December 2013

日本システム監査人協会

会報2013 年 12 月号
No

━━

153

No.153（2013 年 12 月号）＜11 月 20 日発行＞ ━━━━━━━━━━━━━━━━━━

・忘年会の季節がやって来ました。体調を崩さないように
健康管理に十分気を付けましょう。
･ 今宵は、システム監査の未来にむけて語りませんか。
2013.10 甲斐駒ヶ岳

１．めだか（システム監査人のコラム）【（システム監査の未来）：人口の波】【（システム監査の未来）：システム監査の脱皮】【（システム監査の未来：監査の基盤としてのシステム監査の認知 （システム監査の未来：その②）】

2

２．投稿【アンパンマン（システム監査の未来）】

5

３．新たに会員になられた方々へ （お役立ち情報や協会活用方法）

6

４．会長コラム （若い方、また女性の方は更に積極的に協会活動にご参加を）

7

５．協会からのお知らせ
５．１ システム監査活性化プロジェクト【 システム監査基準研究会 報告 】 連載：IT Audit の ISO【 情報セキュリティ監査研究会だより その 8 】 連載：プライバシー・バイ・デザイン 第 3 回【「個人情報保護マネジメントシステム実施ハンドブック」簡易版 】 連載：第 16 章
５．２ 協会行事一覧

816

６．研究会、セミナー開催報告、支部報告【 第 186 回 月例研究会 報告 】
【近畿支部 創設 25 周年記念研究大会
パネルディスカッション「システム監査 2.0 への進化は可能か？」について】

17

７．注目情報 （2013/10～2013/11）30

８．イベント・セミナー情報【 協会主催イベント・セミナーのご案内、 外部のイベント・セミナーのご案内 】

31

９．会報編集部からのお知らせ【 会報テーマについて 、 会報記事への直接投稿（コメント）の方法、 投稿記事募集 】

33

34

会員限定記事

日本システム監査人協会

会報1

December 2013

日本システム監査人協会

会報2013.11 投稿

めだか 【

人口の波（システム監査の未来）】

システム監査は、組織経営上、内部統制システムの重要な要素である。組織経営は、当然、経済の影響を受けるものだから、システム監査人は、IT（技術、Technology）の知見の上に、経済の波や潮流についてもアンテナを張っておく必要があると思う。先日、システム監査の未来を考えながら新聞を読んでいると、ワークライフバランスを提唱する経営者から、「デフレの正体―経済は『人口の波』で動く」 という本を推奨する記事があった。
政府は、デフレ対策のひとつに、日銀による国債の買入れなどでインフレ・ターゲットを達成する一方、10年間200兆円の公共事業で「国土強靭化計画」を推進する、としている。しかし、この本では、デフレに対して、何が原因で何が起きているのかという「事実」を明快な言葉で分析し、その対応案も書いている。景気の波を打ち消すほ
ど大きい人口の波が日本経済を洗っているという事実を統計数字から証明し、デフレの原因は、「現役世代の減少」と「高齢者の激増」という人口の波にあると論じている。システム監査人の諸氏には、ぜひ、この本を読んでいただきたいと思う。
読書して感心した一節を引用する（p.145）。
“以下の産業を、売上の割には付加価値額の高い順に、つまり付加価値率（＝付加価値額÷売上）の高い順に並べてください。 ・・・。付加価値率の高い産業が繁栄することは、人件費などを増やして内需を拡大させ、結果としてGDPも上昇します。
① 自動車（部品を除いて完成車組み立ての大企業のみとする）② エレクトロニクス③ 建設④ 食品製造⑤ 小売（百貨店、スーパー、専門店チェーン、通販など）⑥ 繊維・化学・鉄鋼⑦ サービス（飲食店や宿泊業、清掃業、コンサルティングサービスなど）・・・。⑦のサービスが一番付加価値率が高くて半分近くもあり、①の自動車が一番低くて二割を切っています。ただし自動車が重要でないといっているわけではありません。・・・。時計など典型ですが、手巻きや自動巻きの方が正確無比なクォーツよりも価格が高いですよね。つまり同じような商品が供給過剰に陥ってはいないことと、顧客側の品質への評価が高い分を価格転嫁できていること、総じて言えば「ブランド」が高いかどうかが、内需そしてGDPが拡大する決め手なのです。“「システム監査」の未来を良くするためには、システム監査という業務の「ブランド」を高めること、システム監査
人の社会的評価を向上させることが大切であり、当協会の役割はまさにそこにある、と思う。
（空心菜）
参考 ： デフレの正体―経済は「人口の波で動く」 藻谷浩介著 角川oneテーマ21 C-188（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会

会報2

December 2013

日本システム監査人協会

会報2013.11 投稿

めだか 【

システム監査の脱皮(システム監査の未来)】浅学だが、動物たちの脱皮の形にはいろいろあるようだ。蝶や蝉のように幼虫から成虫へ変態するものや、カニやヘビのように姿はそのままで古くなった外皮を脱ぎ捨てるものもある。ほかには、鳥も繁殖期の後に換羽と呼ばれる羽毛の抜けかわりも脱皮に含まれるらしい。ということは、人間の髪の毛の抜けかわりも脱皮に含まれるのだろうか、などと脱皮というものは大変興味深い現象で話が脇にそれてしまう。
社会活動においても 『古い考えや習慣を脱して進歩すること。「旧習からの―を図る」』（広辞苑）という【脱皮】がある。動物におけるそれは脱皮ホルモンというものが契機になりある意味自然に脱皮するらしいが、社会活動における旧習からの脱皮というものはなかなかに難しいものがあると思う。意識しても出来ないし、強制されて出来るものでもない、大体どのような姿に脱皮すれば良いかそれすら分からないのが実感だ。
システム監査に関して脱皮を考えてみよう。
少し振り返れば、システム監査技術者試験制度が発足したのは四半世紀前の 1986 年で、当時は手作業による事務処理を機械化・合理化する目的の情報システムが多数であった。この頃のシステム監査技術者に求められたスキルは、システムの企画・開発・運用に関する監査の専門知識であり、システム部門が内製する自社用の個別業務システムがほとんどであった。パソコンや電子メールなどが一般に普及するのはもっと後のことだ。
情報システムのその後の発展と現在の状況はここで触れるまでもないだろう。簡単だが、事務系から情報系へ、システム部門から利用部門まで、内製からアウトソーシング、通信の発達とインターネット、経営者の意思決
定支援、消費者とネット接続、データ連携や社会インフラ化などなど、組織の活動形態や人間の行動様式を大きく変貌させて、企業から消費者まで多くの関係者に利便性を提供し日常生活と一体の存在になっている。
システム監査の対象システムや対象業務は大きく変化し広がっている。システム監査人に求められる知識領域
や経験分野も同様に拡大・多様化している。現在求められているスキルの概略はトップマネジメントの視点、情報処理の視点にとどまらない能力、業務プロセスを含めた分析・評価、企業戦略上のリスク評価、関連法令知識、
ネットワーク社会の健全化に貢献などが挙げられる。この変化を考えると、システム監査においても当然ながら過去何回か脱皮していなければならないし、これからも脱皮を繰り返さなければならない。
システム監査の脱皮は取りも直さずシステム監査人自身の脱皮に他ならず、システム監査人に求められている
もの・求められるものに対応することから始まると思う。それは四半世紀前と様変わりというよりは別世界と表現した方が相応しいだろう。システム監査の未来に向けて脱皮ホルモンに代わるものを手に入れよう。
節足動物は成長につれて脱皮を繰り返さなければ体を大きくすることができないそうだ。

（山の彼方）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありませ。）

日本システム監査人協会

会報3

December 2013

日本システム監査人協会

会報2013.11 投稿

めだか 【

監査の基盤としてのシステム監査の認知（システム監査の未来：その②）】１０月から３ヶ月間、コラムめだかのテーマは「システム監査の未来」である。
そこで先月から、これまで私がコラムめだかで書いてきたことを振返りながら、「システム監査の未来」を私の希望、期待も込めて、近未来像、中期展望、そして将来予想の三段階で描いてみることにした。
第一回の先月は、近未来像として、“システム監査の監査としての Identity の確立”を挙げた。
要約すれば、「システム監査」の近未来像は以下が実現され、社会に定着している状態ということだ。
① 「監査」本来への回帰「システム監査」と「システムコンサルティグ」を峻別し、「システム監査」は「定められた評価基準に照らし適合／不適合を判断し、その結果に基づき監査目的を踏まえ意見表明を行なう、再現性のある、不偏的な適合性評価」として機能する。
② 織内の統制ツールから、健全な情報化社会を支える社会の公器へ「システム監査」は、情報システムに関し、組織内の統制ツールに留まらず、組織の、利害関係者に対する説明責任を担保するツールとして、情報社会に必須の重要な機能を果たす。
上記二点を実現し社会に定着させる道のりはなかなか険しいとも書いた。
さて、今月は、中期展望として、“監査の基盤としてのシステム監査の認知”としたい。
これまでのコラムめだかで以下の主旨を書いてきた。
「現代は情報社会と言われる。例えば、“会社に着いて、一日の仕事の最初にすることはＰＣの電源を入れること。一日の仕事の終わりにすることはＰＣの電源を切ること”という現実。つまり、今日の仕事は殆ど情報システム
無しではあり得ない。一方、世の中ではその仕事を対象にいろいろな監査が実施されている。例えば会計監査、業務監査、経営監査、監査役監査、監事監査、個人情報保護監査、環境監査・・・・・・。
これらの監査は対象や評価の視点は異なるが、情報システムの基盤の上でなされる仕事（業務・ビジネス）の在りようをその対象とするものであり、どの監査においてもその監査対象を支える情報システにも目を向けなければならないことは自明。つまり、どのような監査でも、その監査対象を支える情報システムをキチッと評価して、その上で各視点での監査が実施される、されている筈。例えば会計監査において、会計システムのＩＴ統制評価が欠かせないのはその典型的一例。とすれば、システム監査（システム監査と銘打って実施される場合の外、他の監査の中でその一部としてシステム監査が行われる場合を含む）は、今日、監査の中で一番多く実施されている、されるべき筈の監査となる」と。
また、“全ての監査と不可分のシステム監査”との認識で、システム監査人は他の監査人と一層連携を強化していくことの必要性にも触れた。
つまり、私の期待する「システム監査」の中期展望は、上記の現実をシステム監査人自身が明確に認識・自覚し、その社会的、時代的要請に正面から応えられる、また“監査の基盤としてのシステム監査を当然のこととして認知”している社会の実現である。
皆さんのご意見は如何であろうか。
（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会

会報（広太雄志）

4

December 2013

日本システム監査人協会

会報2013.11 投稿

投稿【 アンパンマン（システム監査の未来）】
会員番号 0557 仲 厚吉 （会報部会）

システム監査の未来について、「アンパンマン」の物語で考えてみました。筆者も家族もアンパンマンの大ファンです。孫は、毎日、TV でアンパンマンを見ています。システム監査人の仲間たちとカラオケにいくと、締めは、かな
らず、アンパンマンのマーチで、大いに盛り上がります。システム監査人の方々には、やなせたかし氏の突然の訃
報に悲しみをおぼえた人が多いと思います。Wikipedia で、「アンパンマン」を引くと、〔アンパンマンと正義〕として、次のように説明されています。
“ヒーローとしてのアンパンマンが誕生した背景には、やなせの従軍経験がある。戦中はプロパガンダ製作に関わっていたこともあり、とくに戦いのなかで「正義」というものがいかに信用しがたいものかを痛感した。しかし、これまでのヒーローは、「正義」こそ、口にするが飢えや空腹に苦しむ人間へ手をさしのべることはしなかった。戦中、戦後の深刻な食糧事情もあり、当時からやなせは「人生で一番つらいことは食べられないこと」という考えをもっていた。
50 代で「アンパンマン」が大ヒットする以前のやなせは売れない作家であり、空腹を抱えながら「食べ物が向こうからやって来たらいいのに」と思っていたという。こういった事情が「困っている人に食べ物を届けるヒーロー」という着想につながった。アンパンマンと「正義」というテーマについて、やなせは端的に「『正義の味方』だったら、まず、食べさせること。飢えを助ける。」と述べている。”「アンパンマン」の物語には、「ばいきんまん」が毎回のように登場します。Wikipedia で、「ばいきんまん」を引くと、その〔人物〕は、次のようです。
“言わずと知れたアンパンマンの宿命のライバル。アンパンマンを倒す為に、バイキン星から赤ちゃんの時にやってきた黴菌。一人称は「オレさま」。二人称は主に「お前」。バイキン城を根城とし、当初は一人暮らしだったが、現在はドキンちゃんや、かびるんるん等の手下と生活している。”
システム監査人にとって、「ばいきんまん」は、システム設計のバグやプログラムのバグ、インターネットでウィルスをまき散らす悪意の犯罪者のようなものでしょうか。アンパンマンの物語の中では、アンパンマンたちが、「ばいきんまん」に、やられたり、やりかえしたりして、見ていて楽しいものです。現実の世の中では、システム監査人は、シス
テムやネットワークの健全性のため、バグやウィルスなどに対して、問題解決に当っています。システム監査の未来においても、システム監査人は、「アンパンマン」であるようにと思います。

COOKPAD

参考 ： アンパンマンのホームページ http://anpanman.jp/index.html

日本システム監査人協会

会報

5December 2013

日本システム監査人協会

会報

新たに会員になられた方々へ

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
先月に引き続き、協会の活用方法や各種活動に参加される方法などの一端をご案内します。

ご確認
ください

・協会活動全般がご覧いただけます。 http://www.saaj.or.jp/annai/index.html
・会員規定にも目を通しておいてください。 http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・みなさまの情報の変更方法です。 http://www.saaj.or.jp/members/henkou.html

特典・会員割引や各種ご案内、優遇などがあります。 http://www.saaj.or.jp/nyukai/index.html
セミナーやイベント等の開催の都度ご案内しているものもあります。

ぜひ
参加を・各支部・各部会・各研究会等の活動です。 http://www.saaj.or.jp/shibu/index.html
みなさまの積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・みなさまからのご意見などの投稿を募集しております。
ペンネームによる「めだか」や実名投稿があります。多くの方から投稿いただいておりますが、さらに活発な利用をお願いします。この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・協会出版物が会員割引価格で購入できます。 http://www.saaj.or.jp/shuppan/index.html
システム監査の現場などで広く用いられています。

セミナー

・セミナー等のお知らせです。 http://www.saaj.or.jp/kenkyu/index.html
例えば月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html

会報

・PDF会報と電子版会報があります。 （http://www.saaj.or.jp/members/kaihou_dl.html）
電子版では記事への意見、感想、コメントを投稿できます。
会報利用方法もご案内しています。http://www.saaj.or.jp/members/kaihouinfo.pdf

お問い
合わせ

・右ページをご覧ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

沼野会長からの一行メッセージ“若い方、また女性の方は、更に積極的に協会活動へのご参加をお待ちしています。”

2013.06 投稿”

日本システム監査人協会

会報

6December 2013

日本システム監査人協会

会報2013.11 投稿会長コラム 【若い方、また女性の方は更に積極的に協会活動にご参加を】

会員番号 0841 沼野伸生（会長）
当協会は、システム監査の社会一般への普及を通して健全な情報社会の発展に寄与する旨の目的を掲げ設立され、早２６年、既に四半世紀を超えています。
これだけ長く活動を継続できているのは、会員の皆様の日頃の、協会活動へのご理解、ご協力の賜物です。ありがとうございます。
システム監査の必要性は、情報社会の進展と相俟って確実に高まってきており、それに呼応して、今後益々システ
ム監査の質に対する社会の目も厳しくなってくることと思います。
当協会は各種研究会、部会等活動を更に活発化して、その成果を社会に発信し、この社会の期待に応えていかな
ければならないと考えています。
現在、協会活動には月例研究会、システム監査事例研究会、情報セキュリティ監査研究会、個人情報保護監査研
究会、法人部会などがあります。是非、引続き積極的な参加、参画をお願いします。
特に、２０歳、３０歳、４０歳台の若手の方、また、更に多くの女性の方の参加、参画も期待しています。
女性の視点、若い方の旺盛な好奇心、探究心、そしてエネルギーが協会活動を一層活性化し、また今後の協会の発展に欠かせないと思います。
各種研究会、部会等は常時、参加、参画者を募っていますので、是非、協会に問い合わせ、参加、参画をご検討下さい。
さて、先月号のこのコラムで、次期会長の立候補、推薦の受付を開始した旨お知らせましたが、それを受け、近々、次期会長も選任の運びとなる予定です。
また、その後次期の役員（理事）の選出手続きも進められる予定です。
役員（理事）は、協会の運営という、謂わば、縁の下の力持ち的役割を、自らの利得、主張は脇に置き、他の役員と協調して、「協会の発展を通したシステム監査の社会への普及」一点に焦点をあて活動することが求められます。
システム監査の社会への普及に強い志を持ち、ボランティア精神の下で協会運営に携わってみようという方は、是非知り合いの現理事に声を掛け、相談してみてはいかがでしょうか。
こちらも、若手の方、また女性の方に期待するところが大です。
新会長の下、新たな役員（理事）も加わり、また、各種研究会等活動にも新しいメンバーの参加、参画を得て、気持ちも新たに協会活動を更に一層活発化し、「協会の発展を通したシステム監査の社会への普及」という協会設立目的の達成に向け、引き続き精力的に取り組んでいくことが求められていると思っています。
以上

日本システム監査人協会

会報

7

December 2013

日本システム監査人協会

会報2013.11 投稿

協会からのお知らせ（システム監査活性化プロジェクト）
会員番号 6027 小野 修一（活性化ＰＴ 主査）
今月の会報でも、システム監査の活性化につながる活動を行っている当協会の研究会や担当組織の中から、いくつかの活動について、ご報告しています。
１．システム監査基準研究会
当研究会は、日本国内は元より、海外も視野に入れたシステム監査に関する基準類の研究、基準類をベースにしたシステム監査人が実践で使えるツールの策定などの活動を行っています。
本会報では、現在、当研究会メンバーが参加している活動である IT Audit の ISO 化（ISO 30120）に関して、資料の一部（目次の仮訳の一部）を紹介しています。
２．情報セキュリティ監査研究会
毎月、当研究会で研究・討議を行っている話題の中から、会員の皆様に知っていただきたい、よろしければご一緒に議論に加わっていただきたい情報をご紹介しています。本会報では、前々回、前回に引き続き「プライバシ
ー・バイ・デザイン」について有益な情報を提供しています。ぜひ、報告の内容をお読みください。また、研究活動に参加してみたいと思われる方は、お気軽にご連絡ください。
３．個人情報保護監査研究会
本会報も、今までに続いて、当研究会でまとめた『個人情報保護マネジメントシステム実施ハンドブック』簡易版の内容の一部を紹介しています。今回のテーマは「本人の権利」についてです。
システム監査人の主要な活動分野の一つである個人情報保護マネジメントシステム（PMS）の構築・評価を行う
際の参考にしていたきたく、ご紹介しています。ぜひ、お読みください。
先にシステム監査活性化プロジェクトから募集させていただいたシステム監査の活性化につながる提案について、４人の会員の方から有用なご提案をいただきましたので、感謝とともに、ご報告します。
松井 秀雄会員 『保証型システム監査の手法整備と被監査組織への提案』
原 善一郎会員 『グローバル化する事業に対応する IT サービスの監査」
林 裕正会員『システム管理基準・監査基準の改訂の実施』

福沢 繁会員『システムドックセンタ構想』
以上

日本システム監査人協会

会報8

December 2013

日本システム監査人協会

会報2013.1１投稿【

システム監査基準研究会

報告

】（連載）

会員番号 0555 松枝憲司

0281 力利則 （システム監査基準研究会）

IT-ＡｕｄｉｔのＩＳＯ化について
先月に引き続き、9/24(火)の CSA フォーラムにおいて報告しました ISO30120（IT Audit）の ISO 化についての資料の一部を紹介します。
「IT監査-ITガバナンスの評価を支援する監査のガイドライン（ISO30120：PDTR)の目次（仮訳）」
0. イントロダクション（ 要約: 仮々訳）

今日、情報技術(IT)は次のような目的を達成するための組織にとっての重要な道具になった。
・成長して､発展して､ビジネスを変化させていくこと。
・経営戦略を展開していくこと。
・組織的なポジショニングおよびパフォーマンスを改善していくこと。
・新たな機会を発掘していくこと。
ITを取扱いおよび管理することの重要性は、生産、商品の供給およびサービスと同様に、ビジネスプロセスの最初から最後までをうまく動かすためのキーとなっている。労働集約的なプロセスから電子情報をうまく利用した環境への切替え、ボーダーレス経済での組織的な活動、組織のITがグローバルな相互接続によるパートナーおよびクラウド関連技術の組合せによって取り扱われる。
ITシステムは、より広い社会の仕組みおよびネットワークの1つの構成要素として存在しており、ITシステムがう
まくいかない場合、それは他のシステムおよびサービスの結果に悪い影響をもたらす。
ITガバナンスの重要性およびITが組織の目的を実現するための企業の有効なツールとして活用されているかを確認することは、ますます重大で複雑な問題になっている。
このような状況の下で､IT監査は､ITリスクおよびビジネスシステムのパフォーマンスが適切に管理されていることと、ITの価値が組織内で適切に伝えられていることを保証する有効な手段と見なされている｡
IT監査は、ITガバナンスにおいて、明確な役割をもった重要な機能である｡
この監査ガイドラインの目的は、ISO/IEC38500で示された原則に基づいた組織内のITの効率的・有効的および利用目的を保証することを支援するガイダンスを提供することである。これらのガイダンスは、監査プログラムの管理および監査の行為を含んでいる。
このガイドラインは、ISO/lEC19011:2011に含まれていたマネジメントシステムを監査するためのガイダンスと共に使用されるべきである。
このガイドラインの構成は、ISO/lEC19011:2011の構造に準じる。19011の構造に、新しいガイダンス・アイテムが加えられ、またオリジナルのアイテムがIT管理システムに適用可能な特定の条件を反映するために修正されている｡

日本システム監査人協会

会報

9December 2013

日本システム監査人協会

会報2013.11 投稿【情報セキュリティ監査研究会だより その８ －プライバシー・バイ・デザイン

第３回】（連載）

会員番号 0056 藤野明夫(情報セキュリティ監査研究会）

はじめに
情報セキュリティ監査研究会では、8月から新たなテーマとして、アン・カブキアン著、「プライバシー・バイ・デザイ
ン

プライバシー情報を守るための世界的新潮流」をテキスト(以下、左記の書を「テキスト」と称します)として、「プライバシー・バイ・デザイン」の意義、影響、ＰＩＡやシステム監査との関係などを議論しております。
前回は、プライバシー・バイ・デザインの事例として、カブキアン博士が自ら論文の共同執筆者になっている“Biometric Encryption（ＢＥ）”について、他の論文も交えつつご紹介しました。いささか難解であったと思います。
今回と次回にかけて、テキストの第2章第６節「新たな連携プライバシー影響評価(Ｆ－ＰＩＡ)：プライバシーと信頼できる連合体の構築」を取り上げたいと思います。なぜ、この節を取り上げたかというと、ネットワーク社会の進展にともなって個人識別情報が大量にネットワーク上を流れることにより、たいへんなリスクが生じているが、個人識別情報を基礎とする新たな社会的な連携構造を構築することにより、今よりも遥かに豊かな社会を築くことができるということを、この節で、より高次の視点で論述しているからです。本来トレードオフの関係にあった「認証とセキュリティ」と「プライバシー保護」の関係をWin-Winの関係に転換するという、プライバシー・バイ・デザインのコンセプトを高い次元で理論的に裏付けようとしているからです。
今回はその前段として、連携アイデンティティ管理（ＦＩＭ）のモデルをご紹介いたします。ＦＩＭは、後述するように複数の事業者間で取り扱われる個人識別情報に関する事業者間の新たな連携モデルの構築によって、個人識別情報提供者から見れば、自身の個人識別情報が異なる事業者間で授受されることで不適切な取扱いを受けるリスク
を減じ、また、個人識別情報を利用する事業者側から見れば、煩雑で危険な個人識別情報を直接取り扱うことのリス
クを減ずることに貢献します。アイデアそのものは比較的シンプルなので前回よりは分かりやすいと思います。
なお、本報告は、情報セキュリティ監査研究会内部の検討結果であり、日本システム監査人協会の公式の見解ではないことをお断りしておきます。また、我々の力不足のため、誤りも多々あるかと存じます。お気づきの点がございましたら適宜ご指摘いただきたいと存じます。ご興味のある方は、毎月20日前後にSAAJ事務局で定例研究会を開催しておりますので是非ご参加ください。参加ご希望の方、また、ご意見やご質問は、下記アドレスまでメールでご連絡ください。 security ☆ saaj.jp （発信の際には “ ☆ ” を “@” に変換してください）＜テキスト＞
堀部政男／一般財団法人日本情報経済社会推進協会(JIPDEC、以下、同じ)編、アン・カブキアン著、JIPDEC 訳「プライバシー・バイ・デザイン プライバシー情報を守るための世界的新潮流」、2012年10月、日経ＢＰ社【報告内容】新たな連携プライバシー影響評価(F-PIA：Federated Privacy Impact Assessment) その１－ 連携アイデンティティ管理(FIM:Federated Identity Management)について －１． 課題認識
急速なネットワーク社会の進展にともない電子化された大量の個人識別情報(ＰＩＩ：Personal Identity Information)
が、ネットワーク上で送受信され処理されている。問題は、これらの個人識別情報の収集、取得、管理及び活用がし
ばしば複数の事業者にまたがっていることである。個人識別情報に関わる複数の事業者が個人情報保護に係るそれぞれ異なる個別のポリシー、手順あるいは技術的基盤をもっているとすると、個人識別情報を提供する側にとって極めて不都合である。どの事業者のプライバシーポリシーを信頼して自分の個人識別情報を提供したらよいのか分
日本システム監査人協会

会報10December 2013

日本システム監査人協会

会報からないからである。さらに、提供した個人識別情報が送られる事業者が、提供者本人には不明であることが多い。
個人識別情報を取り扱う事業者にとっても、自身が如何に強固な個人情報保護のポリシーや手順を規定していても、その授受の相手が低レベル、あるいは、異なるポリシーや手順を規定しているとしたら、危なくて個人識別情報のやり取りができなくなり、貴重な個人識別情報の利用によるビジネス拡大の機会を失うことになる。
そこで、これら個人識別情報に関わる複数の事業者を横断するエコシステムレベルの新しいモデルが必要になる。
その新しいモデルの実現形態が、以下に述べる連携アイデンティティ管理アーキテクチャーである。
２． 連携アイデンティティ管理アーキテクチャー
連携アイデンティティ管理(ＦＩＭ：Federated Identity Management、以下、ＦＩＭと記す)アーキテクチャのトランザク
ションの流れは以下のようになる。なお、言葉の定義を以下に記す。
ユーザー：サービス提供を受ける主体、個人識別情報提供者
ＩＤ：個人識別情報
サービスプロバイダー：ユーザーにサービスを提供するとともに、ユーザー認証を外部に委託する事業者。
アイデンティティプロバイダー：ユーザーが自らの個人識別情報を登録し、各種サービスの認証に使うサービスを提供する事業者。エコシステム内に一つ以上存在する。
① ユーザーは、アイデンティティプロバイダーにＩＤを登録する。
② ユーザーは、サービスプロバイダーにサービス提供を要求する。ただし、サービスプロバイダーは、そのユーザーに関する情報を持っていない。
③ ユーザーとサービスプロバイダーは、検索サービスを介して、双方が利用できるアイデンティティプロバイ
ダーを見つける。
④ 見つかったアイデンティティプロバイダーを使ってユーザーがログオンする。
⑤ アイデンティティプロバイダーは、サービスプロバイダーに代わってユーザーのＩＤを確認し、ユーザーが管理する最小手段アクセスに基づいた方法でユーザーの個人識別情報をサービスプロバイダーに提供する。
以上によりサービスプロバイダーは、自身が必要とする最小限の個人識別情報をアイデンティティプロバイダーから受け取ることにより、必要なサービスを提供することができる。また、他のサービスプロバイダーへの個人識別情報の提供は、アイデンティティプロバイダーが行うので、サービスプロバイダーが行う必要はない。この結果、サービス
プロバイダーは、個人識別情報の漏洩等のリスクが低減でき、管理コストが低減する。
ＦＩＭアーキテクチャーが最も威力を発揮するのは、複数のサービスプロバイダーが連携してサービスを提供する場合である。サービスプロバイダー間で直接、ユーザーの個人識別情報を授受する必要がないからである。サービ
スプロバイダー間では、当該サービスに必要な最小限の情報のやり取りだけでよい。たとえば、ユーザーが口座を開設したＡ銀行に対して、他の銀行（Ｂ銀行とする）のＡＴＭから現金を引き出そうとしたとき、Ａ銀行は、保有するユーザーの個人識別情報については、一切、Ｂ銀行に送る必要はない。Ｂ銀行に送るのは、引き出しの可否、すなわち、
Ｙｅｓ/Ｎｏだけである。また、Ｂ銀行がＡ銀行に対して送るのは、引き出しを要求された金額だけである。必要な個人識別情報は、最小限の情報のみが、すべてアイデンティティプロバイダーから提供される。
３． ＦＩＭアーキテクチャーが成立する条件
このＦＩＭアーキテクチャーは、ユーザー、サービスプロバイダー及びアイデンティティプロバイダー間の、個人情報保護に関する相互の信頼関係を前提にしている。このアーキテクチャーが成立するには、このエコシステムに参加するすべての事業者が、ＦＩＭのポリシーや手順、技術的ルールを守っているという安心感を持つことが必要である。この安心感を提供するのが、次回、紹介する連携プライバシー影響評価(Ｆ－ＰＩＡ)である。
以上
日本システム監査人協会

会報

11December 2013

日本システム監査人協会

会報2013.11 投稿（連載）「個人情報保護マネジメントシステム実施ハンドブック」簡易版

第 16 章

会員番号：1760 斎藤由紀子（個人情報保護監査研究会）

第16章 本人の権利“本人の権利”とは、個人情報は“本人のもの”という理念に基づいています。

16.1

開示対象個人情報とは開示対象個人情報とは、JIS Q15001:2006 規格の用語です。規格では、個人情報保護法でいう“保有個人データ”と同様の概念ですが、件数（5000 件）や消去までの期間（6 ヶ月）を問いません。開示
対象個人情報は、事業者が取得・保有し、本人からの求めに応じて開示等の求めに応じる権限を有している個人情報になります。
本人から開示等を求められた場合は、事業者は、法令等にもとづき、遅滞なくこれに応じる必要があ
ります。

16.2

開示対象個人情報に含まれないもの
受託する個人情報は、委託元に管理権限があるため、開示対象個人情報に該当しません。
また、当該個人情報の存否が明らかになることによって次のいずれかに該当するおそれのある場合は、開示請求に応じる必要はありません。
当該個人情報の存否が明らかになることによって・・・a) 本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるものb) 違法又は不当な行為を助長し、又は誘発するおそれのあるもの
c) 国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
d) 犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序維持に支障が及ぶおそれのあるもの
ただし、回答に応じられない場合であっても、本人に対し上記 a)～d)のいずれかの理由を示して、遅滞なく通知しなければなりません。
なお、人事評価制度で人事考課の結果を本人に公開しないと決めた場合など、事業者の判断で開示対
象個人情報に含めなくてもよいケースがあります。この場合は「3312 個人情報管理台帳」の開示区分に非開示であることを明記し、取り扱いを明確にします。

16.3

開示等の求めに応じる手順
事業者は、本人からの開示等の求めに応じる手続きは、本人に過大な負担を課さない範囲で、
下記 a)～d)を定めます。
a) 開示等の求めの申し出先b) 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式
c) 開示等の求めをする者が、本人又は代理人であることの確認の方法d) 利用目的の通知又は開示による場合の手数料およびその徴収方法※b)開示等の求めの書式として「3440-01 個人情報開示等請求書兼回答書」を定め、個人情報保護管理者の承認を得て回答します。
d)手数料の徴収方法は「切手」の同封や「金融機関振込」などを定めます。

日本システム監査人協会

会報

12

December 201316.4

日本システム監査人協会

会報

開示対象個人情報に関する事項の周知など
開示対象個人情報に関する事項の周知は、ホームページ公表への公表が一般的です。
ホームページを持たない事業者は、リーフレットを用意します。
ホームページに公表する項目
a) 会社名b) 個人情報保護管理者の氏名、所属及び連絡先
c) すべての開示対象個人情報の利用目的
d) 開示対象個人情報の取扱いに関する苦情の申し出先e) 認定個人情報保護団体の名称及び苦情の解決の申し出先
f)
3.4.4.2 によって定めた、下記の手続き
a)開示等の求めの申し出先b) 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式
c) 開示等の求めをする者が、本人又は代理人であることの確認の方法d)利用目的の通知又は開示による場合の手数料およびその徴収方法「3210 個人情報の取扱について」に開示対象個人情報に関する事項について規定し、公表します。
公表の事例（「3210 個人情報の取扱について」の一部）

事例：「3440-01 個人情報開示等請求書兼回答書」の一部

日本システム監査人協会

会報

13

December 201316.5

日本システム監査人協会

会報

利用目的の通知
利用目的の通知など、回答を行う場合は、遅滞なくこれに応じなければなりません。
回答までの期間は約 1 週間～2 週間以内が適切です。
事例：「3440-01 個人情報開示等請求書兼回答書」の一部

利用目的を通知しなくてよい場合は、下記の場合に限定されています。
(法 18 条：努力義務、JIS：義務)
3.4.2.5 a) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
3.4.2.5 b) 当社の権利又は正当な利益を害するおそれがある場合
3.4.2.5 c) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき
3.4.2.5 d) すべての開示対象個人情報の利用目的を公表している場合。
ただし、回答しない場合であっても、その理由を示して本人に通知しなければなりません。

16.6

開示請求
開示請求に応じない場合は、下記の場合に限定されています。
(法 25 条：努力義務、JIS：義務)a)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)

当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

c)

法令に違反することとなる場合

c)の法令に違反することとなる場合では、金融機関が「組織的な犯罪の処罰及び犯罪利益の規制等に関する法律」第 54 条第 1 項に基づき、犯罪に係る取引について主務大臣に届け出を行った場合、そのことを本人（犯罪関係者）に知らせることが、同条第 2 項違反となる、等の事例があります。

日本システム監査人協会

会報

14

December 201316.7

日本システム監査人協会

会報

訂正、追加又は削除訂正等が必要でないと判断した場合や、訂正等の請求が正しくないと判断した場合には、訂正等を行う必要はありませんが、他の請求と同様に、その理由を本人に通知します。

16.8

利用又は提供の拒否権
利用又は提供の拒否に応じない場合は、下記の場合に限定されています。
(法 27 条第 1 項：努力義務、JIS：義務)

16.9

a)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)

当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

c)

法令に違反することとなる場合

本人および開示対象個人情報の確認
本人から開示等の要求があった場合、本人であることの確認、および開示対象個人情報であるかどうかを、確認してから対応します。
本人確認を行う場合は、できる限り保有している個人情報と照合し、本人確認のためだけに、あらたな個人情報を取得することはできる限り避けなければなりません。例えば、現住所を確認するためだ
けに、本籍記載の住民票を取得することのないよう注意します。

16.10

本人への回答方法

本人への回答は、開示等受付担当者が「3440-01 個人情報開示等請求書兼回答書」に記載し、個人情報保護管理者の承認を得て、書面もしくは本人が同意した方法によって回答します。
開示等の求めに応じられないときも同様に、個人情報保護管理者の承認を得て回答します。

■次回は「第 17 章 教育」「第 18 章 文書管理」「第 19 章 苦情」をご紹介します。＞目次へ
個人情報保護監査研究会 http://www.saaj.or.jp/shibu/kojin.html

日本システム監査人協会

会報

以上

15

December 2013

日本システム監査人協会

会報2013.11 投稿

協会からのお知らせ【

協会行事一覧

】会員番号 0557 仲 厚吉（事務局長）

2013 年
9月

理事会・事務局・会計認定委員会・部会・研究会

支部・特別催事

12 日 会計：予算実績中間報告

7 日 事例研：「課題解決セミナー」

12 日 事務局：会費未納状況まとめ

18 日 月例研：「システム監査の実践的2121-22 日 近畿支部：「システム監査体験
セミナー（実践編）」な進め方」
24 日 CSA フォーラム：「ＩＴ-Audit のＩ
ＳＯ化と IT ガバナンスのＪＩＳ化」（大崎）
10 月

10 日 会計：9 月末予算実績対比表の理事会報告

22 日 月例研：「スマートフォンのアプリ
ケーション・プライバシーポリシー
を巡る動向」

11 月

14 日 理事会：次期会長選任

16 日 認定委員会：CSA 面接

14 日 会計：予算申請提出依頼（11/30〆

20 日 認定委員会：CSA・ASA 更新手

切）

続案内〔申請期間 1/1～1/31〕

16 日 事務局：2014 年度役員改選公示準
備開始

21 日 CSA フォーラム：「システム監査に関わる人材のキャリアデザインと20 日 事務局：会費未納者除名通知発人材育成」（大崎）送

16 日 近畿支部:「事例に学ぶシステム
監査の基本と応用」
23 日 北信越支部：西日本支部合同研究会
28-29 日 東北支部：支部設立
10 周年記念システム監査実践セミナー

30 日 会計：2014 年度予算申請提出期限
12 月

１日 会計：2014 年度予算案策定

7 日 事例研：「課題解決セミナー」

6 日 北海道支部：支部総会

12 日 理事会：2014 年度予算案、会費未認定委員会：CSA 面接結果通知

14 日 東北支部：支部総会・支部設立

納者除名承認10 周年記念講演会

13 日 会計：支部会計報告依頼（1/11〆
切)
13 日 事務局：役員改選公示
13 日 事務局：通常総会開催通知メール
20 日 会計：2013 年度経費提出期限
27 日 事務局：2014 年度会費請求書・寄附願い発送〔１月１日付〕
2014 年
1月

2月

理事会・事務局・会計認定委員会・部会・研究会

10 日 通常総会開催案内掲示

認定委員会：CSA・ASA 更新申請受付

11 日 会計：支部会計報告期限〔申請期間 1/1～1/31〕

15 日 事務局：総会資料〆切

20 日 認定委員会：春期公認システム

20 日 会計：2013 年度決算案

監査人募集 案内 〔申請期間25 日 会計：2013 年度会計監査

2/1～3/31〕

31 日 償却資産税・消費税申告（CSA フォーラム）予定

6 日 理事会：通常総会議案承認

認定委員会：CSA・ASA 春期募集（2/1

2１日 通常総会 （特別講演）～3/31）

支部・特別催事
中部・近畿支部会計監査
17 日 近畿支部：支部総会

新役員
3月

1 日 事務局：法務局登記、東京都への事（CSA フォーラム）予定

業報告、変更届提出※注 定例行事予定の一部は省略。

日本システム監査人協会

会報

16

December 2013

日本システム監査人協会

会報2013.11 投稿【第 186 回 月例研究会 報告】
会員番号 1795 藤澤 博
【講演テーマ】「スマートフォンのアプリケーション・プライバシーポリシーに関するガイドラインについて」【講師】
一般社団法人モバイル コンテンツ フォーラム（ＭＣＦ） 常務理事
スマートフォンのプライバシー対応ＷＧ リーダー 寺田眞治氏（株式会社オプト）【日時・場所】
2013 年 10 月 22 日（火）18:30～20:30 機械振興会館 地下 2 階ホール
【講演概要】
寺田眞治様は、一般社団法人モバイル コンテンツ フォーラム（以下、ＭＣＦという）に所属され、MCFは次の3つの使命を掲げ、活動をされています。なお、ＭＣＦは現在、約200社の会員で構成されています。
１）モバイルコンテンツ関連産業の健全な発展のため、消費者や関係団体等と円滑な関係を構築し社会との共存共栄を目指して、業界をサポートしていきます。
２）モバイルコンテンツ関連産業の発展のため、利用者ニーズに立脚した多様なビジネスモデルを創造することを支援します。
３）我が国の将来を担う産業として、海外マーケットを含めた新たな市場の開拓の支援を推進します。
以下に、講演内容について、記述します。
1．定義 （講演に先立ち、以下の定義について、説明された。）（1） パーソナルデータについて（分類）■個人情報保護法は個人識別性を要件→識別された又は識別可能な個人（identified or identifiable individual）に関する情報■センシティブ情報（機微情報）は取得すること自体に慎重を期する必要のある情報
思想、信条及び宗教に関する情報／人種、民族、門地、身体・精神障害、犯罪歴、病歴その他の社会的差
別の原因となるおそれのある事項に関する情報／健康又は性生活に関する情報 等■保護されるパーソナルデータ○スマートフォンやタブレット端末など移動体端末に蓄積される以下のようなパーソナルデータ
電話帳情報／ＧＰＳなどの位置情報／通信内容・履歴、メール内容・送受信履歴等の通信履歴／アプリケーションの利用履歴、写真・動
画

契約者・端末固有ＩＤ○継続的に収集される購買・貸出履歴、視聴履歴、位置情報等■一般パーソナルデータ（保護されないパーソナルデータ）
氏名など本人を識別する目的などで一般に公にされている情報／本人の明確な意図で一般に公開された情報／名刺に記載されている情報など企業取引に関連して提供される情報（ビジネス関連情報）

日本システム監査人協会

会報

17

December 2013

日本システム監査人協会

会報(2) セキュリティ対策とプライバシー保護対策の違い
セキュリティ対策とプライバシー保護対策の違いを以下の表に示す。

一番多い
大企業に多い
例：SUICA・セキュリティ対策：悪意のある情報取得・利用（マルウェア）

・プライバシー保護対策：無知・無関心な情報取得・利用（3）スマートフォン・ プライバシー ・イニシアティブ（ＳＰＩ）について
以下の 6 つの基本原則を利用者に、しっかり説明すること。また、自分の情報がどのように使われているかを明らかにすることが大切である。

日本システム監査人協会

会報

18

December 2013

日本システム監査人協会

会報（4）パーソナルデータ利活用の原則（モバイルだけでなくインターネットも同様）
・透明性の確保
パーソナルデータの利用に関し、本人が必要な情報に容易にアクセスする機会を提供すること。
・本人の関与の機会の確保
パーソナルデータの本人が、どのように利用されるかについて関与する機会を確保すること。
・取得の際の経緯（コンテキスト）の尊重
パーソナルデータの利用は、本人がパーソナルデータを提供した際の経緯（コンテキスト）に沿って、本人の期待と合致する形態で行うこと。
・必要最小限の取得
パーソナルデータの取得は、利用目的の実現のため必要最小限のものとすること。
・適正な手段による取得
パーソナルデータの取得は、適正な手段によるものとすること。
・適切な安全管理措置
パーソナルデータは、パーソナルデータの性質に沿って適切な安全管理措置をとること。
・プライバシー・バイ・デザイン
パーソナルデータを利用する者は、商品開発時などそのビジネスサイクルの全般にわたって、プライバ
シーの保護をデザインとしてあらかじめ組み込んでおくこと。
【プライバシー侵害の事例】 （自分が知らないうちに、端末内情報や利用者情報が使われる。）①カレログ（2011/8/30）
有限会社マニュスクリプトが「彼氏追跡アプリ カレログ」をリリース。インストールされた端末の現在地情報、バッテリー残量、アプリケーションの一覧を外部から閲覧することが可能となる。
プライバシー侵害、マルウェアの可能性があるとして、社会的問題となった。
②app.tv（2011/10/11）
株式会社ミログと日本テレビグループの株式会社フォアキャスト・コミュニケーションズが共同開発した
Androidアプリ「app.tv」が端末固有の番号と、インストール中のアプリすべての名称、いつアプリを起動したかなどの情報を無断で収集。利用規約の同意の可否に関わらず送信していた。
③Carrier IQ（2011/11/29）
台湾HTC製や韓国サムスン電子製などの一部のAndroid端末にプリインストールされるCarrier IQというソフトウエアが、通話記録やショートメッセージ（SMS）、位置情報、検索URLなど様々な情報を無断で収集・送信しているとして、世界的に大きな騒ぎに発展した。
2011/12/1 米Appleは「Carrier IQ」をモバイルデバイス製品に実装していることを認めた。Appleは同ソフトウ
エアの使用をやめる方針も明らかにした。
③ビューン（2012/1/12）
大手通信会社のソフトバンクのグループ会社「ビューン」がスマートフォンなどに提供している電子書籍のソフトが、利用者が読んだ雑誌や新聞の内容や閲覧時間などの情報を無断で記録していたことが分かり、会社
では、指摘を受けて利用規約に明記するなどの改善措置を取ることになった。

日本システム監査人協会

会報

19

December 2013

日本システム監査人協会

会報

２．ＭＣＦのガイドライン
ＭＣＦガイドラインは、スマートフォンにおける利用者情報を活用する事業者等が、利用者に対して分かりやすく透明性が高い説明を行い、理解と有効な選択を促すことを目的に作成された。
（1）策定の経緯＊ 配慮原則は、寺田様が提案された。

（2）ＭＣＦのガイドラインの位置づけ
スマートフォン プライバシー イニシアティブの「スマートフォン利用者情報取扱い指針」第 5 章
各論【①スマートフォンにおける利用者情報を取得する者における取組】の重要ポイント

日本システム監査人協会

会報

20

December 2013

日本システム監査人協会

会報（3）ＭＣＦガイドラインの構成
このガイドラインは、アプリケーション提供者に対し、アプリケーションごとのプライバシーポリシーの作成や掲
出方法について、必要要件、推奨要件やモデル案が記されたものである。
第１部：充足すべき必要条件
総務省「スマートフォン プライバシー イニシアティブ」
スマートフォンにおける利用者情報の取扱いの在り方（第５章）を提示。
第２部：実装にあたっての推奨要件「アプリケーション・プライバシーポリシー」の実装にあったって推奨される要件を提示。
指針では触れられていない具体的な方法や実態に合わせた追加事項等。
第３部：実装にあたってのモデル案「アプリケーション・プライバシーポリシー」のモデル案と作成ガイドを提示。
詳細な本編だけでなく概要の作成方法についても提示。
（4）ＭＣＦガイドライン推奨要件の要点
１．アプリケーション・プライバシーポリシーの名称について「個人情報保護方針」と混同されないように「アプリケーション・プライバシーポリシー」という。
２．通知又は公表および同意取得等のタイミングについて最低でも初回起動時に利用者情報を取得する前に閲覧できるようにする。
３．アプリケーション・プライバシーポリシーを掲示する場所について「個人情報保護方針」「アプリケーションの利用規約」等と明確に区別できるようにする。
４．アプリケーション・プライバシーポリシーの変更について
変更前の利用目的と相当の関連性を有すると合理的に認められる範囲で行い、必要に応じて変更箇所や追加内容が理解できるように、通知又は公表することを推奨。
５．同意が得られなかった場合に制限される事項について
アプリケーションやサービスの利用が制限される場合は、その旨を説明することを推奨。
６．取得した利用者情報の取扱いについて
アプリケーションをアンインストールせずに端末の買い替えをした場合、退会手続きを経ずにアプリケーショ
ンを削除した場合、長期間利用せずに放置した等、一定期間利用が無い場合のために、取得した利用者
情報の保存期間や削除の方針を記載しておくことが有用。
７．必要要件以外の同意取得について
分かりやすく透明性が高い説明を行うだけでなく有効な選択肢の提供として、「アプリケーション･プライバ
シーポリシー」及び「契約者・端末固有ID等の取得」については同意を取得する。
８．日本語以外での説明に対する対応ついて情報収集モジュール提供者からアプリケーション・プライバシーポリシー等が日本語で提供されていない場
合は、情報収集モジュール提供者に日本語での提供を求めることを推奨。
９．既存のアプリケーションの本ガイドラインへの対応について既に提供されているアプリケーションにおいても、本ガイドラインへ可能な限り早く準拠することを求める。ア
プリケーションの改修が必要な場合は、改修計画を策定し、整備することを推奨。

日本システム監査人協会

会報

21

December 2013

日本システム監査人協会

会報（5）その他のガイドライン■2013年3月 一般社団法人電気通信事業者協会（TCA）
スマートフォン アプリケーション提供サイト運営事業者向けガイドライン
http://www.tca.or.jp/mobile/pdf/sphone03.pdf■2013年4月 一般社団法人日本オンラインゲーム協会（JOGA）
スマートフォンゲームアプリケーション運用ガイドライン
http://www.japanonlinegame.org/pdf/JOGA130405.pdf■2013年5月 一般社団法人モバイルコンテンツ審査・監視運用機構（EMA）
サイト表現運用管理体制認定基準 概説書（改訂）http://www.ema.or.jp/press/2013/0530_01.pdf
３．ガイドライン発表後、改善されているか？
（1）不正アプリの急増

悪意は急増（2）アプリケーションの流通の構造
現在、スマートフォンにおけるアプリケーションの流通は、オンラインでは iOS、Windows Phone は OS
ベンダーのマーケットプレイスに限られるが、Android では、ほぼ PC と同じで極めて多様である。

日本システム監査人協会

会報

22

December 2013

日本システム監査人協会

会報（3）安心・安全な利用環境の構築へ
・基本的な仕組みは、スマートフォンもＰＣも同じ
・今なら、ＰＣより安心・安全な利用の仕組みを構築することも可能（4）業界におけるプライバシー・バイ・デザインへの意識

そもそも「プライバシー・バイ・デザイン」の言葉を知っている
アプリケーション提供者は、ほぼ皆無と考えられる。

アプリケーション提供者の「プライバシー保護対策」は、自らの経験、他社の動向、マーケットプレイスからの要求が原動力で、基本的に受け身であるのが現状

４．今後の動向（1）SPI公表後の施策

日本システム監査人協会

会報

23

December 2013

日本システム監査人協会

会報（2）今後の課題① アプリケーション提供者への周知・啓発② アプリケーション・プライバシーポリシーどおりに開発・運用する体制の構築に関するガイドライン等の必要性(プライバシー・バイ・デザイン)③ 関係者間の連携とガイドラインの実効性の確保(3)パーソナルデータに関する検討会
内閣府 高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部）により2013年9月に設置。
各省庁（総務省、経済産業省、消費者庁、内閣官房等）により個別に論議されていたものを総合的に再整理
し、方向性を明確化。
様々な枠組みやガイドラインの整理だけでなく、以下のような大きな施策も含まれる。
・個人情報保護法の改訂
・番号制度創設に伴う個人情報保護に関する第三者機関・三条委員会の機能拡張
・プライバシーコミッショナーの創設
プライバシーコミッショナーは、各国で微妙に制度設計が異なるものの、その多くは政府や企業から独立し、プライバシーに関する様々な課題を判断・裁定・監視する委員会
・セーフハーバー協定
セーフハーバー協定とは、米国の企業がＥＵ指令の水準に適合する個人情報保護が実行されていることを自己宣言し、これを登録するもの。遵守出来ていないことが認められたと
きには、連邦取引委員会（ＦＴＣ）が不公正取引として制裁を加えるというもの。

日本システム監査人協会

会報24

December 2013

日本システム監査人協会

会報(4)最後に(ガイドラインの紹介)○ＭＣＦ スマートフォンのアプリケーション・プライバシーポリシーに関するガイドライン
http://www.mcf.to/temp/sppv/mcf_spappp_guidline.pdf○官民の関連情報を集約したポータル

http://jssec.org/spsc/

・スマートフォンの利用者情報等に関する連絡協議会（ＳＰＳＣ）の活動紹介
・指針、ガイドライン、業界団体及び関連事業者の活動紹介 等【講師の出版書物】

５.【質疑・応答】
質問１．アプリケーション・プライバシイーポリシーの作成にあたって、テンプレートがあるか？
回答１．KDDI研究所で、プライバシーポリシー作成ツールを公表している。
自動的にできるが、最低、基本原則は、取り入れる。
プライバシーポリシーと利用規約では、性質は異なるので注意すること。
質問２. アプリ提供者は、人権に対する意識が欧米に対して低いと思われる。端末メーカー、消費者団体も遅れている。関係者が多岐に渡っており、ユーザーには、誰が伝えるのか？ 啓発活動は？
回答２．EUでは、アプリ提供者は、個人の人権（プライバシー）を尊重しており、アメリカでは、FTC（取引委員会）で規制している。昨年、ホワイトハウスで、プライバシーガイドラインが公表された。
日本では、人権の意識は低い。プライバシーの侵害は、個人に対して損害を与えるので、賠償責任としている。今後、日本は、人権について検討されていくと考えている。
６.【報告者所感】
寺田眞治様は、現在、㈱オプト 中国・韓国事業推進室プロジェクト・マネージャである。これまで新聞社とメーカーのハウスエージェンシーを経て、携帯コンテンツのベンチャー、サイバードの設立に参画された。その後、三菱商事、インデックス執行役員を経て現職。総務省の各種委員やオブザーバーをはじめ、業界団体の活動にも従事し、ＭＶＮＯ協議会会長代行や（一般社団法人）モバイル・コンテンツ・フォーラム常務理事として、活躍されている。今回の講演を拝聴して、感じたことは、スマートフォンの急速な普及に伴い、不正アプリが急増していることの深刻さである。利用者からみれば、不用意にインストールしないこと、また、セキュリティアプリケーションの導入を検討することが望まれている。一方、アプリケーション提供者は、個人情報やプライバシー保護の観点から
安全・安心にサービスを提供できるように、利用者情報を適切に取り扱うとともに、利用者に対して分かりやすく
透明性が高い説明を行うことが求められている。寺田様は、利用者保護とモバイル業界発展の両方の視点から活躍されており、アプリケーション提供者、スマートフォン使用者及び今後、使用する方に対し、事例を示して頂
き、有意義な講演を頂きました。
寺田眞治様には、改めて深くお礼を申し上げます。ありがとうございました。
以上
日本システム監査人協会

会報25

December 2013

日本システム監査人協会

会報2013.11 投稿【近畿支部 創設２５周年記念研究大会

パネルディスカッション「システム監査 2.0 への進化は可能か？」について
会員番号 0804 吉田 博一（近畿支部）
近畿支部 創設２５周年記念研究大会は、２０１３年７月６日（土）１３時～１７時に開催された。この大会の概要は、本部の会報のページにも掲載されているところである。
http://www.saaj.or.jp/members/201310SAAJKaihoNr151.pdf
しかし、パネルディスカッションの報告についての内容が不足しているという指摘があった。私はモデレータという立場
で、記録係ではなかったので正確ではないが、私やパネラーの記憶をもとに、当日の内容を詳しく報告したい。
1 問題提起：モデレータ（吉田博一）
この「システム監査 2.0」は、私の造語なので、なぜ今回このタイトルのパネルディスカッションを考えたかを説明したい。
今日発表があった研究プロジェクトを始めるきっかけになったのは、5 年前の「日本システム監査人協会近畿支部 20 周年記念シンポジウム(H20/7/12)」である。我々にとってショックだったのは、基調講演などで「システム監査が経営に役に立つのか、また、２０年
たってもシステム監査が、未だその役割が理解されてないのではないかという問いかけ」がなされたことである。
そこで、翌年には、「２０周年＋１公開シンポジウム－なんでいるねん！システム監査－(H21/8/29)」を開催し、次の提案をまとめた。「1 内部監査部門を持つ企業において，システム監査人を配置している企業の割合を年々向上させる、
2 実践で使えるシステム監査手順書を作成し，公布する活動を実施する、3 システム監査の有用性と内容を内部監査人に理解してもらえる提案を作成する、4 システム監査に経営判断を求めることの誤りを啓蒙する、5 情報システムの障害を起こした企業にシステム監査の実施状況を質問するようにマスコミ等に働きかける」
同年秋には、西日本 5 支部持ち回り開催の「西日本支部合同研究会 in OSAKA Bay (H21/11/14-15)」を大阪で行った。20+1 公開シンポジウムの提案の一つに関連する「情報システムの障害を起こした社会的に影響を与える」ことをコンプライアンス問題として研究会のテーマに取り上げた。これを機に、コンプライアンスの認識を深め、研究会の立ち上げにつながった。
2010 年(平成 22 年)には、その他も公募して、コンプライアンスのシステム監査(システム監査学会共催)、システム監
査法制化、ＢＣＰ、クラウド(システム監査学会共催)の 4 研究会、システム監査セミナーＷＧ、近畿支部サイトＷＧを立ち上げた。
研究会活動の成果をまとめ、レビューし、内容をブラッシュ・アップしていくため「２０１１年度研究大会(H23/8/20)」を行い、2012 年度も、コンプライアンスのシステム監査(システム監査学会共催)、システム監査法制化、ＢＣＰ、クラウド(システム監査学会共催)の 4 研究会、セミナーグループ、IT サービスグループ（ システム監査セミナーＷＧ、近畿支部サ
イトＷＧから名称変更）が継続した。2013 年度から、ソフトウェア著作権研究プロジェクトを新規に開始した（コンプラとク
ラウドは終了）。
さて、Web2.0 という概念がある。つまり、The Web as platform、Web がプラットフォームとなるという概念である。この概念の提唱者である Tim O’REILY は、更に、5，6 年前に “Government As a Platform” という Gov2.0 を提唱し、行政の在り方を変えるとして注目されている。
日本システム監査人協会

会報26

December 2013

日本システム監査人協会

会報

プラットフォームは、基盤の階層であり、その上位層の製品やサービスの提供を補完するもので、Web2.0 や Gov2.0
でプラットフォームとしてドミナント化が進んでいる。
同じように、システム監査がプラットフォーム＝基盤として、経営の諸課題を解決する「システム監査 2.0」への進化の可能性について、これまで進めてきた研究プロジェクトがその役を担うことができるかどうかをこのパネルディスカッショ
ンで考えていきたい。
2 研究報告についてのコメント
４つの研究報告について、パネラーからコメントをし、研究プロジェクト主査から意見を述べた。
浦上 豊蔵氏から、(1)「コンプライアンスのシステム監査」に対して、法律と IT との関わりが明確になるよう事例やマップを作ってはどうか、(2)「クラウド・コンピューティングのシステム監査」に対して、リスクの洗い出しが必要 IT 部門と業務部門との関係強化が必要とコメントがあった。
雜賀 努氏から、(3)「ＢＣＰと親和性の高い情報処理システムを目指して」に対して、 何を基準にクラウドを選ぶのか
IT 部門が組織の枠を超えることにならないか、(4)「新しい「ＩＴ事業者評価制度」導入の政策提言」に対して、法制化を目指す中で、到達点をどこに設定するかが課題とコメントがあった。
これに対して、各プロジェクトから意見を表明した。(2)「クラウド・コンピューティングのシステム監査」に関しては、深瀬 仁氏から、次の意見が表明された。
クラウド・コンピューティングでは資産を保有しないという特徴に、経営側から注目されている。事業規模の小さな企業が IT を活用する機会を拡大することに繋がる。これまでコンピュータ資産を保有してきた企業に於いても、今後の IT
投資を縮小し、従来以上の活用を図ることが可能である。本研究からは、クラウドコンピュータにおいては、自社保有と異なった視点でのシステム監査が求められることが明確になった。
クラウド化の進展により運用業務自体が外部へ移行する。IT 部門に於いては運用部門の人員削減が求められることになり、IT 要員をどのように活用するかが課題になる。
(3)「ＢＣＰと親和性の高い情報処理システムを目指して」に関しては、永田 淳次氏から、次の意見が表明された。
新たな事を仕掛けていくときは、組織の枠を超えて、誰かが旗振りをしないと進まないと思います。新商品の開発や新たなイノベーションを起こすとき等と同様で、既存の枠に縛られていては、新たな事（ここではＢＣＰの策定）を成功に導くことはできません。緊急時においてコミュニケーション系の道具は一番重要な役割を果たしますので、ＩＴ部門が組織の枠を超えて計画策定に貢献することが、策定の簡単化につながると思います。
3

会場からの質問に答えて休憩時間に回収した質問票に対して、質問数の多かったプロジェクト順に、研究プロジェクト主査から回答した。結局、時間の関係で 1 順のみの回答となった。
(1)報告②「クラウド・コンピューティングのシステム監査」への会場からの質問
・クラウド選定基準をシステム管理基準から評価されているが、実際のクラウド選定ではこの管理基準レベルにも密接に関するコスト＋デリバリーの面の評価について、抜けているような気がするのですが、どのように考えられておられるのでしょうか。
(2)報告③「ＢＣＰと親和性の高い情報処理システムを目指して」への会場からの質問
・BCP の容易化をねらいとされているが、採用したクラウドサービスの可用性、災害耐性にレベルが左右される問題をどう考えるか？実際、企業が採用したクラウドの停止障害は日常的に起こっている・クラウドだから頼りになるという考え方は短絡的ではないでしょうか？
日本システム監査人協会

会報27

December 2013

日本システム監査人協会

会報(3)報告④「新しい「ＩＴ事業者評価制度」導入の政策提言」への会場からの質問
・経審のモデルを適用することの妥当性、パラメータの妥当性の検証はどうするのか？
・各指標から多変量解析手法を用いて合理的な「判別方程式」の導出が可能ではないか？
(4)報告①「コンプライアンスのシステム監査」への会場からの質問
・「コンプライアンス」の定義は狭義の「法令遵守」から広義の「ステークホルダーの期待に応える」まで非常に幅広い
・したがって、まず最初にシステム監査が対象とすべき「コンプライアンス」の定義を明確にしないと、聞く方は混乱をきたす
・P.9 の○×の判断基準がわかりにくい
これに対して、報告②「クラウド・コンピューティングのシステム監査」への会場からの質問については、深瀬 仁氏から次の回答があった。
・自身の経験でのコメントとなりますが、3 年前クラウド導入を検討した際、単純にリスクとの天秤で評価をしようとすると、当時先に進めなくなってしまいました。今でこそ、クラウドファーストという言葉がありますが、まだまだ一般的ではなかったためです。しかし、実現においてスピードを求められたため、最低限クラウドで実現すべきポイントが何かを把握し承認を得て、スモールスタートをしました。但し、年月経過や利用者拡大などコスト増の要因も多く、オンプレミス
かクラウドかの評価基準は本来導入時に基準となる考え方で整理すべきだと感じています。クラウド評価に関する大きな課題であると認識しており継続課題の一つです。
報告④「新しい「ＩＴ事業者評価制度」導入の政策提言」への会場からの質問については、田淵 隆明氏から次の回答があった。
・建設業の経営事項審査のパラメータをそのまま用いている訳ではない。IT に相応しいようにアレンジしている。例えば、有資格者の人数については評点を重くしている。パラメータについてはあくまでも暫定値であり、継続的なブラッ
シュ・アップが必要であると考えている。
・多変量解析を用いた手法で、計算式の係数のブラッシュ・アップを行いたい。
４ 期待するプロジェクトについての意見
パネラー一人ずつ、自身が関わった研究プロジェクト以外で、システム監査 2.0 に期待される分野は何か？
雜賀 努氏
・法制化に興味がある。
・これから必要となる分野である。
深瀬 仁氏
・ＢＣＰと親和性の高い情報処理システムを目指して について意見・ＢＣＰ対策という点で、いざという時に情報システムがいかに経営に役に立つかを見せることが重要だと感じている。情報資産の維持管理だけでなく、例えば、東日本大震災やタイの水害のときなど、部品供給がままならないときに、既存材料（部品）でどの機種なら何台生産できるかのシミュレーションを行ってみせるなど、情報システムがあるからこそできることが多くあるのではないか。
・システムを止めない、経営を止めない、ということに如何に貢献できるかが重要。

日本システム監査人協会

会報28

December 2013

日本システム監査人協会

会報

永田 淳次氏・直接的な回答ではありませんが、次に回答します。
・Web2.0 では、ブラウザとサーバで構築されます。特定のコンピュータや通信プロトコルに依存するのではなく標準で開かれたシステムになっています。
・システム監査人が対象とするものは何か？それが今、大きく変化していると考えています。GMAIL や FACEBOOK
は監査の対象でしょうか？LINE はどう監査しますか？マッシュアップする API は、どう対応しましょう？
・IT の範囲は拡大する一方で、その拡大に対応したお墨付きを与えるにはどうすればいいのか、悩ましいところです。
・システム監査人が監査する対象は、機械系と人間系がありますが、人間系と比べて機械系は大きく変化しています。
今後、監査される方々に、いいね！と言ってもらえる監査活動が必要だと思います。
田淵 隆明氏・IT 業界においては、2003 年の SI 認定の廃止以降、有資格者が優遇されず、むしろ「悪貨が良貨を駆逐する」ような事態が発生している。
・一部の会計ソフトにおいて、制度対応の不備が散見されるが、IT 業界全体のレベル・アップが必要である。そのためにもシステム監査の法制化は必要であり、有資格者の制度化が必要である。「システム監査人」を会社法上の「会計監査人」とパラレルな地位にするべきである。
・製造業では、2006 年以降、IFRS コンバージェンスの流れに逆行して、他の先進国でみられない研究開発費の一律費用処理が行われている。これにより、研究・開発をすればするほど赤字になる、という異常事態が発生している。そのため、ブレインの流出が進んでいる。近年、アジア諸国に技術が流出し、我が国の製造業が苦境に陥る一因になっている。
・かような事態は早急に改善が必要であり、衆参の議員も含め、今後も積極的にロビー活動をしていきたい。
浦上 豊蔵氏・システム監査が経営に貢献するためには、システム監査人は経営層の抱える課題を認識し、現状のシステムが提供している機能とのギャップを正しく理解して提言できる存在にならなければならない。
・システム管理基準や情報セキュリティ管理基準に準拠した監査では不十分である。システム監査人はこれまで以上に経営について造詣を深め、適切な助言ができることが求められる。
・クラウド化の進展により情報システム部門の人員削減が進む可能性がある。情報システム部門は、より業務サイドに近い存在でなくてはならない。現場の要望に耳を傾け、現場の業務を支援する IT システムの利用や機能を具体的に教授し事業に貢献することが必要だ。システム監査人には、情報システム部門が経営に貢献するための助言が求められるようになる。
5 まとめ
このパネルディスカッションを通じて、システム監査 2.0 の方向性は見えてきただろうか。今後も、このテーマは継続して取り組むべきと考えている。より多くの皆さんの積極的な参加を期待する。
以上

日本システム監査人協会

会報29

December 2013

日本システム監査人協会

会報2013.11 投稿
注目情報（2013.10～2013.11） ※各サイトのデータやコンテンツは個別に利用条件を確認してください。

■ＩＰＡ（独立行政法人情報処理推進機構）
Oracle Java の脆弱性対策について(CVE-2013-5782 等)（2013.10.16）
http://www.ipa.go.jp/security/ciadr/vul/20131016-jre.html■ＩＰＡ（独立行政法人情報処理推進機構）
Microsoft 製品の脆弱性対策について(10 月)（2013.10.9）
http://www.ipa.go.jp/security/ciadr/vul/20131009-ms.html■ＩＰＡ（独立行政法人情報処理推進機構）
Internet Explorer の脆弱性対策について(CVE-2013-3893)（2013.10.9）
http://www.ipa.go.jp/security/ciadr/vul/20130918-ms.html■ＮＩＳＣ（内閣官房情報セキュリティセンター）
情報セキュリティ国際キャンペーン・シンポジウムが開催された。（10/30）※発表資料が公開された。
http://www.nisc.go.jp/security-site/campaign/ajsympo2013/agenda.html■警察庁
平成 25 年上半期のサイバー犯罪の検挙状況等について（2013.9.25）
http://www.npa.go.jp/cyber/statics/h25/pdf01-1.pdf■総務省
情報通信審議会 ドメイン名政策委員会（第 1 回）（2013.10.31）
http://www.soumu.go.jp/main_sosiki/joho_tsusin/policyreports/joho_tsusin/domain_name/02kiban04_0300011
6.html■ＮＩＣＴ（独立行政法人 情報通信研究機構）
SSL の脆弱性を検証するシステム「XPIA」を開発(2013.10.22)
http://nict.go.jp/press/2013/10/22-1.html■トレンドマイクロあなたのメールや SNS が乗っ取られたらどうする？
安全なアカウント管理の実践法をマスターしよう！（2013.9.17）
http://is702.jp/special/1448/partner/12_t/?cm_re=article-_-threat-_-is702■日経ＢＰ
クラウド OS 時代の IT 基盤の選び方（2013.11）
http://special.nikkeibp.co.jp/ts/article/aca0/154582/
以上

日本システム監査人協会

会報30

December 2013

日本システム監査人協会

会報2013.11 投稿【協会主催イベント・セミナーのご案内】■月例研究会（東京）
日時：2013 年 11 月 18 日（月）18:30～20:30、 場所：機械振興会館 地下２階ホール
テーマ2013 年版ＣＯＳＯ内部統制フレームワークの概要
講演骨子2013 年 5 月、内部統制フレームワークの事実上の世界標準の設定組織である COSO
が、その最新フレームワークを公表しました。新フレームワークは、1992 年に公表された
内部統制フレームワークを最新化したものであり、1992 年当時から現在までに生じた経営環境の変化や IT 技術の進化に対応したものです。まず COSO フレームワークが作成された背景を説明し、今回の改訂の位置づけ、構成、改定の概要を説明します。特にガバナンス、不正リスク評価など特徴的なトピックに重点を置いた説明をする予定です。
COSO は、1992 年版フレームワークを適用している組織は、2013 年版フレームワークにて提示された諸原則が満たされていることを確認することを推奨しています。本セッショ
ンでは、2013 年版 COSO 内部統制フレームワークの概要を解説します。
講師
森谷 博之 氏有限責任監査法人トーマツ エンタープライズリスクサービス シニアマネージャー
お申し込み ＨＰからお願いします。（http://www.saaj.or.jp/kenkyu/kenkyukai187.html）
第 188 回予定
日時：2013 年 11 月 28 日（木）18:30～20:30 ※詳細は HP でご案内します。
場所：機械振興会館（会場の都合により、11 月に 2 回開催）

第
１
８
７
回
月
例
研
究
会

■事例に学ぶ課題解決セミナー（東京）
第
12
回
予
定

日時：2013 年 12 月 7 日（土）13:00～17:00、 場所：晴海グランドホテル
概要
・実際の事故事例をもとに未然防止策のポイントを学びます。
・事例講義と簡易演習でそれぞれ異なる事例を用います。
※詳細および募集要項は HP でお知らせします。

開催方法

・年 4 回の定期開催ですが、企業様などへの出張セミナーも常時受け付けています。

■公認システム監査人特別認定講習（東京・大阪）
開催
中

公 認 シ ス テ ム 監 査 人 (CSA ： Certified Systems Auditor) お よ び シス テ ム 監 査 人 補 (ASA:Associate
Systems Auditor)の資格制度にもとづく認定条件を得るための講習です。
概要 ・システム監査技術者試験と関連性のある各種資格の所有者については、特別認定制度に基づく本講習により、CSA・ASA 認定申請に必要な資格要件を満たすことができます。
・特別認定制度の詳細はＨＰで公開しています（http://www.saaj.or.jp/csa/shosai.pdf）。

お申し込み

講習開催スケジュールと申し込み先をＨＰでご案内しています。
（http://www.saaj.or.jp/csa/tokuninannai.html）■中堅企業向け「６ヶ月で構築するＰＭＳ」セミナー（東京）
申
し
込
み
常
時
受
付
中

概要

基本コース
料金
会場
テキスト

日本システム監査人協会

個人情報保護監査研究会著作の規程、様式を用いて、6 ヶ月でＰＭＳを構築するためのセミナーを開催します。
詳細をＨＰでご案内しています。（http://www.saaj.or.jp/shibu/kojin.html）
月 1 回（第 3 水曜日）14 時～17 時（3 時間）×6 ヶ月※他に、月 2 回の応用コースなどがあります。
9 万円/1 名～（1 社 3 名以上割引あり）
日本システム監査人協会 茅場町オフィス
SAAJ「個人情報保護マネジメントシステム実施ハンドブック」（非売品）
会報31

December 2013

日本システム監査人協会

会報■システム監査サービス（全国）
申 情報システムの健康診断をお受けになりませんか？ 実費のみのご負担でお手伝いいたします。
し 概要
・経験豊富な公認システム監査人が、皆様の情報システムの健康状態を診断・評価し、課込
題解決に向けてのアドバイスをいたします。これまでに多くの監査実績があり、システム監
み常査サービスを受けられた会社等は、その監査結果を有効に活用されています。
時・システム監査の普及・啓発・促進を図る目的で実施しているものです。監査にかかる報酬
受付は無償で、監査の実施に要した実費（通信交通費、調査費用、報告書作成費用等）のみ
中
お願いしております。
・ご相談内容や監査でおうかがいした情報等は守秘します。
お問い合わせ システム監査事例研究会主査 畠中（Email：PEC01546@nifty.com）【

外部のイベント・セミナーのご案内（会報担当収集分）】■一般財団法人 会計教育研修機構（JFAEL）
日時、場所

2013 年 11 月 27 日（水）13 時 00 分～17 時 00 分 （開場 12 時）
公認会計士会館（市ヶ谷）①「改訂フレームワークの活用」（40 分）
講師：箱田 順哉 氏 (慶應義塾大学大学院特別招聘教授、公認会計士)②「ICEFR の活用」（40 分）
講師：森本 親治 氏 (新日本有限責任監査法人 金融アドバイザリー部 GRC 推
進室長 シニア・パートナー 公認会計士)③「組織における不正リスクへの対応」（40 分）
講師：頼廣 圭祐 氏 (あらた監査法人 総合金融サービス推進本部 金融調査室
主任研究員、公認会計士、米国公認会計士（ ニューヨーク州） )④「ガバナンス、ERM への展開」（40 分）
講師：神林 比洋雄 氏(プロティビティ LLC 最高経営責任者兼社長 公認会計士)
http://www.jfael.or.jp/practical/general/special/jfaelseminar_hk20131127_1.php

テーマ

詳細、申し込み先■青山学院大学大学院
日時、場所
テーマ
詳細、申し込み先

第 8 回公開シンポジウム
2013 年 12 月 21 日（土）14：00～17：30（開場 13：30）
青山学院大学 青山キャンパス 17 号館 6 階 本多記念国際会議場
メディアが問う わが国の会計および監査の課題
http://www.aoyama.ac.jp/sp/info/event/2013/01466/
以上

日本システム監査人協会

会報32

December 2013

日本システム監査人協会

会報

会報編集部からのお知らせ
１．会報テーマについて
２．会報記事への直接投稿（コメント）の方法
３．投稿記事募集□■ １． 会報テーマについて
前号から 3 か月間は「システム監査の未来」がテーマです。このテーマで会報記事を募るとともに魅力ある編集を行ってまいります。テーマの詳しいご説明を今号では巻頭記事に掲載いたしました。皆様から様々なご意見ご提案を会報に寄せていただき、会報がシステム監査を活性化する議論の場となれば幸いです。

□■ ２． 会報の記事に直接コメントを投稿できます。
会報の記事は、
１）PDF ファイルの全体を、URL（ http://www.skansanin.com/saaj/ ）へアクセスして、画面で見る
２）PDF ファイルを印刷して、職場の会議室で、また、かばんにいれて電車のなかで見る
３）会報 URL（ http://www.skansanin.com/saaj/ ）の個別記事を、画面で見るなど、環境により、様々な利用方法をされていらっしゃるようです。
もっと突っ込んだ、便利な利用法はご存知でしょうか。気にいった記事があったら、直接、その場所にコメントを記入できます。著者、投稿者と意見交換できます。コメント記入、投稿は、気になった記事の下部コメント欄に直接入力し、投稿ボランをクリックするだけです。動画でも紹介しますので、参考にしてください。
（ http://www.skansanin.com/saaj/ の記事、「コメントを投稿される方へ」 ）□■ ３．会員の皆様からの投稿を募集しております。
分類は次の通りです。
１．めだか （Word の投稿用テンプレートを利用してください。会報サイトからダウンロードできます）
２．会員投稿（Word の投稿用テンプレートを利用してください）

３．会報投稿論文 （論文投稿規程があります）
いつでも募集しております。 気楽に投稿ください。 特に新しく会員となられた方（個人、法人）は、システム監
査への想いやこれまで活動されてきた内容で、システム監査にとどまらず、IT 化社会の健全な発展を応援できるような内容であれば歓迎いたします。
次の投稿用アドレスに、テキスト文章を直接送信、または Word ファイルで添付していただくだけです。
投稿用アドレス：saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステ
ム監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。

日本システム監査人協会

会報33

December 2013

日本システム監査人協会

会報

会員限定記事【本部・理事会議事録】（当協会ホームページ会員サイトから閲覧ください。パスワードが必要です）＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行： NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は会員への連絡事項を含みますので、会員期間中の会員へ自動配布されます。
会員でない方は、購読申請・解除フォームに申請することで送付停止できます。
【送付停止】 http://www.skansanin.com/saaj/
Copyright(C)2013、NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編集： 仲 厚吉、安部 晃生、越野 雅晴、桜井 由美子、中山 孝明、藤澤 博、藤野 明夫
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

日本システム監査人協会

会報34