事業継続計画を策定する、業務やサービスの提供が停止した環境で何ができるか考えるということ。
繰り返しになるが、オペレーショナルレジリエンスにおけるリバースエンジニアリング的アプローチとは、先ずレジリエンスの対象とすべき自社の提供するサービスを顧客視点で定義し、ここから遡って当該サービスが停止した場合にサービスの回復に必要な対策や手段を検討して講じると言うことである。
以上◇研究報告 3
「AI を活用した 地域公共交通に関する 共同研究の実施について」報告者 (会員番号 2746

宮島 正彦)

報告者の所属企業が実施した、大学との共同研究を活用したシステム開発の概要について報告し、合わせて監査上の課題についても言及した。
１．システム開発の概要
地域公共交通、就中、一般市内路線については赤字が常態化しており行政支援を受けながら路線を維持しているのが多くのバス運行会社の実態であろう。このため、効率化等に資することが期待できるシステム投資であっても収益による投資回収面で二の足を踏む場面も多く、特に、アルゴリズムの独自設計を伴う AI の活用は投資額も大きくなりがちで実装例は多くない。
投資額を抑え、尚且つ、高度で専門的な技術を活用するため、産学連携に力を入れている国立大学法人の産学連携セクションに相談し複数の先生の紹介を受け面談を実施し、数理最適化が専門の准教授と共同研究を実施することとした。
共同研究の結果、バスの仕業編成（運行ダイヤの運転手への割当）最適化アルゴリズム・コーディングが完成した。その後、業務システムとして実装するためシステムベンダーと契約し、現在システム開発中である。
尚、システム開発に当たって、県の補助金受給も決定し更に開発費を軽減できた。
＜メリット等＞・システム開発費用を軽減できた。大学との共同研究で開発したアルゴリズム・コーディングの通常開発費
日本システム監査人協会

会報18

November 2022

日本システム監査人協会

会報

用をベンダーが試算したところ、実に 1/15 の費用で開発できた。ベンダーによる業務システム化でも補助金受給（産学連携による IT 業務が受給要件）を得られ、更にコストを抑えることができた。
・大学とのつながりができ、他事業でも産学連携を進めている。
・補助金受給時の審査によって、システム開発の有効性・実効性がある程度担保できた。
＜課題等＞
・偶々“求める専門家”に当たったが、人選によっては全く成果が出ないリスクがある（共同研究故に、成果が出なくても責任を問えない）。
・共同研究のため、随時連絡を取りながら共同でアルゴリズム設計・コーディングを進めて効率的であったが、ドキュメントは作成していない（Python のコード上に「＃～～」で必要事項等記載）。このため、
業務システム化に当たり、改めてドキュメント作成を行っている。
２．監査上の課題
上記＜課題＞に記載のとおり、共同研究では通常のシステム開発に必要なドキュメント作成、要件定義の文書化等も実施されていないため、問題が多々ある。偶々今回は成果も出て、改めてベンダーによる業務システ
ム化を行っており、ドキュメント作成・文書化も一から行っているが、上手くいかないケースでは検証すらできない。
今後は、例え共同研究であっても基本的なドキュメント作成は行う必要がある。
以上

＜目次＞

日本システム監査人協会

会報

19November 2022

日本システム監査人協会

会報2022.10
支部報告

【

近畿支部

第１９６回定例研究会

】
会員番号

１．テーマ

「情報セキュリティと生産性が共存する環境づくり

２．講師

越前市 デジタル統括幹
竹中 忍

0645

是松徹（近畿支部）－福井県越前市事例紹介－」

氏

３．開催日時2022 年 7 月 15 日（金）18:30~20:30

４．開催場所

ドーンセンター（大阪府立男女共同参画・青少年センター）５階セミナー室１５．講演概要
講師が行政職の立場から越前市における情報セキュリティの環境づくりに長年取り組まれた中で、時代が変わっても基本は変わらないこと、手段と目的を混同しないこと等の会得されたポイントに焦点を当て、具体的な事例紹介を踏まえてご講演いただいた。
今回は、情報セキュリティに関する実際の取組事例と言う発表内容のため、配布資料はなく、映写のみでのご講演となった。

（１）はじめに・基礎自治体のネットワーク構成は、３層分離（①マイナンバー利用事務系、②LGWAN 接続系、③イン
ターネット接続系）の形態がとられており、基本は②の LGWAN 接続系で業務を行うこととなる。これ
は、情報セキュリティ面に留意したネットワーク分離であるが、利便性が必ずしも保証されているわけではなく業務遂行上の制約ともなるため、組織としての方針をもって運用すべきと考えている。
・国から「地方公共団体における情報セキュリティポリシーに関するガイドライン」等が示されているが、改定が多く内容の把握に労力を要している。
・昨今、テレワーク、Web 会議の利用拡大、クラウド志向等の潮流や脅威・脆弱性の増大、高度化等の環境変化が見られるが、その対応として、資産管理とエンドポイント対策が基本であることは変わらないとこ
れまでの取組を通してとらえている。

（２）技術的対策、物理的対策
・この約 20 年を振り返ると、計画的な情報セキュリティ強化と利便性向上に取り組んできた。
・早い時期から検疫ネットワークシステムや多重認証等の導入を行っている。
・情報セキュリティ強靭化に向け、ネットワークの３層分離（αモデル）への対応を完了している。
・生産性の確保とゼロトラスト志向の両立を目指し、３層分離において現状のαモデルから LGWAN 接続系のシステムを一部インターネット接続系に移すβモデル（β‘モデル）へのシフトに向けて、ネットワークの利用状況調査を実施した結果、αモデルを継続させることにした。この時、αモデル採用ながら将来を見据
えてエンドポイントセキュリティを施した。
・行動しながら対応を考えてきた印象である。今までの経験から、確固たる方針を所持すれば前に進めていけるとの思いを抱いている。

日本システム監査人協会

会報

20

November 2022

日本システム監査人協会

会報（３）情報セキュリティポリシー
・ポリシーは行動の決め事であり、その策定と運用がポイントと考える。組織の成熟度に依存し、成熟度が低いと遵守できない傾向にある。
・ポリシー策定の前提として、①既存例規との親和性、②リスク対策範囲の明確化、③ルール／人／技術のバランスや組織の成熟度の見極めが重要である。
・国のガイドラインや ISO 等の国際規格への追従に対する留意が必要となる。
・ポリシーは守らすためではなく守るために存在し、その根幹は組織を動かすことと考える。

（4）人的対策
・職員が自分事と思うための啓蒙が重要であり、啓蒙資料（ポイントを記載したガイドブックのようなもの）の配布、研修、内部監査等の対策を行っている。
・研修は職員全員を対象として定期的に実施し、知識のレベル差を作らないことに留意している。
・e―ラーニング主体であり、手軽にいつでも費用をかけずに実施することを心掛けている。
・研修を受講が必須のものと任意のものとに区分するとともに、受講管理を徹底している。
・内部監査では、監査前のアンケート実施や SAAJ 近畿支部の支援活用等の工夫を行っている。

（5）まとめ・世の中の潮流に乗ることは大事だが、それに安易に流されないことはより大事と考える。
・情報セキュリティへの取組を実践する中で気付きを覚え、確固たる組織のスタイル確立に結び付けることができれば最良である。
・フールプルーフの考え方を活用するとともに、インシデント発生時の対処方法について答えを持っておくことが大事である。（実際、過去にインシデントが発生した事実がある。）
・全体として、基本に忠実に、基本は不易、歩きながら考える、という取組姿勢が重要と考えている。
「経験は思考から生まれ、思考は行動から生まれる」（ディズレーリ）という格言も存在する。
・さらに言えば、情報セキュリティは、インシデント防止はもちろんであるが、その真の目的は DX 推進であり、そのための基盤となることであるととらえている。

６．所感取り巻く IT 環境や保有する情報システム等の変遷を背景に、勤務されている越前市での情報セキュリティへの取組について、方針を含めて具体的に説明をいただきました。そこでは、一般的に情報セキュリティの対応で課題となる利便性とのバランスについて、国のガイドライン等も踏まえながら模索しつつ取り組まれていることがうかがえました。中でも組織として職員を守るという姿勢に加え、情報セキュリティの真の目
的はＤＸ推進であるととらえ、先を見据えた行動意識を持たれていることが強く印象に残った次第です。
以上＜目次＞

日本システム監査人協会

会報

21

November 2022

日本システム監査人協会

会報2022.10
注目情報（2022.9～2022.10）■～「2021 年度組込み/IoT 産業の動向把握等に関する調査」の調査結果を公開～（IPA）
IPA（独立行政法人情報処理推進機構)は、組込み/IoT 産業の構造転換および人材の能力向上等の実態と最新動向を把握し、産業の競争力強化及び持続的発展のための施策立案に資することを目的として、組込み/IoT に関するアンケート調査を実施し、2022 年 10 月 3 日に、その調査結果を公開しました。アンケート項目は下表のとおり多岐にわたっています。
Q1 企業プロフィール（社名／事業部門名／所在地／回答者連絡先）
Q2 回答者の立場
企業活動の状況

Q3 事業規模（従業員数／売上高）
Q4 組込み/IoT 産業での位置づけ（現在／5 年後）
Q5 事業内容（事業分野／開発機器／提供製品・サービス）
Q6 取引形態（現在／5 年後）事業環境の変化Q7 事業形態（現在／5 年後）
Q8 製品・サービスの提供先（現在／5 年後）
Q9 開発スタイル（現在／5 年後）
Q10 システムの要件の変化
Q11 システムの要件の変化への対応
Q12 競争優位性

新技術へ向けた変革

Q13 DX の動きによる事業への影響・必要性・取り組み
Q14 DX のスコープ（範囲）（現在／5 年後）
Q15 DX の目標と難易度（現在／5 年後）
Q16 DX の取り組みと難易度（現在／5 年後）
Q17 DX の方向性（現在／5 年後）
Q18 事業推進に重要な技術／自社の強みの技術／将来強化・新たに獲得したい技術

技術の高度化に関する取り組
みQ19 使用しているプラットフォーム／得意とするプラットフォーム／将来のプラットフォーム
Q20 仮想化技術の取り組み
Q21 仮想化技術の活用分野
Q22 仮想化技術の目的／難易度
Q23 技術者の人数／不足している人数
Q24 技術変化と技術者

人材育成に関する取り組み

Q25 不足している人材（現在／将来）
Q26 人材不足への取り組み（現在／今後）
Q27 人材不足の課題
Q28 人材不足の課題への解決策

事業環境への改善

Q29 今後調査に加えるべき項目、調査してほしい項目 ※自由記述＜目次＞
日本システム監査人協会

会報

22

November 2022

日本システム監査人協会

会報2022.10【 協会主催イベント・セミナーのご案内 】■SAAJ 月例研究会（東京）
日時2022 年 11 月 4 日(金) 18:30～20:30

場所

オンライン（Zoom ウェビナー）テーマ

IPA「組織における内部不正防止ガイドライン」の構成と第 5 版改訂のポイント

講師

第２７２回
講演骨子

参加費
お申込み

株式会社 NTT データ経営研究所 エグゼクティブスペシャリスト
三笠 武則(みかさ たけのり)氏
内部不正による重要情報の漏えいリスクを把握し、効果的な対策を検討することは、組織における喫緊の課題です。IPA では 2013 年 3 月に「組織における内部不正防止
ガイドライン」初版を公表した後、改訂を続けてきました。今回、技術情報・ノウハ
ウ漏えいの重要性の顕在化、テレワーク等の働き方変革、雇用流動化の進展等を受けて、2022 年 4 月に第 5 版が公開されています。本研究会では、「組織における内部不正防止ガイドライン」の理解促進のために全体を俯瞰するとともに、第 5 版で行われた改訂のポイントについてその意図と内容を詳説します。
参考資料：経済産業省「秘密情報の保護ハンドブック」改訂版 2022 年 5 月公開
https://www.meti.go.jp/shingikai/sankoshin/chiteki_zaisan/fusei_kyoso/pdf/20220517_3.pdf
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/272.html■SAAJ 月例研究会（東京）
日時2022 年 12 月 12 日(月) 18:30～20:30

場所

オンライン（Zoom ウェビナー）

テーマ

講師

第２７３回
講演骨子

参加費
お申込み

DX 時代におけるプライバシーガバナンス政策の最新動向と企業における実践事例について
総務省 総合通信基盤局 電気通信事業部 呂佳叡（ろ かえい）氏
経済産業省 商務情報政策局 島岡政基（しまおか まさき）氏
資生堂 情報セキュリティ部 藤井正浩（ふじい まさひろ）氏
日本情報経済社会推進協会 電子情報利活用研究部 恩田さくら（おんだ さくら）氏
経済産業省、総務省は、2022 年 2 月に「DX 時代における企業のプライバシーガバ
ナンスガイドブック ver1.2」を策定しました。デジタル化の加速により、パーソナ
ルデータの利活用においてプライバシーへの配慮はますます重要になってきており、
プライバシーガバナンスの構築は不可欠です。本ガイドブックでは、データ利活用やデータ保護のガバナンスに携わる企業の経営者または経営者へ提案できるポジションにいる管理職等を対象に、企業としてプライバシーガバナンス構築に向けて取り組む
べきことをまとめました。本講演では、DX 時代におけるプライバシーガバナンス政策の最新動向と企業における実践事例について、ガイドブックの紹介を交えながらご説明します。
SAAJ 会員 1,000 円 非会員 3,000 円
https://www.saaj.or.jp/kenkyu/kenkyu/273.html＜目次＞
日本システム監査人協会

会報

23

November 2022

日本システム監査人協会

会報2022.10【 新たに会員になられた方々へ 】

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
協会の活用方法や各種活動に参加される方法などの一端をご案内します。
ご確認
ください

・ホームページでは協会活動全般をご案内
・会員規程
・会員情報の変更方法

https://www.saaj.or.jp/index.html
https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
https://www.saaj.or.jp/members/henkou.html

特典・セミナーやイベント等の会員割引や優遇
https://www.saaj.or.jp/nyukai/index.html
公認システム監査人制度における、会員割引制度など。

ぜひ
ご参加を

・各支部・各部会・各研究会等の活動。
https://www.saaj.or.jp/shibu/index.html
皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・皆様からのご意見などの投稿を募集。
ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。
この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・「発注者のプロジェクトマネジメントと監査」
・「６か月で構築する個人情報保護マネジメントシステム」
・「情報システム監査実践マニュアル」 などの協会出版物が会員割引価格で購入できます。
https://www.saaj.or.jp/shuppan/index.html

セミナー

CSA
・
ASA

会報

お問い
合わせ

・月例研究会など、セミナー等のお知らせ
https://www.saaj.or.jp/kenkyu/index.html
月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。
https://www.saaj.jp/04Kaiin/60SeminarRireki.html
・公認システム監査人へのSTEP-UPを支援します。
「CSA：公認システム監査人」 と「ASA：システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
・CSAサイトで詳細確認ができます。
https://www.saaj.or.jp/csa/index.html

・過去の会報を公開
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
会報に対するご意見は、下記のお問合せページをご利用ください。

・お問い合わせページをご利用ください。
https://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

＜目次＞
日本システム監査人協会

会報24

November 2022
【
10 月

11 月

12 月

1月

2月

3月

4月

5月
6月

7月

8月
9月

ＳＡＡＪ協会行事一覧

日本システム監査人協会】

理事会・事務局・会計
13：理事会

赤字：前回から変更された予定

9： 予算申請提出依頼（11/28〆切）
支部会計報告依頼（1/9〆切)10：理事会
16：2023 年度年会費請求書発送準備
28：会費未納者除名予告通知発送
28：本部・支部予算提出期限
1： 2023 年度年会費請求書発送
1： 個人番号関係事務教育
8： 理事会：2023 年度予算案
会費未納者除名承認
第 22 期総会審議事項確認
10：総会資料提出依頼（1/9〆切)14：総会開催予告掲示
20：2022 年度経費提出期限
9：総会資料提出期限 16:00
12：理事会：総会資料原案審議
28：2022 年度会計監査
31：償却資産税・消費税申告
31：総会申込受付開始（資料公表）
2：理事会：通常総会議案承認

認定委員会・部会・研究会
7:第 271 回月例研究会
8-9：第 40 回システム監査実務セミナー(日帰り 4 日間コース後半)

会報2022.10

支部・特別催事
9:秋季情報処理試験・情報処理
安全確保支援士試験
29:13:30 会員活動説明会

4：第 272 回月例研究会
中旬：秋期 CSA 面接
下旬：CSA・ASA 更新手続案内〔申請期間 1/1～1/31〕
下旬：CSA 面接結果通知
12：第 273 回月例研究会
16： CSA/ASA 更新手続案内メール〔申請期間 1/1～1/31〕

12：協会創立記念日

23：秋期 CSA 認定証発送
1-31：CSA・ASA 更新申請受付
19：第 274 回月例研究会
21：春期 CSA・ASA 募集案内
〔申請期間 2/1～3/31〕
2/1-3/31：CSA・ASA 春期募集

28：2023 年度年会費納入期限
下旬：CSA・ASA 更新認定証発送
3：年会費未納者宛督促メール発信
1-31: 春期 CSA・ASA 書類審査
9：理事会
28：法務局：資産登記、活動報告書提出、東京都：NPO 事業報告書提出
前年度に実施した行事一覧
14：理事会18:第 266 回月例研究会
初旬：春期 CSA・ASA 書類審査
中旬：春期 ASA 認定証発行
12：理事会18:第 267 回月例研究会
中旬・下旬土曜：春期 CSA 面接
1：年会費未納者宛督促メール発信
上旬： 春期 CSA 面接
9：理事会
15:第 268 回月例研究会
21：年会費未納者督促状発送
18-19: 第 39 回システム監査実務セミナー
22～：会費督促電話作業（役員）(日帰り 4 日間コース前半)
28：支部会計報告依頼（〆切 7/11） 中旬： 春期 CSA 面接結果通知30：助成金配賦決定（支部別会員数）
中旬・下旬： 春期 CSA 認定証発送
5：支部助成金支給
9-10: 第 39 回システム監査実務セミナー
14：理事会(日帰り 4 日間コース後半)
13：第 269 回月例研究会
中旬：秋期 CSA・ASA 募集案内
（理事会休会）
1：秋期 CSA・ASA 募集開始～9/30
6：中間期会計監査
18：第 38 回 CSA フォーラム
8：理事会
２:第 270 回月例研究会
24-25：第 40 回システム監査実務セミナー(日帰り 4 日間コース前半)
30:秋期 CSA・ASA 募集締切

6：支部会計報告提出期限

17：第 22 期通常総会

17:春期情報技術者試験・情報処
理安全確保支援士試験

3:認定 NPO 法人東京都認定日（初回：2015/6/3）

11：支部会計報告〆切＜目次＞

日本システム監査人協会

会報25

November 2022

日本システム監査人協会

会報2022.10【 会報編集部からのお知らせ 】
１．会報テーマについて
２．会報バックナンバーについて
３．会員の皆様からの投稿を募集しております□■ １． 会報テーマについて
2022 年の会報年間テーマは「この変化の時代にシステム監査が目指すもの」
です。
様々なことが変化、進化していく時代の中で、システム監査人は何を目指す必要があるのか、システ
ム監査は何を目的として、実施すべきなのか、その対象範囲やシステム監査人に求められるスキルはどうなるのかという点について、整理・検討が必要なタイミングではないかと考え設定しています。
会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。

□■ ２． 会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。
https://www.saaj.jp/03Kaiho/0305kaihoIndex.html

日本システム監査人協会

会報26

November 2022

日本システム監査人協会

会報□■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。
□■ 募集記事1.

めだか

匿名（ペンネーム）による投稿
原則１ページ

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
2.

記名投稿

原則４ページ以内

下記より投稿フォームをダウンロードください。

https://www.saaj.jp/03Kaiho/670502KaihoTokoForm2.docx
3.

会報掲載論文

現在「論文」の募集は行っておりません。

（投稿は会員限）■投稿について「会報投稿要項」

・投稿締切：15 日 (発行日：25 日）
・投稿用フォーマット
・投稿先：※毎月メール配信を利用してください。

saajeditor@saaj.jp

宛メール添付ファイル

・投稿メールには、以下を記載してください。


会員番号



氏名



メールアドレス

連絡が取れる電話番号

・めだか、記名投稿には、会員のほか、非会員 CSA/ASA、および SAAJ 関連団体の会員の方も投稿できます。


会員以外の方は、会員番号に代えて、CSA/ASA 番号、もしくは団体名を表記ください。
■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。

・特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠慮下さい。
・原稿の掲載、不掲載については会報部会が総合的に判断します。
・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。
お問い合わせ先：

saajeditor@saaj.jp＜目次＞
日本システム監査人協会

会報27

November 2022

日本システム監査人協会

会報2022.10
会員限定記事【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です）
https://www.saaj.or.jp/members_site/KaiinStart
ログイン ID（8 桁）は、年会費請求書に記載しています。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行：認定 NPO 法人 日本システム監査人協会

会報編集部〒103-0025 東京都中央区日本橋茅場町 2 丁目 16 番 7 号 本間ビル 201 号室■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。
https://www.saaj.or.jp/members_site/KaiinStart
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。

■□■ＳＡＡＪ会報担当
編集委員：竹原豊和、安部晃生、金田雅子、越野雅晴、坂本誠、辻本要子、豊田諭、野嶽俊一、柳田正、
山口達也
編集支援：会長、各副会長、各支部長
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
Copyright(C)1997-2022、認定 NPO 法人 日本システム監査人協会＜目次＞
日本システム監査人協会

会報28