2018年度「情報セキュリティ研究プロジェクト」成果報告

201９.6.７.JSSA大会

ひとり情シスとガバナンス「The system administrator of only one person
and his IT governance」

2019年06月07日
情報セキュリティ合同研究会©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

研究内容
【テーマ】
ひとり情シスとガバナンス【⽬次】
１．本研究の背景と狙い
２．先⾏研究の整理
３．研究の仮説
４．研究⼿法
５．分析結果の提⽰（情報システム監査⾯）
６．考察（情報システム監査⾯）
７．研究⼿法（情報セキュリティ⾯）
８．分析結果の提⽰（情報セキュリティ⾯）
９．考察（情報セキュリティ⾯）
１０．まとめ・結論©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

１．本研究の背景と狙い【背景】
中⼩企業を中⼼に多くの企業において、⼈材不⾜等の要因により、ひとり情シス状態（情報システム担当者がひとりしか居ない）、兼任情シス状態（他業務担当者が情報システム担当者を兼任している）が散⾒される。
しかしながら、ITガバナンスの観点から⾒た場合、ひとり情シス状態や、兼任情シス状態を選択することによって⽣じる、組織全体のリスクをモニタリング、評価されていないという懸念がある。
【狙い】
本研究は、ひとり情シスや兼任情シスを選択するにあたって、経営として認識すべきリスクを提⽰するとともに、ひとり情シスを選択せざるを得ない場合に実施すべき補完的コントロールを提案することで、ひとり情シス・兼任情シスの選択を余儀なくされる企業においても、リスクを認識し、適切なコントロールを実施できるための⼀助となることを狙いとする。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

２．先⾏研究の整理
中堅企業IT投資動向調査（※）によると、以下のような状況であることがわかった。
約38%が１名以下

１．ひとり情シス状況
中堅企業の約38％が情報システム担当者１名以下（18.8％：専任担当者１⼈、18.8％：専任担当者なし）→

2016年度調査時27％、2017年度調査時32％と毎年増加傾向

また、クラウドの普及により、ひとり情シスでもシステム導⼊・運⽤可能な状況が拡⼤している。

18.8
18.8

1417
2017年度

2018年度
専任担当がいない

２．セキュリティ事故状況→ 中堅企業の35.7%が直近３年間にセキュリティ事故の経験あり。
→ 昨年度の30.2%から５％の増。
→ 社員によると思われる不正⾏為からのインシデントが4.9%に達し、ユーザーのガバナンスに起因するインシデントが急上昇している。
３．セキュリティ対策状況→ 2017年度の調査では、IPAガイドライン準拠率は４％、CSIRT活動は１．５％（※）中堅企業IT投資動向調査
調査者 DELL,EMCジャパン
調査期間 2017年度：2017年11⽉~2018年1⽉、2018年度：2018年12⽉~2019年1⽉
調査対象 国内の中堅企業（従業員100名以上1,000名未満） 2017年度：700社以上、2018年度：868社©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

３．研究の仮説【仮説】
・ひとり情シスは、要員不⾜等のひとり情シスにせざるを得ないという状況のみ焦点が当てられて選択されており、リスクを評価した結果として選択されたものではない。
・ひとり情シスを選択したことによるリスクについて、補完的コントロールが実施されていない。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

４．研究⼿法【情報システム監査⾯】
情報システム監査⾯において実際に発⽣している事例を調査し、原因を特定するとともに、各企業での実態を把握することで、改善策を検討・提案する。
【情報セキュリティ⾯】
情報セキュリティの観点から、以下のような視点でアンケートを⾏い、類型化したうえで、注⼒すべき補完的コントロールを提案する。
項⽬

視点

事業環境

事業属性、財務、投資規模、計画、プロジェクトなど

計画

ガバナンス、計画、プロジェクトなど

組織・体制

IT組織、IT⼈材、企画体制、開発体制、運⽤体制など

システム

取扱いシステムや、管理状況など

インフラ環境サーバの構成や、クラウドサービス、ネットワークなど

・上記５分類、１１３問のアンケートを実施。
・４３社からの回答を受領し、全社から回答のあった８０問について分析。
©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

情報システム監査⾯©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

５．分析結果の提⽰（情報システム監査⾯）(1)
発⽣した事例につき、原因を特定し、改善策を検討した。
発⽣事例

発⽣事象の原因

改善策

業者選定に関する問題• RFPを作成せず、⼝頭発注• ⾒積書内訳を精査せず• 候補となる業者選定の根拠が不透明• 内部統制上の不備（システム導⼊時の業者選定のルールがない。）⇒信頼できる会社（親会社、関連する⼦会社等）に、システム開発、もしくは業者選定等を委託。
⇒RFPやRFIの書式、システム導⼊時の業者選定ルールなどを明確に定める。

要件定義に関わる問題• 能率が悪いフローを踏襲• システム開発を担当者に任せきり。 ⇒経営者が、適切なプロジェクト開（経営者は無関⼼）
発チームを設置する。
• 担当者は経営者、実務担当者との ⇒業務フローの⾒直しにもしっかり意思疎通が不⼗分。
踏み込む©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

５．分析結果の提⽰（情報システム監査⾯）(2)
発⽣した事例につき、原因を特定し、改善策を検討した。
発⽣事例

発⽣事象の原因

情報セキュリティの確保が不適切• AD（Active Directory)等を導⼊したが、権限設定が不適切であった• 外部媒体出⼒制御が実施できていなかった• 設定担当が不明確、予算が不⼗分。 ⇒セキュリティポリシ等を明確に定• 会社としてのポリシの議論が不⼗ める分⇒要員、システムが抱えるリスク等を考慮した予算措置⇒セキュリティの設定等のレビューの徹底

ソフトウエアの問題
・サポート期限切れ
・ライセンス管理が不適切• 資産管理が不徹底（台帳を作成しない、内容の修正等を怠る）• セキュリティに関する社員の意識が低い©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

改善策⇒情報資産管理ソフトなどの活⽤（PDCAの徹底）⇒備品管理ルールとの紐付け（パソコンを購⼊する際には、経理およびシステム部⾨の両⽅に伝達。もしくはシステム部⾨が機種を選定）⇒社員向けの研修（計画を策定、理解度を測定

2018年度「情報セキュリティ研究プロジェクト」成果報告

６．考察（情報システム監査⾯）◎「ひとり情シス」状態の組織の最⼤のリスクとは？
• 組織拡⼤に伴い、情報の価値（個⼈情報や取引先情報などを⼤量に保有）が⾼まり、管理するためのIT投資も増⼤• 企業経営における情報システムの位置づけが⼤きくなれば、システムが不具合を起こしたときの影響も⼤きくなる• 情報が漏洩すれば、会社の信⽤失墜、損害賠償等の対応が必要なケースあり。オンライン販売システムなどが停⽌すれば、会社の収⼊減少等の損害も発⽣する• 以下の通りの⼿順で、計画的にシステム部⾨を整備していく必要がある◎⼩規模組織におけるシステム部⾨の整備①管理者の統制やサポートがないひとり情シス状態（スタート）②リスク管理の定着、徹底により、管理者の統制やサポートが機能（単純業務などの委託等が可能に）③業務量が多くなり、担当者を複数に（ひとり情シス状態からの脱却）④独⽴したシステム部⾨の設置（権限も責任も明確に）。情報システム監査等も導⼊©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

６．考察（情報システム監査⾯）◎「ひとり情シス」状態の組織のリスクを適切に管理するために• 重要性に⾒合った、「ヒト」「モノ」「カネ」の措置
 「ヒト」…IT担当者の増員、能⼒向上 「モノ」…合理的なITに関わる設備投資計画の策定
 「カネ」…⼗分な経費措置（ソフトウエアの購⼊、保守費の措置等）• 独⽴したシステム部⾨の設置
 「ヒト」「モノ」「カネ」を要求するためには、明確な権限、責任を有する部署、担当者の配置が重要 （⼦会社である場合）親会社の関与のあり⽅を検討 親会社が情報システムの基盤を整備し、合理的な使⽤料で業務に活⽤ ⼦会社に親会社のシステム担当者を派遣、もしくはグループ内のシステム関係の⼦会社が⽀援©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

情報セキュリティ⾯©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

７．研究⼿法（情報セキュリティ⾯）
アンケート結果をもとに、ひとり情シスの類型化を⾏う。
類型化にあたっては、以下の特徴を有する「決定⽊」を利⽤して類型化することとした。
【決定⽊による分類イメージ】

IT組織が独⽴している。

個⼈情報を扱う担当キャリアが総務部⾨扱いが社内システムのみ

従業員数が200⼈以上

類型１

類型３

類型２

類型５

類型６

類型４

【決定⽊の特徴】
１．解釈が容易。
決定⽊での分類においては、データが分割されていく流れが把握しやすく、処理内容も理解しやすい。
２．数値、カテゴリデータが混在していてもよい。
分類の視点には、数値データ（⼤⼩⽐較が可能な連続的なデータなど）、カテゴリデータ（区分など）のいずれも採⽤することができる。
３．必要な前処理が少ない。
決定⽊では、データを分割するための指標として、特徴量を利⽤するので、スケーリング等の前処理が少ない。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

８．分析結果の提⽰（ひとり情シスの類型化）〜分類⼿順〜
決定⽊を⽤いた分類について、以下の⼿順に基づいて進める。
１．データを分割する基準を決定する。
まずは、データを分割する基準を決定します。ここでは、最も「きれいにデータを分割できる」基準を選びます。
「きれいにデータを分割」とは、今回の場合、「A：情報事故を起こす」「B：情報事故を起こさない」に分割する
に際し、分割した際に、AとBの混在具合が最も⼩さいように分割する基準を選定します。
（※「情報利得が最⼤（不純度が最⼩）」（後述）となる基準を選定します。）
２．データを分割する。
１にて選定した基準に基づいて、データを分割します。
３．設定した基準になるまで、１、２を繰り返す。
決定⽊分析では、「どれだけの階層まで分割するか」を考慮して、類型化を⾏います。
あまり、細かく分割されてしまわないように、適切な階層までの類型化とします。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

８．分析結果の提⽰（ひとり情シスの類型化）〜情報利得及び不純度〜◎「情報利得」とは、「データ分割の前後を⽐較して、どれだけきれいにデータを分割できたか」という度合になります。例えば、以下のようなデータとなる場合は、「IT組織が独⽴しているか」を最初の分割の基準とすることになります。以降、分割後のそれぞれの分類に対して、同様に次の基準を適⽤していく。
分割前
・・・・・・・

情報事故を起こしている（A）

情報事故をおこしていない（B）

５０５０

個⼈情報を扱っているかどうか。

分割後扱っている

扱っていないAA

B

この観点を採⽤す
る

IT組織が独⽴しているか独⽴している 独⽴していない
分割後

BABAB

さらに
４５ １０５４０
分割
分割前と分割後で、A,Bの混ざり具合が分割前と分割後で、A,Bの混ざり具合が⼩さ変化していない
くなっている→
きれいにデータを分割できていない。
→
きれいにデータを分割できている。
３０３０２０２０・・・ この観点 個⼈情報を扱っているかどうかを採⽤す扱っていない
扱っている
る

分割後

A
４３B０A
２

扱いが社内システムのみか社外もあり社内のみB
１０©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

分割後

AB

A

B

２３５２２５

さらに分割・・・

2018年度「情報セキュリティ研究プロジェクト」成果報告

８．分析結果の提⽰（ひとり情シスの類型化）〜アンケート結果〜
１．アンケート内容
５分類、１１３問のアンケートを実施。
２．回答結果１１３問のアンケートのうち、全社から回答のあった８０問において、決定⽊による類型化を⾏った。
３．決定⽊による類型化
決定⽊を利⽤して、類型化を⾏った結果、以下のような９つの類型が特定された。（各類型の詳細は後述）

類型パターン

セキュリティ問題危険性

類型パターン

セキュリティ問題危険性

類型１

A：情報事故を起こす

類型５

A：情報事故を起こす

類型２

B：情報事故を起こさない類型６

B：情報事故を起こさない

類型3

A：情報事故を起こす

類型７

A：情報事故を起こす

類型4

B：情報事故を起こさない

類型８

B：情報事故を起こさない

類型９

A：情報事故を起こす©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

８．分析結果の提⽰（ひとり情シスの類型化）〜決定⽊による類型化結果〜
1：全社横断的にIT関連のプロジェクトに関与する社員がいる

４５＜＝1.5

2：いるが特定部⾨に限定
3：いない

⾃社にITに関する豊富な知⾒を有する社員はいますか？

９社

凡例：

B：情報事故を起こさない

３４社
79<=1.5

8＜＝1.50
保有している機密情報は、インター1：保有していない

A：情報事故を起こす

ネットに接続したシステムから参照されることがありますか？

３社

⾃社のIT資産（システム、機器等）は、

2：インターネットに接続するシステムから参照できない
3：⾃社従業員がシステムにログインして参照する
4：顧客がシステムにログインして参照する

1：⼀覧化されている

２４社

６社

塁型１

2：⼀覧化されていないが、情報は整理されている
3：⼀覧化されていない

⽂書⼜は資産管理ツール（例：SKYSEA）等で⼀覧化されていますか？

１０社
２＜＝1.529＜＝1.５

３社

各情報システムやIT機器のオーナー部⾨や責任者は明確になっていますか？

1：明確であり、明⽂化されている

類型２

４社

2：明確であるが、明⽂化されていない
3：あいまいであり、必要に応じて都度責任者を設置している
4：明確になっていない

類型３

２社

６＜＝３．５
1：保有していない
2：限定された部⾨のみで保有している機密情報は、限定された部⾨のみで取り扱っていますか？
取り扱っている
3：複数部⾨で取り扱いがあるが、部⾨横断で情報を利⽤することはない

デジタルビジネスへの対応に向けて、1：予定していないし、可能性もない

4：複数部⾨で取り扱っており、部⾨横断で情報を利⽤する

類型４

類型５

２３社

１社

今後５年程度のうちに、インターネットに接続するWebアプリケーションやWebシステムの拡充の予定または可能

６社

1：積極的に役割を発揮す
る役員がいる

リスクに関する認識及びリスク懸念を有する役員は社内にいますか？

類型７

３９＜＝２．５

３社

練など、情報セキュリティに関する訓練は⾏っていますか？

1：全従業員（役員・アルバイト等含む）に⾏っている
2：⼀部の従業員にのみ⾏っている

４社

2：いるが役割が限定的
3：あまりいない

３社

不審なメールを受信した場合の対応訓

3：⾏っていない

類型８

類型９

２社

１社

４社
類型６

44＜＝1.5
サイバー攻撃を含む情報セキュリティ

３社©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

性はありますか？

2：予定はないが可能性はある
3：具体的な予定がある
4：着⼿済み2018年度「情報セキュリティ研究プロジェクト」成果報告

８．分析結果の提⽰（ひとり情シスの類型化）〜情報事故を起こした類型〜

全 社 横 断 情 シ ス 型 ひとり情シス・兼任情シス型

１．以上の分析の結果、情報事故を起こした類型は以下の通りであった。
⼀⼈類型
アンケート回答
情シス

企業数

類型１

全社横断的にIT関連のプロジェクトに関与する社員がいるが、機密情報を「保有していない」と認識している。

３社

類型３

全社横断的にIT関連のプロジェクトに関与する社員がいるかつ、機密情報が「インターネットから参照される」ことを認識しているが、システムのオーナー部⾨・責任者が明⽂化されていない。

２社

類型５

ITに関する知⾒を有する社員がいないか、特定の部⾨に限定されており、システムの⼀覧は作成されているものの、機密情報が複数部⾨で取り扱っており、部⾨横断で情報を利⽤している。

１社

類型７

ITに関する知⾒を有する社員が特定の部⾨に限定されており、システムの⼀覧も作成されておらず、情報セキュリティリスクに関する認識及びリスク懸念を有する役員が、いないか、限定的である。

３社

類型９

情報セキュリティリスクに関する認識及びリスク懸念を有する役員が明確になっているものの、ITに関する知⾒を有する社員が特定の部⾨に限定されており、システムの⼀覧も作成されておらず、不審なメールを受信した場合の対応訓練など、情報セキュリティに関する訓練が⾏われていない。

１社©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

９．考察（情報セキュリティ⾯）◎「ひとり情シス」の組織が情報事故を起こす状態とは。
アンケートの分析結果より、以下のようなひとり情シス・兼任情シスの場合は、以下のような状態のときに情報事故を起こしているという事実が確認された。
• 情報セキュリティリスクに関する認識及びリスク懸念を有する役員が、いないか、限定的である。
• システムの⼀覧が作成されていない。
• 機密情報が複数部⾨で取り扱っており、部⾨横断で情報を利⽤している。
• 不審なメールを受信した場合の対応訓練など、情報セキュリティに関する訓練が⾏われていない。
◎分析結果を踏まえ注⼒すべき補完的コントロールとは。
①情報セキュリティリスクに関して積極的に役割を発揮する役員を明確にする。
②システムの⼀覧を作成する。
③機密情報は限定された部⾨だけで取り扱う。
④社員に対する情報セキュリティに関する訓練が⾏う。
【補⾜】全社横断情シスでも気を付けるべき事項とは。
今回のアンケートにて、全社横断情シスが存在していても以下の状態である場合は、注意する必要があることがわかった。
• 機密情報を保有していないと認識している。（保有情報を認識できていない可能性がある。）• 各情報システムやIT機器のオーナー部⾨や責任者が明⽂化されていない。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

まとめ・結論©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

１０．まとめ・結論
クラウド化の進展によって「ひとり情報シスの状況」はさらに増えると想定できる中で、実際に毎年ひとり情報シスが増えている状況を資料により確認し、本研究を通して以下のような内容が確認できた。
【情報システム監査⾯】•

業務実態（例えば、個⼈情報をどの程度保有しているか？BCPが明確になっているか）、システム管理の課題、経営上重要なシステムの有無等を把握するために、実態調査は有効であることを確認した。

•

重要情報をシステム管理するようになった時点で、システムに関わるリスクが増⼤し、適切な管理が必要となるという仮説も確認できた。

•今後の研究において、「ひとり情シス状態」を脱却すべきタイミング、予兆などを具体的に⽰し、⼩規模組織におけるITガバナンスの確⽴に貢献することとしたい。

【情報セキュリティ⾯】•

ひとり情シス・兼任情シスにおいては、情報セキュリティに関する役員の役割を明確化、システム⼀覧の作成、機密情報の限定された部⾨での利⽤、社員に対する情報セキュリティ訓練の実施が重要であることを確認した。

•

また、全社横断情シスが存在する企業においても、機密情報を保有していないと認識していたり、システムのオーナー部⾨が明⽂化されていない場合は注意が必要であることを確認した。

•

今後の研究においては、分析結果の信頼性を⾼めるために、更に多くの企業に対して、アンケートを⾏い、ひとり情シス・兼任情シスの情報事故防⽌に貢献することとしたい。

©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ研究プロジェクト」成果報告

ご清聴ありがとうございました。
研究会は、さらに情報セキュリティとシステム監査の有効性と効率性を掘り下げてまいります。 研究会への参画をお待ちしております。
情報セキュリティ合同研究会＜２０１８年度

研究会

参加

メン

バ ー （敬称略）＞

川辺 良和：主査
芳仲 宏
⻑野 加代⼦浅野 卓 ：発表者
鈴⽊ 淳哉

：発表者

2019.06.07JSSA大会 システム監査における情報セキュリティ監査の位置づけ 情報セキュリティ合同研究会©2019JSSAシステム監査学会－「情報セキュリティ研究プロジェクト」 All right reserved.

22