クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

研究プロジェクト報告「クラウドコンピューティングのシステム監査（最終報告）」－ システム管理基準からのアプローチ －２０１３年 ６月 ７日

深瀬仁 （パナソニック溶接システム）松田 貴典（大阪成蹊大学）©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

研究プロジェクトのメンバー

氏名
主査 松田 貴典
副主査 深瀬 仁
伊地知 裕貴
浦上 豊蔵
木村 安寿
雜賀 努
高瀬 宜士
飛田 治則
林 裕正
福本 洋一
山本 全
吉田 博一

所属（組織）
大阪成蹊大学
ﾊﾟﾅｿﾆｯｸ溶接ｼｽﾃﾑ株式会社
株式会社ニイタカ
三洋電機株式会社
関西学院大学大学院
株式会社ニイタカ
帝塚山大学
株式会社ルシアン
富士通株式会社
弁護士法人第一法律事務所
ﾊﾟﾅｿﾆｯｸITｿﾘｭｰｼｮﾝｽﾞ株式会社
大阪府（アイウエオ順）

参加（団体）JSSA・SAAJ
JSSA
JSSA
JSSA・SAAJJSSA・SAAJJSSA・SAAJJSSAJSSA・SAAJ
JSSA・SAAJJSSA・SAAJ
SAAJ
JSSA・SAAJ
1©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

本日の内容
１．研究プロジェクトでの活動内容（第一期～第三期）
２．システム管理基準の適用・アプローチ方法・適用内容
３．考察・議論になったポイント、今後の課題
・システム管理基準にて適用できなかった点・システム管理基準適用での総括
2©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

研究プロジェクトのテーマ■クラウドコンピューティング（以下、単に「クラウド」と記載する）
により、これまでの外部委託形態以上に課題が潜在化し、雲のように実態をつかめない世界になってきている。
本研究プロジェクトでは、クラウドの研究とともに、情報システム活用の問題、情報データの管理や所有の問題、 委託契約問題など、システム監査においてどのような視点やアプローチがあるのか研究を進める。
■当研究プロジェクトは、２０１０年５月より開始、システム監査学会と日本システム監査人協会との共同プロジェクトである。
■今回の発表は最終報告である。
3©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

１．研究プロジェクトでの活動内容（２０１０年度：第一期）
期 間：２０１０年５月～２０１１年５月 （全７回）
内 容：クラウドを理解し、研究会にて目指す成果物を選定

クラウドの概念整理

（プレ）
（第１回）

サービス提供側からの最新動向の研究
富士通株式会社
株式会社セールスフォース・ドットコム（第２回）

クラウドに関する法的規制（第４回）

研究プロジェクトの目指す成果を議論

（第５回）
（第６回）

（第３回）

4
©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

１．研究プロジェクトでの活動内容（２０１１年度：第二期）
期 間：２０１１年６月～２０１２年５月 （全９回）
内 容：クラウドを対象にしたシステム管理基準の適用研究
進め方の検討（整理用ﾌｫｰﾏｯﾄ、チーム編成）（第１・２回）

想定対象の絞込みのためのモデル設定（第３回）

チーム毎に検討内容を持ち寄り議論（情報戦略/企画業務・開発・運用・保守・共通）（第４～６回）サービス提供会社との研究成果の確認（第７回）

全体を通しての読合せと発表論点のまとめ（第８・９回）
5©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

１．研究プロジェクトでの活動内容（２０１２年度：第三期）
期 間：２０１２年６月～２０１３年５月 （全６回）
内 容：①システム管理基準がクラウドへの適用が困難②クラウドに特化した留意点の考察 （最終まとめ）
システム管理基準への適用検討（第１・２回）

チーム毎の検討結果を再議論（情報戦略/企画業務・開発・運用・保守・共通）（第３・４回）システム管理基準への適用の困難性を討議
クラウド利用への留意点の整理
最終報告資料のまとめ（第５・６回）

6©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
クラウドを活用したシステムの管理水準を一定に保証するマネジメント基準が必要
マネジメント基準としてシステム管理基準を採用「企業として導入を適切に判断するのは極めて難しい」

経済的観点だけでなくクラウド選択の適切性、クラウド管理の整合性を見極める
7©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
システム管理基準のカテゴリに基づき、５つのチームわけを実施「情報戦略・企画」「開発」「運用」「保守」「共通」
チーム

Ⅰ．情報戦略Ⅱ．企画

参加メンバー※敬称略

雜賀・浦上・飛田・木村

Ⅲ．開発

伊地知・高瀬Ⅳ．運用業務深瀬・吉田

Ⅴ．保守林・伊地知

Ⅵ．共通業務福本・山本・松田
8©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
システム管理基準を適用するにあたっての視点オリジナルの管理基準との比較を行なえるように整理
・下段にクラウドにおける管理ポイントを記述
・下記の項目情報をクラウドにおける特性として付加
システム管理(監査)基準と監査のポイント

現確認すべき資料
確認方法

クラウド区分

置換・追加区分

保守業務１．保守手順（１）保守ルール及び保守手順は、保守の責任者が承認すること

クラウド自社のサービスに関係するクラウドシステ
ムの保守ルール及び保守手順をクラウド事業者と開発ベンダーを含めた上で合意し、責任者が承認すること。

ｻｰﾋﾞｽ提供会社へのコントロール内容

・保守契約書を締結しているか
クラウド事業における保守手順書

必要追加・保守手順が書面で明確化されているか

クラウド区分

クラウドにとって必要か不要かの判断基準

置換・追加区分管理基準を基とした場合、クラウド用に記入したものが、全くの置換なのか、追記した内容なのかを示す区分

サービス提供事業者に対するコントロール内容

クラウドで直接的な管理ができず、間接的な管理としてどのようなコントロールに置き換えるべきかという視点
9©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
モデル：システム管理基準を利用する企業・組織の想定範囲

企業規模
業種

製造業
従業員500人、自社内作 有、ｼｽﾃﾑ人員 15名

CRMシステム（顧客管理）
ｼｽﾃﾑｲﾒｰｼﾞ
低コスト・早期立上げを条件に、1年前に導入想定クラウドパブリッククラウド（ＳａａＳ）※ クラウド事業者以外の開発ベンダーによるアドオン有①クラウド選択の適切性（導入前）
監査ポイント②クラウド管理の整合性（導入後、管理面）
10©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
クラウドにおけるシステム監査のポイント（１）クラウド選択の適切性※視点はＩＴ内部監査人としてのもの①自社ニーズに対するクラウドの適合性
・クラウドの分類（Public、Privateなど）選択や、クラウドを選択してよい対象なのか？

②自社ニーズとＳＬＡの整合性
・稼働率は？（クラウドは意外と高くない） 、レスポンスは大丈夫？

③オンプレミスとの比較
・オンプレミスと比較して、クラウドのメリットがデメリットを上回っていることを確認④リスクアセスメントの実施
・クラウドにおいて発生しうるリスクに対しての対策 （ex.長時間停止リスク）（２）クラウド管理の整合性①監査対象（組織）・クラウド事業者、自社のクラウド利用部門②監査対象（サービス）と監査範囲
・クラウドの分類と管理責任についての十分な理解③クラウド管理に関する監査の実施
・仮想的ITリソースの管理と物理的ITリソースの管理を分けて考える（参考：ＩＳＡＣＡ監査基準研究会 著 「ＩＴ内部監査人」 生産性出版） 11©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用へのアプローチ
想定イメージの相関図

システム
利用終息

クラウド事業者

情報提供

開発環境

・SAS70TypeⅡ等
・自社基準

移行

本番環境

情報提供
・SAS70TypeⅡ等
・自社基準

使用許諾

ｻｰﾋﾞｽﾚﾍﾞﾙ確認

開発・テスト利用

テスト

ｻｰﾋﾞｽﾚﾍﾞﾙ
確認

内容確認
内容確認

クラウド利用者

開発ベンダー
請負

開発委託
再委託先
情報提供

ｻｰﾋﾞｽﾚﾍﾞﾙ確認

ユーザ（ｼｽﾃﾑｵｰﾅｰ）

利用
ユーザ

内容確認
12

©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用①情報戦略・企画

論点

まとめ

情報戦略・企画フェーズで、クラウドに特化したポイントとしてどこまで論じられるか。（選定基準など）自社が求めるサービスレベルをクラウドで実現できるかどうかの判断を行なえるか。
またベンダー能力を適正に評価できるか。
システム管理(監査)基準と監査のポイント

上流でのリスクの先読みが重要
経営視点でのクラウド利用に関する決定・承認プロセスが重要。
（ｾｷｭﾘﾃｨ・ｺﾝﾌﾟﾗｲｱﾝｽ・BCP・出口戦略 等）

確認すべき資料、確認方法

置換
追加ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・ｸﾗｳﾄﾞ導入事例の入手
・ｻｰﾋﾞｽﾚﾍﾞﾙ報告資料の提示と評価

必要

置
換

・情報ｾｷｭﾘﾃｨに係るｻｰﾋﾞｽﾚﾍﾞﾙ報告資料の提示と評価

現【情報戦略：全体最適化 方針・目標（２）】
情報化投資や情報化構想の決定における原則を定めること。

ｸﾗｳﾄﾞ区分クラ クラウドを利用する場合を想定した、情報化投資判断
ウド 基準を含めていること。

現【情報戦略：全体最適化 方針・目標（６）】
情報セキュリティ基本方針を明確にすること。
2)情報セキュリティ基本方針について、組織体の長の承認を受け、企業内外に周知していること。

情報ｾｷｭﾘﾃｨに係る
２）クラウド事業者から情報セキュリティに係るサービス ｻｰﾋﾞｽﾚﾍﾞﾙ報告資料
クラ レベルの提出を求め、情報セキュリティ基本方針との整 と情報ｾｷｭﾘﾃｨ基本方
ウド 合性を評価して、組織体の長の承認を受け、企業内外 針との照合結果リスク対応計画書、に周知していること。
代替案©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

13

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用
システム管理(監査)基準と監査のポイント（一例）①情報戦略・企画
確認すべき資料、確認方法【情報戦略：全体最適化 計画の策定（２）】1)CIO＜以下に共通＞は、全体最適化計画の策定方針において、法令、ガイドライン、基準などコンプライアンス上、考慮すべき外部ルールの遵守、コンプライアンスリスクへ現 の対処、組織体の構成員に対するコンプライアンスの徹底を明文化していること。
4)全体最適化計画の策定時点で法令、ガイドライン、基準などコンプライアンス上、考慮すべき外部ルールをすべて洗い出して、参照可能な状況にしていること。
1)CIO＜以下に共通＞は、全体最適化計画の策定方針 全体最適化計画
において、クラウドシステムの稼働環境を想定した国内外 立案にかかる規程の法令、ガイドライン、基準などコンプライアンス上、考慮 立案ルールの承認クラすべき外部ルールの遵守、コンプライアンスリスクへの対 記録、立案ルール
ウド処、組織体の構成員に対するコンプライアンスの徹底を明 周知状況文化していること。
※以下 4)～7) も同様に追記。

ｸﾗｳﾄﾞ区分置換
追加

ｻｰﾋﾞｽ提供会社へのコントロール内容

必要

置
換

・ｸﾗｳﾄﾞ環境のｻｰﾋﾞｽﾚ
ﾍﾞﾙの提示・評価

必要追加

・ｻｰﾋﾞｽ対象範囲の提示・評価【情報戦略：組織体制 情報システム部門（２）】
現 情報システム部門は、組織体規模及び特性に応じて、職務の分離、専門家、権限付与、外部委託等を考慮した体制にすること。
クラウドシステムの導入に伴い、情報システム要員を業務 人員配置計画
クラ 部門内に配置するなど、情報システム部門が業務側に近ウド づき実務知識の習得と業務ニーズの収集をより積極的に行える体制を構築できること。

14©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用①情報戦略・企画

システム管理(監査)基準と監査のポイント（一例）
現確認すべき資料、確認方法

ｸﾗｳﾄﾞ区分置換
追加

ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・契約時期（更新時期）の明示と評価

必要

追加・ｻｰﾋﾞｽ対象範囲の提示・評価【企画業務：開発計画（１）】
開発計画は、組織体の長が承認すること。

・クラウドの契約時期（更新時期）を明示すること。
クラ ・テスト系と本番系を持つ場合、その契約内容を明示
ウド すること。
・関係者にリスク管理責任者、法務責任者を加えること。

契約書【企画業務：開発計画（３）】
現 開発計画は、目的、対象業務、費用、スケジュール、開発体制、投資効果等を明確にすること。
・開発物の所有先について明示すること。
・クラウド使用の妥当性、業者選択の妥当性を検証すること。
クラウド ・クラウドを用いない場合との比較を行なうこと。
・ｼｽﾃﾑﾃﾞｰﾀを監査、税務上のエビデンスにしている
場合は契約完了時の対応を明らかにすること。
（法務担当者の了解を得る。）

開発計画書

15
©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用

②開発

論点

まとめ

クラウド事業者、開発ベンダー双方から、如何に取組み状況を入手するか。
マルチテナントによる制約をどう考慮するか。
開発期間のみの環境レンタルをどう評価するか。

利用者ニーズとクラウド事業者、開発ベンダーそれぞれの実現イメージの整合性確保が重要。
開発出来ないこと、不向きな点の把握。
開発環境の利用は委託契約と同様に評価。

システム管理(監査)基準と監査のポイント

確認すべき資料、確認方法

ｸﾗｳﾄﾞ区分置換
追加

ｻｰﾋﾞｽ提供会社へのコントロール内容

現【開発業務：開発手順（１）】
開発手順は、開発の責任者が承認すること。

クラウド事業者が提供する開発・テスト環境の確認。
クラ （性能評価、ｾｷｭﾘﾃｨ、移行策、開発環境の保持要否）
ウド 環境特有の開発リソース（言語・ツール）の活用要否を利用責任者が判断すること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
環境特有の開発ﾘｿｰｽ活用時の評価表（メリット・デメリット）

追加・開発ﾘｿｰｽ情報の提供と評価

現【開発業務：開発手順（３）】
開発手順は、開発の規模、システム特性等を考慮して決定すること。
ＳａａＳアプリのリリース計画を考慮して、決定すること。 SaaSｱﾌﾟﾘリリース計画
クラ開発ﾘｿｰｽ：開発標準
開発できないこと、不向きな点を把握すること。
ウド

必要・開発・テスト環境の提供方法の提示・評価

追加

必要置換

・ｸﾗｳﾄﾞ環境の想定ﾘｽｸ一覧の提示と評価

現必要・SaaSｱﾌﾟﾘのﾘﾘｰｽ計画
・標準/ｵﾌﾟｼｮﾝ/要開発の情報提供と評価【開発業務：開発手順（４）】
開発時のリスクを評価し、必要な対応策を講じること。
クラウド特有の想定リスクを加え、評価し、必要な対策を クラウド特有のリスク表
クラ講じること。
ウド（ｸﾗｳﾄﾞ環境のﾊﾞｰｼﾞｮﾝｱｯﾌﾟへの追随確認など）©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

16

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用

③運用

論点

まとめ

クラウドはあくまでも手段であり、業務委託の観点と クラウド事業者・開発ベンダーから、取組状況を類似する。オンプレミスとの境界線、自社で管理不常に入手。ｻｰﾋﾞｽﾚﾍﾞﾙどおり運用されているか、可能なところをｻｰﾋﾞｽﾚﾍﾞﾙや個別契約でどう補うか。 常にﾓﾆﾀﾘﾝｸﾞできる仕組みが存在していること。
システム管理(監査)基準と監査のポイント

確認すべき資料、確認方法

置換
追加ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・障害時運用ﾙｰﾙ、仕組みの提示

必要追加

・障害発生時の対応履歴の提示

必要

追加・再発防止策の提示
方法

現【運用：運用管理（１０）】
事故及び障害の影響度に応じた報告体制及び対応手順を明確にすること。

ｸﾗｳﾄﾞ区分

クラウド事業者からのｴｽｶﾚｰｼｮﾝ方法がｻｰﾋﾞｽﾚﾍﾞﾙ

クラ確認書に明記され、利用責任者がその内容を承認
ウドｻｰﾋﾞｽﾚﾍﾞﾙ確認書
障害連絡網していること。

現【運用：運用管理（１１）】
事故及び障害の内容を記録し、情報システムの運用責任者に報告すること。
事故および障害は、適時にユーザ部門に伝達されるクラ仕組みがあり、事故・障害発生時には、クラウド事業者ウドがｻｰﾋﾞｽﾚﾍﾞﾙどおり運用していることを検証すること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
障害時運用ルール
障害対応履歴

現【運用：運用管理（１２）】
事故及び障害の原因を究明し、再発防止の措置を講じること。

クラ ｻｰﾋﾞｽﾚﾍﾞﾙ確認書に基づきクラウド事業者から再発ウド 防止策が伝達され、その実効性を確認していること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
再発防止策

17
©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用

③運用

論点

まとめ

クラウドシステムを導入することにより、情報システム部門の役割が、単なるシステムの開発、運用から変化する。システム要員の極端なスリム化ではなく活用を考慮する必要がある。

クラウドシステムにより、運用負荷が軽減される
ため、情報システム要員はよりユーザ支援を行う業務に配置するなど、情報システム部門の役割と人員配置を再考する必要がある。

システム管理(監査)基準と監査のポイント

確認すべき資料、確認方法

置換
追加ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・ｸﾗｳﾄﾞ対象業務範囲の明確化

必要追加

・稼動実績の入手

現ｸﾗｳﾄﾞ区分【運用：運用管理（１３）】
情報システムのユーザに対する支援体制を確立すること。

既存システムのクラウド化に伴い、運用業務の実態がクラクラウド事業者に移転することを鑑み、要員再配置に
ウドｻｰﾋﾞｽﾚﾍﾞﾙ確認書ユーザ支援体制表
人員配置計画

よるユーザ支援体制の確立を考慮すること。

現【運用：運用管理（１５）】
情報システムの稼動に関するモニタリング体制を確立すること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書に基づきクラウド事業者が保証する

クラ稼働率が満たされていることを定期的にモニタリング
ウドｻｰﾋﾞｽﾚﾍﾞﾙ確認書
ｸﾗｳﾄﾞ稼動実績する体制を確立すること。

18©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用

④保守

論点

まとめ

クラウド事業者はｻｰﾋﾞｽﾚﾍﾞﾙを保証するのでなく、実績値公表のみのｹｰｽが多い。
利用者の自社リスクはどのように考慮すべきか。
保守の適用範囲はどこまで保証可能か。

クラウド事業者・開発ベンダーから、取組状況が常に入手可能なこと。
クラウドの利用範囲、使い方によって、特性に応じたルールが必要。 （ 移行時・廃棄時の課題 ）可監査性の保証範囲の見極め必要

システム管理(監査)基準と監査のポイント

確認すべき資料、確認方法

置換
追加ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・保守契約の締結可否

現【保守：保守手順（１）】保守ルール及び保守手順は、保守の責任者が承認すること。

ｸﾗｳﾄﾞ区分

利用者は、サービスに関係するクラウドの保守ルール

クラ及び保守手順をクラウド事業者と開発ﾍﾞﾝﾀﾞｰウドそれぞれの間で合意し、利用責任者が承認すること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
クラウド事業における保守手順書
保守対象内容一覧

現・クラウド事業者の保守体制【保守：保守手順（３）】保守時のリスクを評価し、必要な対応策を講じること。

クラ クラウド事業者が行う保守作業のリスクを、クラウド事業ウド 者を含めて評価し、対策を講じること。

・保守手順書の提示と評価

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
ｸﾗｳﾄﾞ保守実績

必要

追加は明確か。
・保守担当者のスキルは十分か。
・保守体制は確立されているか。

19©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用
システム管理(監査)基準と監査のポイント④保守確認すべき資料、確認方法

置換
追加ｻｰﾋﾞｽ提供会社へのコントロール内容

必要追加

・保守契約の締結可否

必要

追加

現

【保守：保守の確認（１）】
変更したプログラムのテストの実施は、保守のテスト計画に基づいて行うこと。

ｸﾗｳﾄﾞ区分変更したアドオンプログラムのテストの実施は、保守のテ ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
クラウド事業にクラ スト計画に基づいて、開発ﾍﾞﾝﾀﾞｰと利用者システム部門 おける保守手順書
ウド にて共同で実施すること。その際、クラウド事業者の問合 保守対象内容一覧せ先も明記しておくこと。
現【保守：保守の確認（２）】
変更したプログラムは、影響範囲を考慮し、テストを行うこと。

・保守手順書の提示と評価

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
変更したプログラムの影響範囲の調査は、開発ﾍﾞﾝﾀﾞｰが 変更内容確認表
クラウド、クラウド事業者への調査を十分に行い、その結果を利用者にて検証すること。

20©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用

⑤共通

論点

まとめ

自社が求めるサービスレベルをクラウドで実現できるかどうかの判断を行なえるか。

クラウド事業者、開発ベンダーの内部統制の有効性が検証できるか（可監査性）

クラウド事業者・開発ベンダーの能力を適正に評価するための情報を入手できるか。

まず利用者がどうあるべきかを見える化し、そこにクラウドが適用できるかの視点が重要。

システム管理(監査)基準と監査のポイント

確認すべき資料、確認方法

ｸﾗｳﾄﾞ区分置換
追加

ｻｰﾋﾞｽ提供会社へのコントロール内容

サービスレベル確認書
委託契約書・約款

必要追加

・委託契約書の内容提示と評価使用許諾契約書
委託契約書
開発ベンダー選定基準

必要

置
換

・開発ベンダーの選定基準の提示と内容評価

現【共通：品質管理 計画（１）】
品質目標に基づいて品質管理の計画を定め、ユーザ、企画、開発、運用及び保守の責任者が承認すること。

クラウド事業者との契約内容に関わる品質管理のクラ計画は、クラウド事業者との委託契約の締結権限者
ウドも承認すること。

現【共通：委託・受託 計画（１）】
委託又は受託の計画は全体最適化計画に基づいて策定し、責任者が承認すること。
通常、クラウド事業者とはクラウド使用（使用許諾）、開発ベンダーとは業務（アプリケーション）開発委託関係が発生。クラウド事業者の選定は、クラウドのクラ特性を評価し、適用する業務の対象範囲を見極める。
ウド
さらに、活用するクラウド事業者の選定と共に、そのクラウド事業者の提携する（推薦する）開発ベンダーの選定を最適化計画の中に盛り込むことが重要となる。

©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

21

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

２．システム管理基準の適用⑤共通

システム管理(監査)基準と監査のポイント【共通：災害対策 リスク分析（１）】
現 地震等のﾘｽｸ及び情報ｼｽﾃﾑに与える影響範囲を明確にすること。
ｸﾗｳﾄﾞ事業者からｸﾗｳﾄﾞに用いるﾘｿｰｽに対するクラ地震などのﾘｽｸ及び情報ｼｽﾃﾑに与える影響範囲のウド特定に必要な情報提供を受けそれらを明確にすること。

確認すべき資料、確認方法

置換
追加

必要

置換

必要置換

必
要

置
換

ｻｰﾋﾞｽ提供会社へのコントロール内容

ﾘｽｸ分析マニュアル
ﾘｽｸ棚卸し表
ﾘｽｸ評価書
ﾘｽｸ分析マニュアル
ﾘｽｸ棚卸し表
ﾘｽｸ評価書ｻｰﾋﾞｽﾚﾍﾞﾙ確認書【共通：災害対策 リスク分析（２）】現 情報ｼｽﾃﾑの停止等により組織体が被る損失を分析すること。

障害影響分析表

ｸﾗｳﾄﾞ事業者からﾘｽｸや影響範囲の情報を得て、ｼｽﾃﾑ停止等により組織体が被る損失を分析すること。
・ｸﾗｳﾄﾞ事業者から情報ｼｽﾃﾑの停止及び機能縮退
クラがどのような状況下で、どのような範囲で発生するウドのか、発生頻度も含めて情報提供を受け、その結果、自社業務にどのような影響を及ぼすことになるのか、充分に分析を行なうこと。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
障害影響分析表

【共通：災害対策 リスク分析（３）】
業務の回復許容時間及び回復優先順位を定めること。

業務別許容回復時間表
ﾘｽｸ分析書・評価書

ｸﾗｳﾄﾞ事業者の復旧手順を前提に、回復許容時間やクラ優先順位を定めること。組織体の方針に合わない場合ウドｸﾗｳﾄﾞの適用を止めることも判断すること。

ｻｰﾋﾞｽﾚﾍﾞﾙ確認書
業務別許容回復時間表
ﾘｽｸ分析書・評価書現ｸﾗｳﾄﾞ区分・リスク分析マニュアル、サービスレベル確認書の内容提示と評価・障害影響分析表と、サービスレベル確認書の内容提示と評価・リスク分析書・評価書、サービスレベル確認書の内容提示と評価

22©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

３．考察：議論になったポイント、今後の課題
・クラウド導入の場合、情報戦略・企画フェーズでのリスクの先読みが重要※ＣＩＯの役割に変化をもたらす
短期間で経営・ＩＴ両視点で自社のリスクを把握しクラウド導入・継続を判断できるスキル・『所有』 ⇒ 『使用』 に伴ない、自社の情報システム現場での運用業務が減少
自社の情報システム要員は、よりユーザ支援を行う業務（ﾌﾟﾛｾｽ・ﾃﾞｰﾀ分析等）への配置比率が高まるため、人員計画・教育への反映が必要
23©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

３．考察：システム管理基準にて適用できなかった点
利用者が所有しない仕組みのシステム管理基準への適用は困難
クラウドサービスの選定、継続利用、契約期間、終了にあたり、経営層が合理的な判断をするための評価指標が必要
しかし【システム管理基準】は、利用者が自社で管理できるもの(責任）を自社でいかに管理し評価しているかがポイント。（網掛け部分）
クラウド事業者は、あくまでもサービスを提供しており、サービス責任は、契約・約款内容に留まる。（結果、限定的な監査しか実現できない。）
クラウド事業者
開発・本番環境提供

稼動情報提供サービス提供システム管理基準にて適用できる範囲
開発ベンダー

利用に関する情報開示

ギャップ

クラウド利用者

開発実績

選定・評価

適用業務

対応可能クラウド

ギャップ

社内条件

ｻｰﾋﾞｽ信頼性選定・評価（ｾｷｭﾘﾃｨ・ｺﾝﾌﾟﾗｲｱﾝｽ）

技術力に関する情報開示©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

24

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

３．考察：システム管理基準適用での総括
クラウド利用者、クラウド事業者、開発ベンダーそれぞれの間で発生するギャップを埋めるために必要なことをルール化する。 クラウドサービス決定プロセス
・クラウド利用者が求める「選定基準」「選定レベル」 のルール化
・複数のクラウド事業者を同様基準で比較・選定するため、クラウド事業者からの「情報開示内容」 のルール化（利用時・開発時）
クラウド事業者
開発・本番環境提供
開発に関する
情報開示

選定・評価

サービス提供利用に関する情報開示

クラウドサービス
決定プロセス

ギャップ

開発ベンダー

稼動情報提供ギャップ

クラウド利用者

開発実績

選定・評価

適用業務

対応可能クラウド

ギャップ

社内条件

選定・評価

（ｾｷｭﾘﾃｨ・ｺﾝﾌﾟﾗｲｱﾝｽ）

ｻｰﾋﾞｽ信頼性
技術力に関する情報開示©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

25

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

３．考察：システム管理基準適用での総括研究会開始当初と比べ、クラウドに求められる内容が大きく変化（例）●対象業務範囲
・今までシステム化しにくかった領域（周辺） ⇒ 基幹系システムへの活用開始●導入障壁
・すぐ止められる ⇒ 一旦導入するとなかなか止められないシステムへの拡大●情報の安全性の考え方
・他社の導入状況や安定性が確認できてから ⇒ まずはクラウドでやってみるクラウドが今後、より重要なシステムに活用され始めた場合、データの流出や消失など、重大事故発生リスクをあらかじめ想定しておくことが大事

クラウドに特化した選定基準は必要（クラウドサービス決定プロセスの策定）
26©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告

ご清聴ありがとうございました。

27©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.

クラウドコンピューティングのシステム監査研究プロジェクト 2012年度研究成果報告©2013 JSSAシステム監査学会-「クラウドコンピューティングのシステム監査研究プロジェクト」 All right reserved.