内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察

第４号

信頼されるサイバー・アドバイザーとしての内部監査
内部監査人協会（ＩＩＡ）
訳者：桜

井

淳

一

損害保険ジャパン日本興亜株式会社

大

野

陽

生

損害保険ジャパン日本興亜株式会社目
信頼されるサイバー・アドバイザーとし

内部監査部部長、理事

内部監査部特命課長

次
別紙１：有能なＣＡＥは、アドバイザーての内部監査……………………………… 28として利害関係者との関係を構築してチームの取り組み………………………… 29

おり、存在感を示している…………… 33

トップの支援……………………………… 30
関連諸問題………………………………… 31

別紙２：信頼されるサイバー・アドバイ
ザーでいる……………………………… 35

まとめ……………………………………… 32

寄稿者

オーストラリア連邦

南アフリカ共和国
ケープタウン市
内部監査部門長CIA
Lindiwe Ndaba氏
情報システム 上席監査マネージャー
CIA, CCSA, CISA
Etienne Postings氏
情報システム ディレクター
Andre Stelzner氏

インシュアランス・オーストラリア・グループ
最高情報セキュリティ責任者
Jeff Jacobs氏
内部監査部門長
Lee Sullivan氏

アメリカ合衆国
RSM US 社
セキュリティ・プライバシーリーダー
Daimon Geopfert氏

サウジアラビア王国

南アフリカ共和国

サウジ基礎産業公社（SABIC）
副社長兼内部監査部門長
CISA

ファーストランド社
内部監査部門長CIA, QIAL, CA（SA）
Jenitha John氏

Gregory Grocholski氏

Copyright © 2016 by The Institute of Internal Auditors, Inc.,(“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA.

月刊監査研究2017．11（No.528）

27

内部監査人協会（ＩＩＡ）情報

アメリカ合衆国

内部監査部門長CIA, CRMA, CPA

内部監査人協会（ＩＩＡ）

Carolyn Saint氏

内部監査部門長CIA, CRMA, CFE, CGFM

諮問委員会

Greg Jaynes氏

ＩＩＡマレーシア

副事務総長兼最高情報責任者

CIA,CCSA, CFSA, CGAP, CRMA

Charles Redding氏

コロンビア共和国

Nur Hayati Baharuddin氏

ロス・アンデス大学法学部 特別教授
CFE, COBIT5 ファンデーション認定

ＩＩＡアフリカ地域連合
CIA, QIAL
Lesedi Lesetedi氏

Jeimy Cano氏

ＩＩＡオランダ

アメリカ合衆国CIA, CCSA, CGAP

バージニア大学

Hans Nieuwlands氏

最高情報セキュリティ責任者
Jason Belford氏

ＩＩＡアラブ首長国連邦

ＩＴ監査ディレクター

CIA, CCSA, CRMA
Karem Obeid氏

CISA, CRISC

ＩＩＡ北米

Gerald Cannon氏

CIA, CRMA, CPA

最高情報責任者

Carolyn Saint氏

Virginia Evans氏

ＩＩＡコロンビア

ＩＴ統括責任者

CIA, CCSA, CRMA

Ron Hutchins氏

Ana Cristina Zambrano Preciado氏

信頼されるサイバー・アドバイ
ザーとしての内部監査

衝撃的な統計2015年の、情報漏えい対応の平均総費用は379万米ドルで、2014年の352万米ドルから

サイバーセキュリティリスクは複雑で変化増えており、2013年からは23％増加している。

が激しいため、すべてを知ることは現実的で情報漏えい対応の費用は、急速な顧客離れをはないが、内部監査部門長（ＣＡＥ）は、サ

招き、顧客を取り戻す活動が必要になり、まイバーセキュリティに精通していることが必た評判や信用を失う１。

須になってきている。実際、サイバーセキュ

攻撃者は検知されるまで、平均で205日間

リティのリスクとエクスポージャー（訳注：

も組織の環境にアクセスしていた。さらに69

リスクに晒されている度合い）が変化してい％の組織は、内部ではなく外部から攻撃を受くことを考えると、有能なＣＡＥは、この注

けていた２。

目されており難易度が高い領域において、内2015年の上半期には、公表された888件の部監査を組織の信頼されるアドバイザーに位インシデントにおいて、約２億4,600万件の置付けるだろう。

レコードが侵害された。これらの公表された
インシデントの少なくとも半分では、侵害さ

１

IBM and Ponemon Institute, 2015 Cost of Data Breach Study: Global Analysis, based on a study of 350 companies
from 11 countries.

２

Mandiant,“M-Trends 2015: A View from the Front Lines,”based on a distillation of Mandiant’s incident response
investigations in more than 30 industry sectors.

28

月刊監査研究2017．11（No.528）

内部監査人協会（ＩＩＡ）情報

れたレコードの件数は測定できなかった３。

は、ＣＡＥがアプローチするだけでなく、取侵害は世界中で発生している。2015年の上締役会や監査委員会がいかに注力するかにか

半期、多くは北米で発生しており（707件のかっている。サイバーセキュリティ監査が、

インシデント）、続いて英国（94件）、アジア

計画通りに実施されていることを確認するだ（63件）だった。トップ10の侵害のうち、５けではなく、将来を見据えた、戦略的な、考つは米国以外の会社だ 。

え抜かれたリーダーシップを経営層に提案す４

上記のような統計を前にして、ＲＳＡ社のることによって、サイバーセキュリティは、社長であるAmit Yoran氏が、「（サイバー）セＣＡＥが信頼されるアドバイザーであること

キュリティ業界は期待に応えていない」と述を証明する重要な機会となる。そのためには、べたのは無理もない 。

サイバーセキュリティリスク、ビジネス戦

５

サイバーセキュリティの重要性を疑う者は略・信用への影響を識別し、経営層や役員へいない。インターネットに接続しているシス

適時かつ適格な討議を促し、善管注意義務のテムは、データ損失、破壊、不正アクセス、遂行を促す必要がある。

誤操作からデータを保護する対策をとってい

ＣＡＥが十分にその役割を果たすためにる。頭が良く分別のある人たちの多くが、何は、最高情報責任者（ＣＩＯ）及び最高情報

年もの間この問題に、重点的に取り組んできセキュリティ責任者（ＣＩＳＯ）と生産的かた。その人たちの予想は現実的だ。サイバーつ高度な協調関係を築くことが必要だ。その攻撃を完全に根絶できるとは考えていない。

ような関係構築が、セキュリティチームやＩ

ロス・アンデス大学の法学部特別教授であＴチームが要望していること、及び内部監査

るJeimy Cano氏は指摘する。「今日のデジタが提供できることの相互理解を促すことに寄ル環境で、『損失は避けられない』」。サイバー与する。ファーストランド社のＣＡＥである

セキュリティは、損失を最小化するゲームだ。

Jenitha John氏によれば、ＣＩＳＯは、現在

このゲームのゴールは、攻撃を最大限に防御の動向と事象、世間一般で新しく発生していし、かつ防御が突破される前提で、重要資産る問題についての率直かつ先を見越した視へ攻撃者が到達する前に発見することだ。

点、つまり信頼されるアドバイザーとして将来を考慮した視点を内部監査に期待している。John氏は、「組織が直面している現在のエチームの取り組み

クスポージャーと影響に関する課題を、内部サイバーセキュリティ対策は、専門家だけのタスクではない。包括的に考慮しなければ監査が明確に伝える」必要があると考えている。

ならない。対策に失敗した際の影響は、最低ＩＩＡの副事務総長兼ＣＩＯのCharles

限必要な業務処理の停止や、知的資産の損失、Redding氏によると、ＣＩＯが必要としてい信用失墜に及ぶ。サイバーセキュリティ対策

るものは、ＣＩＳＯと類似しているが異なは、テクノロジーリスクにとどまらず、ビジる。ＣＩＯはテクニカル面からサイバーセキ

ネスリスクであり、内部監査人が重要な役割

ュリティに目を向けがちだ。内部監査は、経を果たす。サイバーセキュリティ対策の成功

営層の「リスクを評価し、あるべきリスク許３

Gemalto, Breach Level Index (BLI), a database that records all publicly reported global breaches.

４

Ibid.

５

Hackett, R.;“‘Security Has Failed’: Exclusive Preview of RSA President’s Conference Preview,”Fortune, April
21, 2015.

月刊監査研究2017．11（No.528）

29

内部監査人協会（ＩＩＡ）情報

容度を定義する手助けをしてほしい」というのＣＩＳＯや最高セキュリティ責任者（ＣＳ

情報を提供することによって、ＣＩＯの視野

Ｏ）は、セキュリティについて経営層向けにを拡げる。Redding氏がコメントしている内年１回しか報告していない。まったく報告し部監査機能は、ＩＩＡのＣＡＥであるGregていないのは、ほぼ同じ割合（28％）だ。約

Jaynes氏が率いている。Jaynes氏は「Charles

３分の１は、取締役会や取締役は、サイバーと私が一緒に執務場所にいたとき、リスクとリスクに関与してないとしている。監査委員

サイバーセキュリティについて話さなかった会がサイバーリスクに関与している割合は15

ことは一日もなかった。ＣＩＯと十分に対話％に過ぎない６。

しないで、有能なＣＡＥでいられるだろうか」

しかし、旧来のサイバーセキュリティへのとコメントしているように、内部監査とＣＩ

消極的な姿勢は、姿を消しつつあるようだ。

Ｏの協力関係を確固としたものにしている。

経営層は、サイバーセキュリティと組織内

サウジ基礎産業公社（ＳＡＢＩＣ）の副社の関連リスクについて、今まで以上の情報を長兼ＣＡＥであるGregory Grocholski氏は、要求し始めている。これは、経営層がサイバ

チームの取り組みの重要性に同意する。しかー攻撃による潜在的な損害度合いを理解した

し、サイバーセキュリティに関連するＣＡＥだけでなく、規制への対応が念頭にあるための役割は、協力関係を促進することより、若だ。2014年６月に証券取引委員会のコミッシ干踏み込んだものだと指摘する。ＣＡＥは、

ョナーであるLuis Aguilar氏が発表した「サ構造モデル（開発されたアプリケーション）

イバーリスク・マネジメントへの経営層によと非構造モデル（Excel、Wordなど）の中にる監督が、サイバー攻撃で生じうる損害を適あるデータを理解している必要がある。両方

切に防御・準備するうえで非常に重要だ。
（中とも攻撃者が興味を惹くものかもしれない。

略）経営層が、サイバーセキュリティの監督

ＣＡＥは、組織への出入口であるすべての責任の重要性に見向きもしなかったり、軽視

サイバー経路を熟知している必要がある。組したりするのであれば、危険を覚悟する必要

織のすべての階層で、サイバー経路についてがある」７。

必要性、適切なコントロール、リスクによる取締役会、監査委員会、経営層は、責任を影響度、リスク許容度を適切に検討している果たすために情報が必要だ。経営層との接点ことを確認する。いかなるときでも、ＣＡＥという特権を有する内部監査人こそが、経営は何か発生したときの準備だけでなく、未然課題であるサイバーセキュリティの維持に関防止にも注力すべきだ。

与できる。ＣＡＥの役割は明確であるとファーストランド社のJohn氏は確信している。
「Ｃ
ＡＥは発見事項を正しいガバナンスのレベル

トップの支援に適切に位置付けることで、必要不可欠な注

事実上、あらゆる組織、あらゆる重要なプ

意を受け取り、最新の改善状況を把握する必ロジェクトにとって、トップの積極的な関与要がある」。インシュアランス・オーストラが不可欠だ。しかし、経営層は、サイバーセ

リア・グループ（ＩＡＧ）のＣＡＥである

キュリティへの取り組みへの全面的な支援に

Lee Sullivan氏は、自身の報告が取締役会には消極的だ。最近のある調査によると、26％『サイバー脅威へのＩＡＧの対応能力につい６

PwC,“US cybersecurity: Progress stalled, Key findings from the 2015 US State of Cybercrime Survey,”July 2015.

７

Security Intelligence,“Why is Your Board of Directors Finally Asking about Cyber Risks?,”October 13, 2015.

30

月刊監査研究2017．11（No.528）

内部監査人協会（ＩＩＡ）情報て客観的な視点』を提供していると述べる。

リティに関する知識や意識を改善することも

ＣＡＥは、来る法規制改定、あらたな保険含む。その結果として、従業員が関連リスク

引受ニーズへの要請、新種の集団訴訟のようの性質や影響をより深く理解し、かつサイな業界の動向、その動向を監査範囲を決める

バー攻撃への強固な防御前線の構築につなが際に考慮する方法に注目することで、サイバる。ＣＡＥは、内部監査スタッフがサイバーーセキュリティに関する報告において、自分セキュリティの知識や意識を向上させるようが最も効果を発揮できる立場になれることを導く。ＩＩＡの内部監査に関する2016年の北理解しているだろう。ＣＡＥは、適切な要員

米調査によると、内部監査スタッフのサイバとチーム（例えばインシデント対応チーム、ーセキュリティに関する専門知識の欠如は、及びリスクを評価する第三者機関）がサイバ

サイバーセキュリティリスク監査の対処能力

ーセキュリティの専門領域に対処しているこに影響する最大の障害だ８。

とをアシュアランス（訳注：客観的に検証）できたらいいと考えているかもしれない。

バ ー ジ ニ ア 大 学 の Ｃ Ｉ Ｓ Ｏ で あ るJ a s o n
Belford氏は、サイバーレジリエンスをサイバ

ＣＡＥは、進行中のサイバーセキュリテ

ーセキュリティの基本的な理念であり、個別ィ・プロジェクトへ提言する義務がある。すに対応するものだとみなしている。同大学のなわち、それらのプロジェクトが直面していＩＴ統括責任者であるRon Hutchins氏は同意るリスクを効果的に低減しているか、最重要する。「高い可用性と信頼性を目指している。

なリスクに集中して対応することについて資

しかし、すべてのサービスが同じレベルの防源を効率的に活用しているか、脅威を防御・御を必要とはしていないと理解している」。

検知するために十分に強健かつ厳格であるか

さらに、ケープタウン市（南アフリカ共和について、提言する義務を負う。バージニア国）の情報システム・ディレクターである大学のＣＡＥであるCarolyn Saint氏は次のよ

Andre Stelzner氏は、その概念を総括する。

うに述べた。サイバーセキュリティへの内部

明らかに、堅牢かつレジリエントであるため監査の関与が、組織の最高レベルで沸き起この最良の方法は、自分たちの脆弱性と脆弱性っているニーズに付言することによって、経の低減方法を知ること、及びサイバー攻撃に

営層の取り組みの有益性を補強する。

対応・復旧するための計画を策定することから始まる。
プライバシーと機密性も、取り扱われてい関連諸問題

るデータの種類、保存場所、アクセスする人

サイバーセキュリティ特有の課題は、サイバーレジリエンス（訳注：サイバー攻撃を受とその方法という点において、サイバーセキ
ュリティの主な要素だ。

けた際に元の状態に復旧するための回復力）

インシュアランス・オーストラリア・グルに収斂する。絶え間ないサイバー攻撃に対応

ープでは、顧客からの信頼を維持することがするために、インシデント発生前・発生中・非常に重要であるため、最高顧客責任者（Ｃ発生後に、インフォメーション及びコミュニ

ＣＯ）は、プライバシー責任者及びＣＩＳＯ

ケーションのシステム（及びそれに依存すると協力して、顧客データを保護している。多もの）の回復力を強化することだ。サイバーくの組織で、プライバシー部門は、関連する

レジリエンスは、全従業員のサイバーセキュ基準の定義を支援し、方針と手続を策定する。

８

The IIA,“2016 North American Pulse of Internal Audit,”February 2016.

月刊監査研究2017．11（No.528）

31

内部監査人協会（ＩＩＡ）情報

また、従業員へのサイバーセキュリティに関て策定されているか？

他組織は何をしていする教育にも責任を持つことがある。

るか、他組織と比較してどうか？

問いかけ

内部監査は、主要なステークホルダーとしる際には、解決策を見つけるために、積極的てプライバシーに関する責任を認識すべきでかつ油断のない傾聴、業界知識、ビジネスセあり、また、プライバシー関連規制への準拠

ンス、テクノロジーへの知見等を併せて活用

は、関連するすべての監査の主要な要素になする必要がある。

るべきだ。プライバシー部門への調査と観察

サイバーセキュリティを成功させるためにで、組織のサイバーセキュリティ対策の成熟

は、企業データを狙う攻撃者が組織内外の両度に関するさらなる手がかりを得られる。デ

方にいることを理解する必要がある。攻撃はータオーナー、テクノロジーオーナー、プラ

止まらない。Grocholski氏（サウジ基礎産業

イバシーチーム／法務チームは、組織が展開公社

しているフレームワークの中で、相互に対話ている。「私たちはデジタル世界に住んでいし、協力し合うべきだ。もしそうしていなける」。「自分の家と家族を守るように、組織のれば、問題として調査する価値があるだろう。

資産を防御する」。

ＣＡＥ）の言葉は現実を的確に表現しより詳しい情報の参照先

まとめ■ International Organization for Standardiza-

ＣＡＥ、情報技術担当役員、セキュリティ

tion,“ISO/IEC 27001 – Information secu-

担当役員の視点は明確だ。サイバーセキュリ

rity management,”2013（www.iso.org）

ティは今そこにある課題だ。Cano氏（ロス・■ National Institute of Standards and Tech-

アンデス大学法学部 特別教授）によると、

nology,“Framework for Improving Critical「新しい産業革命であり、デジタル・破壊・Infrastructure Cybersecurity,”February

レジリエントが主流となった新時代の変革

2014（www.nist.gov）

だ」。情報漏えいの新しい教訓になることを避けたい事業体は、適切な専門知識を獲得し、■ Privacy by Design,（www.ipc.on.ca/english/

Privacy/Introduction-to-PbD）

防御対策に投資し、関連規制を遵守し、全世■ The IIA,“Cybersecurity: Keeping IP Un-

界のサイバーセキュリティに関する動向を把der Lock and Key,”Tone at the Top, Feb-

握し、すべての利害関係者にデータ侵害やデruary 2014（www.globaliia.org/Tone-at-

ータ損失の徹底的な防止に取り組むことを保the-Top）

証しなくてはいけない。目的を果たすには継続的な取り組みが必要だ。

■ The IIA,“The Cybersecurity Imperative,”

Internal Auditor, August 2015（https://

ＣＡＥには、信頼されるアドバイザーの役

iaonline.theiia.org）

割を果たすために、成果をもたらすための重■ The IIA,“Logging In: Auditing Cyberse-

要な役割がある。ＣＡＥは、サイバーセキュ

curity in an Unsecure World,”2016（www.

リティの専門知識を獲得・実証し、信頼を築

theiia.org/AuditingCybersecurity）

くことや、政治的に配慮した適時的確な質疑応答を適切な識者と実施することでこの役割を果たす。組織は、サイバーセキュリティに関する一貫性のある価値観をはっきりと示し
ているか？

32

方針と手続は、価値観に基づい

月刊監査研究2017．11（No.528）

内部監査人協会（ＩＩＡ）情報

別紙１

方だ。実際のところはJacob氏によると、「完

有能なＣＡＥは、アドバイザーとして利害関係者との関係を構築しており、存在感を示している

された際の対応能力を今以上に高める必要

全には防御できないので、検知能力、侵害がある」。
■ 設計段階からのサイバーセキュリティ対応：サイバーセキュリティ対策の後付がとインシュアランス・オーストラリア・グ
ループても多い。設計や開発の最初の段階からセ

インシュアランス・オーストラリア・グ■ サイバーセキュリティに関する意識：最善

ループ（ＩＡＧ）では、ＣＩＳＯであるJeffのテクノロジー、プロセス、専門家が揃っJacobs氏に、サイバーセキュリティ管理全般ていたとしても、最も狙われるのはいつもへの説明責任がある。ＩＡＧにおけるサイ人が原因のセキュリティ・ホールだ。解決

バーセキュリティリスクを低減するために、策はセキュリティについて従業員に考えさJeff Jacobs氏は、ＣＡＥであるLee Sullivan

せることだ。そうすることで、危険に関す氏、第２のディフェンスラインのリスクチー

る意識を向上させ、脅威へ適切に対応でき

ム、プライバシー担当チームと協力して仕事るようになる。

をしている。

ＩＡＧには、外部からの脅威が日々増大か

キュリティ対策を組み込むことが必須だ。

Lee Sullivan氏とJeff Jacobs氏は、サイバ

つ高度化しているという共通認識がある。そー セ キ ュ リ テ ィ 戦 略 策 定 で 最 近 協 働 し た。

のため、サイバー脅威に関する十分なフレー

Jacob氏が戦略策定を主導した。戦略には、

ムワークで対応する必要がある。一方、サイ

現状能力の評価、新たなリスクの明示、規範

バー戦略における他の部分と違って、サイバの骨子とリスクに対処するための詳細な工程

ー対応能力を向上させるための必要な投資額表・計画を記載した。Sullivan氏は、戦略策

は必ずしも明確ではない。サイバーセキュリ

定後すぐに、その結果について、客観的にレティに注力することで、デジタルによる変革

ビューするためのチームを結成した。２人が予定より遅れるという懸念もある。Jacob

は経営層や取締役会に同じ言葉やメッセージ氏は異議を唱える。「いずれかが重要というで伝えるために、サイバーセキュリティに関ことではなく、両方をどのように実施するかする同一のフレームワークを使うことに同意が重要だ」。

し、レビュープロセスを通して協力した。
戦略における課題としては次のようなものがある。

バージニア大学
バージニア大学のＣＡＥであるCarolyn■ 基本を正しく理解することの重要さ：最たSaint氏、ＣＩＯであるVirginia Evans氏、Ｃる例は、サイバーセキュリティの観点で許ＩＳＯであるJason Belford氏、ＩＴ責任者

容可能とそうでないものの判断に関して組のRon Hutchins氏、ＩＴ監査ディレクターの織を導く原則。

Gerald Cannon氏は、Hutchins氏のいう『一■ 単に防御に注力するのではなく、検知と的

般的に最もよく使われている３つの対策』と確な対応を強化する必要性（方向性に注力

いうサイバーセキュリティへの取り組み方にするだけではなく、方向性を強化し対応す注目している。方針を策定すること、方針をる必要がある）：ツールに投資することで実行すること、方針の順守状況を監査するこ

組織を守れるというのは、すでに古い考えとだ。重要なことは、各段階のすべての部署

月刊監査研究2017．11（No.528）

33

内部監査人協会（ＩＩＡ）情報が独立していつつも、協働していることだ。

ケープタウン市

Evans氏が述べるように、「サイバーセキュリ

ケープタウン市（南アフリカ共和国）のチ

ティ対策がうまくいくただ一つの方法は、チームは、リスクを低減するコントロールより、ームとして機能するかどうかだ」。

テクノロジーが常に速く変化していることをSaint氏は、サイバーセキュリティの取り認識している。そのため、防御・検知・是正

組みを包括的・標準的にカバーし、コントロ

する対策へ投資し続ける必要がある。それでールが存在するかだけではなく、コントロー

も、攻撃を回避できる保証はない。成功させルの有効性も評価するために、内部監査に、るには、チームが侵害を迅速に検知し、効果

フレームワーク・アプローチを用いている。

的・効率的・経済的に脅威を低減できるか次

Evans氏は「以前の監査チームは、完全に準第だ。

拠性だけを評価した。今はリスクの予見に比重を置いている」と明言している。

チームは、ＣＡＥであるLindiwe Ndaba氏、
情報システムの上席監査マネージャーである

Belford氏、Hutchins氏、Evans氏の３人は、Etienne Postings氏、情報システム・ディレ

内部監査が協働・コンサルティングの役割をクターであるAndre Stelzner氏の３人で構成

担うことは非常に有益であることで意見が一されている。サイバーセキュリティへはリス致している。Belford氏がいうところの「悪クベースで取り組んでいる。最初に、多様なく見えるようにする方法を探す」という内部情報源、アシュアランス提供者が確認した自監査の従来の評価ではなく、『一緒に課題を解組織におけるＩＴリスクの種類を見極める。

決する』という意味での、パートナーシップ・

ＩＴ監査とＣＩＯで、自組織におけるサイバ

アプローチに３人はより注目している。

ーリスクの動向、関連する外部組織のリスク、Saint氏は、ＣＩＯとＣＩＳＯにとってサ
イバーセキュリティにおける内部監査の役割

組織に影響を与えうる一般的な動向に関して
詳しく協議し、ＩＴリスクを補完する。

と価値における懸念事項は教育だが、それStelzner氏は、サイバーセキュリティ対策

をＣＡＥの責任の一つであると考えている。

において、チーム全員が各自の強みを発揮

Saint氏は付け加える。「ＣＡＥの役割の一つする必要があると言う。そのため、内部監査

は、リスクが組織のあらゆるレベルの課題とは、組織の安全状況についての独立したアシして認識されている状態にすることだ」。

ュアランス提供者であり、脅威を低減するた

バージニア大学は、米国の規制への準拠に

めにＩＴ部門が導入する方針・システム・サ

取り組んでいる。連邦情報セキュリティ管理

ービスをレビューする必要がある。情報シス法（ＦＩＳＭＡ）に大学が準拠するための現テム・ディレクターは現時点では以下を認め

在の課題は、通常のサイバーセキュリティのている。「ある程度達成しているが、自分た取り組みを超えて、チームと他のクロスファ

ちのＩＴに関する方針への順守状況を評価す

ンクショナルチームを結びつけることであるだけのレベルで、導入したセキュリティ対る。進捗はしているが、ＦＩＳＭＡの規制要策への総当り攻撃テストのようなものではな

件を充足し、かつ測定可能な環境を構築するい」。

という、計画的な取り組みは骨が折れる。

チームに関与することが、内部監査とセキ

それでも、複合的な取り組みは実行されてュリティチームでの協働につながる。内部監いる。Saint氏が指摘するように、「サイバー査人が、課題を検討し、解決方法を策定するは、すべての内部監査計画においてトップリ

セキュリティ会議に出席する。全員が同じゴスクであり、多分、この先何年もそうだろう」。

ールに向かう。可能な限り堅牢なタスク、シ

34

月刊監査研究2017．11（No.528）

内部監査人協会（ＩＩＡ）情報

ステム、プロセスを策定する。

別紙２

継続的な内部監査の計画におけるサイバのコメントが繰り返されると、Ndaba氏と信頼されるサイバー・アドバイザー
でいる

Postings氏は確信している。
「サイバーセキュ信頼されるサイバー・アドバイザーとしリティとＩＴ監査は、常に内部監査の戦略にて、ＣＡＥは、組織の変革を促す立場にある。

おいて絶対に必要な課題だ」。

啓蒙と周知、リスク・マネジメント、アシュ

ー セ キ ュ リ テ ィ の 重 要 さ を 述 べ たS a i n t氏

アランスに注力することは、ＣＡＥが信頼されるサイバー・アドバイザーとして成長する一助となる。
信頼されるサイバー・アドバイザー

必要十分なレベル

として基礎的なレベル
サイバーセキュリティの概念、仕組み、

現在のＩＴ監査機能を拡張し、サイバーセキュリティに関

構成要素を理解する。

して、先を見通した実行可能な洞察を提示する。
来る法規制改定、新たな保険引受ニーズへの要請、新種の啓蒙と周知集団訴訟、その他動向に関する優れた業務知識を維持する。
監査プログラムに上記の動向を取り入れる。
サイバーに関する意識を啓蒙するためサイバーにおける役割と責任に関して、各リーダーに戦略に、組織内の適切な機能と協働する。

的なアドバイスを提供する。

ＩＴスタッフだけにサイバーセキュリ効果的なタレント・マネジメント／専門能力育成プログラ

ティの専門知識を期待する。

ムにより、ＣＡＥとスタッフにサイバーセキュリティに関する能力を身につけさせる。
コソース（共同実施）を戦略的に活用し、適切な人材・専門性を必要なときに使えるようにする。

リスク評価で組織におけるサイバーリ

サイバーセキュリティにおける過失の頻度と影響度を継続

スクの発生可能性と潜在的な影響を見して確認する。

極める。

サイバー脅威による組織の最大損失を確認し、監査計画に

リスク・マネジメント織り込む。
新たなサイバーセキュリティリスクを積極的に把握する。
組織のサイバーセキュリティ対策、及サイバー脅威へ対応するための組織のリスク対応態勢を把び関連リスクを低減するための計画と握する。

実施状況を把握する。

サイバーセキュリティの経営層によるコントロールについて、妥当性と有効性を継続して監査する。

第三者機関による監査報告書をレビュ

ＣＩＯやＣＩＳＯと連携して、第三者機関の候補を評価す

ーする。

る。
第三者機関の候補に関するリスク特性を進言する。
サイバーセキュリティに関する戦略や価値観に、契約している第三者機関が合致しているかアドバイスする。

月刊監査研究2017．11（No.528）35

内部監査人協会（ＩＩＡ）情報

信頼されるサイバー・アドバイザー

必要十分なレベル

として基礎的なレベル
サイバー関連の方針や手続を順守して方針や手続の策定前に、サイバーセキュリティ戦略を独立いるか評価する。

した立場でレビューする。
サイバーリスクを後付けするのではなく、最初から取り組
むように、テクノロジープロジェクト推進チームの一部を担う。
関連するフレームワークに基づき、方針や手続の十分性と有効性を評価しテストする。

アシュアランス

従業員へのサイバーセキュリティ訓練

訓練の成果と保有知識を評価する。

が必要な要件を満たしているか評価す訓練がサイバーセキュリティ戦略と本質的に合致しているる。

か洞察を提供する。

サイバーセキュリティ・プログラムへ中立性を維持する一方で、第１及び第２のディフェンスラのアシュアランスを提供する。

インにおける豊富な人材と一緒に、内部監査の機能を活用する。
サイバーセキュリティにおける３つのディフェンスラインが協働するようリードする。

インシデント対応、復旧、事業継続計

計画の進行管理とビジネス戦略との整合性について洞察を画においてアシュアランスを提供する。

提供する。
必要に応じて、内部監査スタッフが危機的な状況にいつでも介入し支援できるように準備する。

サイバーセキュリティへの取り組み結経営層及び取締役会／監査委員会と先を見据えて議論し、果を経営層及び取締役会／監査委員会

サイバー攻撃に対する組織の脆弱な面について十分に検討へ報告する。

するように支援する。
サイバーセキュリティに関する組織のリスク選好（訳注：
リスクを積極的にとる度合い）を設定するプロセスについて、アドバイス・支援する。

36

月刊監査研究2017．11（No.528）