2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

中間報告

Society5.0の実現に向けたクラウドによるITサービスとその監査保証
Cloud-based IT services for realizing Society 5.0 a study of implementing its audit and assurance
2020年6⽉
システム監査学会
IT監査保証の判断基準研究プロジェクト
⽇本電気株式会社
鈴⽊ 夏彦
システム監査技術者, CIA, CISA

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

この資料の内容は、発表者個⼈及び研究プロジェクト
メンバーの⾒解です。
発表者個⼈及び研究プロジェクトメンバーの所属組織
等とは関係ありません。

22020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⽬次• 研究報告• IT監査保証の判断基準プロジェクト 2020年度研究テーマ• IT監査保証の判断基準研究プロジェクトメンバー• ⽤語の定義• Society 5.0とクラウドサービス• クラウドサービスの課題• クラウドサービスの⽬指す⽅向• 信頼性を実現するリスク管理• ⾃動/リアルタイム/AI• コンプライ＆エクスプレインと保証のチェーン• Society5.0の実現に向けたシステム監査の役割• まとめ2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

3

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

研究報告
Society5.0の実現に向けたクラウドによるITサービスとその監査保証
Cloud-based IT services for realizing Society 5.0 - a study of implementing its audit and assurance

クラウド・バイ・デフォルト原則など、新たな価値を創出するITサービスの需要が急速に⾼まり、クラウド環境が提供する先進技術と強⼒なコン
ピューティングパワーは、Society5.0を実現するための新しいサービスを⽣みだすための必須のインフラストラクチャーとなった。⼀⽅で、重要イ
ンフラへのサイバー攻撃などのリスクも⾼まっており、安全なクラウドサービスを調達するための制度やプライバシー保護に係わる法や規制、基準等の整備も進んでいる。Society5.0の実現に向け、クラウドを活⽤した
安⼼・安全なITサービスを継続的に提供するITサービスとその監査保証の判断基準について考察する。
42020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

IT監査保証の判断基準研究プロジェクト
2020年度研究テーマ
ドラッカーの『テクノロジストの条件』を基本書として⽤い、以下を主要テーマにテクノロジーモニタリングの研究と実践を⾏い、その成果を発表
a. クラウド、サイバーセキュリティ等にかかる基準・標準の動向調査
b. 各研究プロジェクトメンバーによるビジネスとテクノロジーの最新動向の研究
c. 監査、評価⼿法、ツールにかかるグローバルな標準、基準の動向調査
d. コンピュータサイエンス、経営学、⼼理学、社会学とその背景となる哲学の研究
e. 上記研究成果の定例研究会等での発表および学会誌等への投稿

52020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

IT監査保証の判断基準研究プロジェクトメンバー
主査︔松尾 明（公認会計⼠, 公認情報システム監査⼈, TOGAF9認定アーキテクト）
※

五⼗⾳順

メンバー名

所属など

⽯島 隆 法政⼤学経営⼤学院教授
遠藤 正之 静岡⼤学情報学部教授
杉⼭ 哲男 Fintertech（株） CIA, CISA
鈴⽊ 夏彦 ⽇本電気（株） システム監査技術者, CIA, CISA
成⽥ 和弘 三菱UFJトラストシステム（株） システム監査技術者, CIA, CISA（株）東芝 システム監査技術者, ITストラテジスト, 情報処理安全確保⽀援⼠,

牧野 博⽂ ITコーディネータ, CISA

システム監査⼈事務所イレブンス システム監査技術者, 公認システム監査⼈(CSA),

⽔野 英治 MBA

⽶川 弘幸 SMBC⽇興証券（株） システム監査技術者, CIA, CISA

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

6

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⽤語の定義
本資料で使⽤している⽤語は主に以下の規格・ガイドの定義に準じる。
• JIS X 0170: 2020 (ISO/IEC/IEEE 15288: 2015) システムライフサ
イクルプロセス• National Institute of Standards and Technology (NIST) Special
Publication 800-37 Rev. 2, Risk Management Framework for
Information Systems and Organizations: A System Life Cycle
Approach for Security and Privacy, 2016
• National Institute of Standards and Technology (NIST) Special
Publication 800-145, NISTによるクラウドコンピューティングの定義
72020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

Society 5.0とクラウドサービス

82020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

Society5.0の⽬指す社会
サイバー空間（仮想空間）とフィジカル空間（現実空間）を⾼度に融合させたシステム（ AI / ⾃動 / リアルタイム）

経済発展と社会的課題の解決を両⽴する、
⼈間中⼼の新たな価値(出所) 内閣府, Society5.0 経済発展と社会的課題の解決を両⽴するSociety 5.0へ, 内閣府. (オンライン) (引⽤⽇: 2020年5⽉31⽇.)
https://www8.cao.go.jp/cstp/society5_0/

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

9

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

Society 5.0を⽀えるインフラストラクチャの要件
 ⼀連の価値創出活動⾃体の変更や変化への対応が必要
 サイバー空間とフィジカル空間が相互に作⽤しあうことでサイバー攻撃がフィジカル空間に及ぼす影響も増⼤

 部分的ではなく全体的な対応を通じた信頼性（trustworthiness）を確保す
ることが必要 情報のデジタル化機能の信頼性の確保や⼤量のデータの正確性・流通・連携を⽀えるセキュリティ対策も重要な課題(出所) 経済産業省サイバーセキュリティ課,サイバー・フィジカル・セキュリティ対策フレームワーク, 経済産業省. (オンライン) (引⽤⽇: 2020年5⽉31⽇.), 10
https://www.meti.go.jp/press/2019/04/20190418002/20190418002-2.pdf, 図i-2, pp.2-3.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

インフラストラクチャはクラウド中⼼に
政府情報システムは、クラウドサービスの利⽤を第⼀候補として、その検討を⾏うものとする (「政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針」より抜粋）
クラウドサービスの利⽤検討プロセス

クラウドのメリット

1. 効率性の向上
2. セキュリティ⽔準の向上
3. 技術⾰新対応⼒の向上
4. 柔軟性の向上
5. 可⽤性の向上(出所)各府省情報化統括責任者（ＣＩＯ）連絡会議決定, 政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針, 2018年（平成30年）6⽉7⽇,
政府CIOポータル. (オンライン) (引⽤⽇: 2020年5⽉31⽇) https://cio.go.jp/sites/default/files/uploads/documents/cloud_%20policy.pdf pp.3-7.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

11

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドコンピューティングの定義
クラウドコンピューティングの定義 (NIST SP 800-145)

 共⽤の構成可能なコンピューティ
ングリソース1の集積に
 どこからでも、簡便に、必要に応じて、ネットワーク経由でアクセスすることを可能とするモデルであり
 最⼩限の利⽤⼿続きまたはサービ
スプロバイダとのやりとりで速やかに割り当てられ提供される
1 コンピューティングリソース: ネットワーク、サーバ、ストレージ、アプリケーション、サービス(出所) Cloud Security Alliance 「クラウドコンピューティングのためのセキュリティガイダンス（第4版）」⽇本語版. ⽇本クラウドセキュリティアライアンス.
(オンライン) (引⽤⽇: 2020年5⽉31⽇.) https://cloudsecurityalliance.jp/j-docs/CSA_Guidance_V4.0_J_V1.1_20180724.pdf, p.12.
12

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

国内企業のクラウド化も進展
クラウドサービスの利⽤状況 (2018年)

クラウドサービス利⽤

58.7％ (n=2,107)
導⼊効果あり83.2% (n=1,302)(出所) 総務省, 令和元年度版 情報通信⽩書, 総務省. (オンライン) (引⽤⽇: 2020年5⽉31⽇)
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r01/html/nd232140.html

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

13

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

国内企業のクラウドサービスの活⽤理由
クラウドサービスを利⽤している理由 (2018年)

クラウドサービスを
安⼼・安全という観点で活⽤(出所) 総務省, 令和元年度版 情報通信⽩書, 総務省. (オンライン) (引⽤⽇: 2020年5⽉31⽇)
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r01/html/nd232140.html

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

14

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドサービスの課題

15

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドにおけるセキュリティ脅威
Cloud Security Alliance 11の悪質な脅威 (2019年)

1. データ侵害
2. 設定ミスと不適切な変更管理
3. クラウドセキュリティアーキテクチャと戦略の⽋如
4. ID、資格情報、アクセス、鍵の不⼗分な管理

事業継続性が侵されるリスク

5. アカウントハイジャック
6. 内部者の脅威
7. 安全でないインターフェースとAPI
8. 弱い管理プレーン
9. メタストラクチャとアプリストラクチャの障害
10.クラウド利⽤の可視性の限界

利⽤者とクラウドサービスプロバイダ（以下CSP）
双⽅の経営課題

11.クラウドサービスの悪⽤・乱⽤・不正利⽤
16(出所) Cloud Security Alliance, クラウドの重⼤セキュリティ脅威 11の悪質な脅威 2019 ⽇本語版. ⽇本クラウドセキュリティアライアンス. (オンライン) (引⽤⽇:2020年5⽉31⽇) https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2019/10/top-threats-to-cloud-computing-egregious-eleven_J_20191031.pdf

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドのサービス障害への対応
利⽤企業が多く事故が発⽣したときの社会的影響が⼤きく深刻→重要なシステムは、AZ（データセンターに相当）やリージョン（国・地域）を跨るバックアップ構成の検討も必要 Amazon Web Services• 2019年8 ⽉に⼤規模障害が発⽣、東京リージョンのデータセンタの⼀つで冷却システムに不具合が発⽣し、サーバーがオーバーヒート、仮想マシンおよびストレージに障害が発⽣• 多数の企業の事業に⽀障• ソフトバンクグループのスマートフォン決済「PayPay」で断続的に⽀払いや⼊⾦が不可• freee が提供する会計ソフトが利⽤不可• その他ユニクロ、⽇本ピザハット、スターバックスなど多数の企業の事業に影響• 仮想サーバーの復旧に約5時間、データベースの復旧に約7時間半を要したと報道、その後に各企業が提供するサービスの復旧が必要で、エンドユーザにサービスが再開されるまでは⻑時間を要した• サービス設計時に、複数のAZを利⽤してシステムやデータを冗⻑化していたシステムでは、サービスへの影響を回避した事例もあり

 Microsoft Office 365••••

2019年11 ⽉に2 ⽇連続で障害が発⽣し、多くの利⽤者に影響
11/19 ⽇本を含むアジアの⼀部のユーザで、外部からのメールの受信が遅れる障害が発⽣
11/20 メールやチャットなどの複数のサービスが繋がりにくくなる障害が発⽣し、約4時間後に回復
詳細については開⽰されていないため不明(出所) IPA, 情報システムの障害状況 2019 年後半データ, (オンライン) (引⽤⽇: 2020年5⽉31⽇)
https://www.ipa.go.jp/files/000080333.pdf p.3.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

17

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

サプライチェーンリスクの増⼤
クラウドを含むサービスをインテグレーションする利⽤形態が普及し、⾃社から⾒えないコントロールが増加 Chain of trust (トラストチェーン) の構築が必要
An Organization’s Visibility, Understanding, and Control of its ICT Supply Chains(NIST SP 800‐161)

クラウドサービス活⽤時のサプライチェーン (例)

システム
インテグ
レータ

利⽤者

CSP
(PaaS)

アプリケー
ション開発
ベンダ
セキュリティ
サービス
プロバイダ

ソフトウェ
アベンダ

CSP
(IaaS)(出所) National Institute of Standards and Technology, NIST Special Publication 800-161 Supply Chain Risk Management Practices for Federal
Information Systems and Organizations, NIST. (オンライン) (引⽤⽇: 2020年 5⽉31⽇.),
https://csrc.nist.gov/publications/detail/sp/800-161/final

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

18

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

複雑なシステム境界

明確に定義されたシステム境界 (バウンダリー) によって、組織の情報システムに対する保護範囲が定まる。境界をどう設定するかは組織の困難な課題
境界が広すぎる場合︓
リスクアセスメントプロセスが極めて扱いにくく、複雑になる
境界が狭すぎる場合︓
個別管理の情報システムの数が多くなり、コストが増加する

1

1 イネーブリングシステム (enabling system): ライフサイクルの段階においては対象システムを⽀援するが，運⽤中はその機能に直接的に寄与するとは限らないシステム (JIS X 0170:2020)(出所) National Institute of Standards and Technology, NIST Special Publication 800-37 Rev. 2 Risk Management Framework for Information Systems and Organizations:
A System Life Cycle Approach for Security and Privacy, 2016, NIST. (オンライン) (引⽤⽇: 2020年 5⽉31⽇.), p.157.
19
https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/final

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

システム境界によるセキュリティ

情報と
システムの
重要度に応じて
場所を分け
場所毎の
出⼊りを
管理

Internet
攻撃
通信の許可と監視
重要情報/システム

境界ＦＷ

基幹系

インターネット
メール

重要情報

DMZ
情報系WAN

基幹系WAN
基幹系LAN
基幹系

基幹系端末

情報系LAN
情報系端末

基幹系LAN
ファイル
サーバ

各拠点

情報系LAN

基幹系

基幹系端末

権限外アクセス2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

情報系端末

攻撃
ファイル
サーバ

各拠点

⼊退出の許可と監視20

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

システム境界によるセキュリティの弱点
Internet
通信の許可と監視
重要情報/システム

境界ＦＷ

基幹系

インターネット
メール

重要情報

侵⼊してしまった
攻撃者

DMZ

情報系WAN

基幹系WAN
基幹系LAN
基幹系

基幹系端末

情報系LAN
情報系端末

基幹系LAN
ファイル
サーバ

各拠点

基幹系

基幹系端末

内部不正

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

情報系LAN
情報系端末

内部権限者
の不正、
侵⼊した
攻撃者には
ほぼ無⼒

（標的型攻撃の⽔平展開等）

ファイル
サーバ

各拠点

⼊退出の許可と監視21

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドサービスによる複雑化
⼀般向け/⼤規模産業グ
ループ向け

単⼀の組織専⽤で運⽤

複数の組織で共有、管理は⾃営または委託独⽴または専⽤の技術で相互に接続

1 管理には以下を含む︓ガバナンス、運⽤、セキュリティ、コンプライアンス、その他
2 インフラストラクチャには設備など物理的インフラ、コンピュータ、ネットワーク、ストレージの装置を含む
3 インフラストラクチャの所在場所は物理的に組織の管轄下にあるかと、所管責任と管理の⼆つの意味がある
4 トラストのあるサービス利⽤者とは、組織の法的、契約上、⼜は指揮命令関係の下に位置するもので、従業員、下請事業者、ビジネスパートナーが含まれる。トラストのない利⽤者とは、サービスの⼀部または全部の利⽤を認められているが、組織の⽀配の及ぶ範囲にない者である。

(出所) Cloud Security Alliance 「クラウドコンピューティングのためのセキュリティガイダンス（第4版）」⽇本語版. ⽇本クラウドセキュリティアライアンス.22(オンライン) (引⽤⽇: 2020年5⽉24⽇.) https://cloudsecurityalliance.jp/j-docs/CSA_Guidance_V4.0_J_V1.1_20180724.pdf, p14.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

システム境界はさらに複雑化

クラウド
サービスA
クラウド
サービスB

Internet

多様な
多様な
サービス
サービス
の活⽤
通信の許可 の活⽤と監視

重要情報/システム

他の組織
他の組織
との協働
との協働

インターネット
メール

重要情報

DMZ

基幹系

基幹系端末

拠点基幹系ユーザ

メンバ
D1,D2,D3

情報系WAN

基幹系WAN
情報系LAN
情報系端末

基幹系LAN
ファイル
サーバ

各拠点

拠点情報系ユーザ

基幹系

情報系LAN
情報系端末

ファイル
サーバ

基幹系端末

本部

本部基幹系ユーザ

本部情報系ユーザ2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

ソシキE

ソシキD

境界ＦＷ

基幹系

基幹系LAN

クラウド
サービスC

メンバ
E1,E2,E3
リモートFさん

リモート
リモート
ワーカー
ワーカー
への対応
への対応

⼊退出の許可と監視

リモートGさん232019年度「IT監査保証の判断基準研究プロジェクト」成果報告[参考] 複雑化したシステム境界のセキュリティ対策~ ゼロトラストアーキテクチャ• ゼロトラストとは︖• ゼロトラスト（ZT）︔ネットワークは侵害されていると⾒做し、情報システムおよびサービスにおいて要求のある都

度、アクセスの真正さを強制的に要求することで不確実性を減らすように設計された、概念とアイデア• ゼロトラストアーキテクチャ（ZTA）︔ゼロトラストの概念を利⽤し、コンポーネントの関係、ワークフローの計画、ア
クセスポリシーを網羅する、事業体のサイバーセキュリティ
対策(出所) National Institute of Standards and Technology, Draft (2nd) NIST Special Publication 800-207Zero Trust Architecture, NIST. (オンライン) (引⽤⽇: 2020年5⽉24⽇.), https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207-draft2.pdf, p4 より仮訳
242020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告[参考] ゼロトラストアーキテクチャ
拠点情報系
ユーザ

本部情報系
ユーザ

本部基幹系
ユーザ
拠点基幹系
ユーザ

継続的診断対処（CDM）
脅威インテリジェンス

ゼロ・トラスト論理コンポーネント
ポリシー判断ポイントシステム(PDP)
アクセス
ポリシーエンジン 許可の判断

情報資産
インベントリポリシーマネージャ

アクセスが必要なユーザーと資産ID管理

認証・認可トークン
コントロールプレーン
データプレーン

メンバD1,D2,D3

データアクセスポリシー

基幹系

ポリシー適⽤ポイント 接続の有効化とシステム（PEP)
監視

インターネット/WAN/LANSIEMシステム

情報系

情報系
E社
協働
メンバE1,E2,E3
リモートFさん リモートGさん

D社
協働
クラウド
サービスA

クラウド
サービスB

リソース（データ、コンピューティングリ
ソース、アプリケー
クラウド ションなど）サービスC(出所) National Institute of Standards and Technology, Draft (2nd) NIST Special Publication 800-207Zero Trust Architecture, NIST. (オンライン) (引⽤⽇: 2020年 5⽉24⽇.),
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207-draft2.pdf, p9, Figure 2: Core Zero Trust Logical Components を参考に作成
252020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

ガバナンス構造の変化
ソフトウェアへの依存＝アーキテクチャ（ソースコード）がフィジ
カル空間をコントロール

⼿動/断⽚情報/⼈

⾃動/リアルタイム/AI(出所) 経済産業省, GOVERNANCE INNOVATION: Society5.0の時代における法とアーキテクチャのリ・デザイン（案）, 経済産業省. (オンライン) (引⽤⽇: 2020年5⽉
2631⽇), https://www.meti.go.jp/press/2019/12/20191226001/20191226001-3.pdf p.19.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

クラウドサービスの課題への⽬指す⽅向
Society 5.0が⽬指す経済発展と社会的課題の解決のインフラストラクチャとして、
スピードと安定稼働を両⽴するサービスを継続的に提供
現状と課題

クラウドにおける
セキュリティ脅威
クラウドにおける
サービス障害への対応
サプライチェーンリスク
境界防御の弱点
複雑なシステム境界
ガバナンス構造の変化

クラウドサービスの⽬指す⽅向

キーワード

信頼性を実現するリスク管理

フレームワークおよびその
役割と責任

⾃動/リアルタイム/AI

継続的モニタリング

コンプライ＆エクスプレインと保証のチェーン

トラスト
チェーン
27

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

信頼性を実現するリスク管理

28

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

リスクマネジメントフレームワーク (RMF)
NIST Risk Management Framework (RMF) Overview

RMFのステップ
準備
1. 情報システムの分類
2. セキュリティ管理策の選択
3. セキュリティ管理策の実施
4. セキュリティ管理策の評価
5. 情報システムの運⽤認可
6. セキュリティ管理策の監視(出所) National Institute of Standards and Technology, FISMA Implementation Project Risk Management Framework (RMF) Overview, NIST.
(オンライン) (引⽤⽇: 2020年 5⽉31⽇.), NIST https://csrc.nist.gov/Projects/Risk-Management/Risk-Management-Framework-(RMF)-Overview

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

29

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

RMFステップの概要と主要ドキュメント
ステップ

概要

主要ドキュメント

1. 情報システムの分類

情報システムおよび情報を影響分析結果に基づき分類する2. セキュリティ管理策の選択

分類結果に基づきベースラインからセキュリ
ティ管理策を選択する

3. セキュリティ管理策の実施

セキュリティ管理策を実施する。また役割と責任、境界、セキュリティ管理策の詳細を記述する

システムセキュリティ計画(SSP)

4. セキュリティ管理策の評価

セキュリティ管理策が正しく導⼊、運⽤されているかをアセスメントする

セキュリティ評価レポート(SAR)

5. 情報システムの運⽤認可

リスクを評価しそのリスクを需要できると判断したときに、運⽤を認可する

6. セキュリティ管理策の監視

セキュリティ管理策を継続的に監視する

⾏動計画とマイルストーン(POA&M)1

1. Plan of Action & Milestone ⾏動計画とマイルストーン: CSPが作成・維持する、評価やモニタリングで発⾒された不備、脆弱性、⽋陥とその改善計画の詳細を記述した⽂書30(出所) National Institute of Standards and Technology, NIST Special Publication 800-37 Rev. 2 Risk Management Framework for Information Systems andOrganizations: A System Life Cycle Approach for Security and Privacy, 2016, NIST. (オンライン) (引⽤⽇: 2020年 5⽉31⽇.),
https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/finalをベースに発表者作成

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

システムセキュリティ計画

情報システムに対するセキュリティ要求事項を⽰し、それらの要求事項を満たす
ために既に導⼊されている（または導⼊が計画されている）セキュリティ管理策について記述する正式な⽂書 (NIST SP 800-18より)Information System Security Plan Template
1. Information System Name/Title:
2. Information System Categorization:
3. Information System Owner:
4. Authorizing Official:
5. Other Designated Contacts:
6. Assignment of Security Responsibility:
7. Information System Operational Status:
8. Information System Type:9. General System Description/Purpose
10.System Environment
11.System Interconnections/Information Sharing
12.Related Laws/Regulations/Policies
13.Minimum Security Controls

記述される主な内容

役割と責任システム境界セキュリティ管理策(出所) National Institute of Standards and Technology, NIST Special Publication 800-18 Rev.1 Guide for Developing Security Plans for Federal
Information Systems, NIST. (オンライン) (引⽤⽇: 2020年 5⽉31⽇.), https://csrc.nist.gov/publications/detail/sp/800-18/rev-1/final

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

31

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

役割と責任
NIST SP 800-37 rev.2 （APPENDIX D: ROLES AND RESPONSIBILITIES）では、組織のリスク
マネジメントプロセスに関与する主な役割と責任を記述している。
• AUTHORIZING OFFICIAL• AUTHORIZING OFFICIAL DESIGNATED
REPRESENTATIVE• CHIEF ACQUISITION OFFICER• CHIEF INFORMATION OFFICER• COMMON CONTROL PROVIDER• CONTROL ASSESSOR• ENTERPRISE ARCHITECT• HEAD OF AGENCY• INFORMATION OWNER OR STEWARD• MISSION OR BUSINESS OWNER• RISK EXECUTIVE (FUNCTION)• SECURITY OR PRIVACY ARCHITECT• SENIOR ACCOUNTABLE OFFICIAL FOR
RISK MANAGEMENT• SENIOR AGENCY INFORMATIONSECURITY OFFICER• SENIOR AGENCY OFFICIAL FOR PRIVACY• SYSTEM ADMINISTRATOR• SYSTEM OWNER• SYSTEM SECURITY OR PRIVACYOFFICER• SYSTEM USER
• SYSTEMS SECURITY OR PRIVACYENGINEER
32(出所) National Institute of Standards and Technology, NIST Special Publication 800-37 R2 Risk Management Framework for Information Systems andOrganizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉24⽇.), https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf, pp.114-125

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

役割と責任のRMFステップへの割り当て

NIST SP800-37 rev.2（APPENDIX E SUMMARY OF RMF TASKS）では、RMFの各ステップのタスクレベルでPrimary Responsibility (以下P) とSupporting Roles (以下省略)を明確化
役割
AUTHORIZING OFFICIAL

準備[組織ﾚﾍﾞﾙ]準備[ｼｽﾃﾑﾚﾍﾞﾙ]

分類

選択

W

P

P
P

AUTHORIZING OFFICIALDESIGNATED REPRESENTATIVE

実施

評価

認可

監視

P

P

P

P

P

P

P

P

P

CHIEF ACQUISITION OFFICERCHIEF INFORMATION OFFICERPCOMMON CONTROL PROVIDERPCONTROL ASSESSORPENTERPRISE ARCHITECTHEAD OF AGENCYPPPINFORMATION OWNER OR STEWARDPMISSION OR BUSINESS OWNERPRISK EXECUTIVE (FUNCTION)

P

P

P

(出所) National Institute of Standards and Technology, NIST Special Publication 800-37 R2 Risk Management Framework for Information Systems and33
Organizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉24⽇.), https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf, pp.114-125

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

PP2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

役割と責任のRMFステップへの割り当て (cont.)
Roles

準備

[組織ﾚﾍﾞﾙ]準備[ｼｽﾃﾑﾚﾍﾞﾙ]

分類

P

SECURITY OR PRIVACY ARCHITECTSENIOR ACCOUNTABLE OFFICIAL FOR
RISK MANAGEMENTPSENIOR AGENCY INFORMATIONSECURITY OFFICERPSENIOR AGENCY OFFICIAL FOR
PRIVACY

P

選択

実施

評価

認可

監視

P

P
P

P

SYSTEM OWNERPPSYSTEM SECURITY OR PRIVACYOFFICERPPSYSTEM ADMINISTRATOR

P

P

P

P

P

P

SYSTEM USERSYSTEMS SECURITY OR PRIVACYENGINEER(出所) National Institute of Standards and Technology, NIST Special Publication 800-37 R2 Risk Management Framework for Information Systems andOrganizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉24⽇.), https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf, pp.114-125

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

34

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

3つのディフェンスラインモデル
機能を適切に分離・配分し、リスクおよび各機能の責任の所在を明確化
IIA 3つのディフェンスラインモデル■ 第1線 (リスクオーナー)– 事業企画、調達、開発、販
売、提供、管理、改善■ 第2線– 事業全体に関わるリスクマ
ネジメント、セキュリティ、
品質、コンプライアンス■ 第3線– 第1線、第2線を独⽴的に評価(出所) IIA公開⽂書(2019), 3つのディフェンスライン, IIA. (オンライン) (引⽤⽇: 2020年5⽉31⽇)
https://global.theiia.org/translations/PublicDocuments/3LOD-IIA-Exposure-Document-Japanese.pdf p.4.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

35

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

役割と責任のマッピング

IIA, NIST, COBIT等の標準・フレームワークの役割を精査・マッピングし、クラウドを提供・活⽤する組織に必要な役割を検討
IIA® 3Lines of
Defense着眼点
アシュアランス
統治機関・取締役会・監査委員会
最⾼経営者
N/A
フレームワーク

第1線

事業運営部⾨第2線

財務管理
セキュリティ

リスクマネジメント

第3線
外部監査

品質
検査
コンプライアンス
N/A
内部監査

NIST SP 800-37 rev.2
セキュリティ&プライバシー
HEAD OF AGENCYAUTHORIZING OFFICIALCHIEF INFORMATION OFFICERSYSTEM OWNER
INFORMATION OWNERMISSION OR BUSINESS OWNER
SYSTEM ADMINISTRATORSENIOR AGENCY INFORMATIONSECURITY OFFICERSYSTEM SECURITY OR PRIVACYOFFICERSENIOR ACCOUNTABLE OFFICIALFOR RISK MANAGEMENTCONTROL ASSESSORCONTROL ASSESSORCOBIT®2019
I&Tガバナンス

取締役会
最⾼経営責任者(CEO)
最⾼情報責任者(CIO)
最⾼財務責任者(CFO)
最⾼デジタル責任者(CDO)
ビジネスプロセスオーナー
開発責任者
IT運⽤責任者
IT管理責任者
サービスマネージャ
データ管理部⾨
プロジェクトマネージャ＋他フレームワーク

ITIL®4SIAM®
VeriSM™

情報セキュリティマネージャ
プライバシー責任者
プロジェクトマネジメントオフィス

事業継続マネージャ

コンプライアンス
法務顧問
監査(出所) 発表者作成

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

組織の役割検討のインプット
36

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

リスク管理の役割の組織への割り当てイメージ（主要な役割のみ）
HEAD

SAR

SAR

AUTHORIZINGOFFICIAL
BUSINESS
OWNER

POA&M

SSP
SYSTEMOWNER
SYSTEMS
SECURITY
ENGINEER

SYSTEM
SECURITY
連携 OFFICERSYSTEM
ADMINISTRATOR

システム調達・運⽤（リスクオーナー）

SENIORINFORMATIONSECURITY
OFFICERCONTROLASSESSOR(External)
CONTROLASSESSOR(Internal)

ビジネス/システム単位
レポーティングライン

SECURITY
ARCHITECT

セキュリティ・
リスクマネジメント

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

組織単位

保証

SSP

システムセキュ
リティ計画

POA&M

⾏動計画と
マイルストーン

SAR

セキュリティ
評価レポート37

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

セキュリティ責任共有モデルの活⽤• クラウド利⽤者(Cloudcustomer) は、クラウドプロ
ジェクトに際し、責任分担表を作成して誰がどの対策をどのように実装する必要があるのかを⽂書で⽰さなければならない。これは同時に、必要な準拠すべき基準に対応していなければならない。
• クラウド事業者(CSP)は、内部のセキュリティ対策と利⽤者向けのセキュリティ機能をはっきりと⽂書で⽰し、クラウド利⽤者が情報に基づく意思決定をできるようにすること。事業者はまた、それらセキュリティ対策を適切に設計し実装しなければならない。
（出所） CSA, クラウドにおける セキュリティサービスの効果的な管理のガイドライン（⽇本語版）, ⽇本クラウドセキュリティアライアンス, 2018, (オンライン)(引⽤⽇: 2020年5⽉31⽇.), https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2019/09/Guideline-on-Effectively-Managing-Security-Servicein-the-Cloud-06_02_19_J_FINAL.pdf, p9.図 3-1
CSA, クラウドコンピューティングのためのセキュリティガイダンス バージョン4.0（⽇本語版）, ⽇本クラウドセキュリティアライアンス, 2018, (オンライン) (引
⽤⽇: 2020年5⽉31⽇.), https://cloudsecurityalliance.jp/j-docs/CSA_Guidance_V4.0_J_V1.1_20180724.pdf, p22

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

38

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⾃動/リアルタイム/AI

392020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

FedRAMPの継続的モニタリング
⽶国政府のクラウド調達プログラム (FedRAMP)の継続的モニタリングは、運⽤の可視化、変更の統制、インシデント対応の3要素から構成
FedRAMP Continuous Mointoring• Operational Visibility
運⽤の可視化• ⽉次の脆弱性スキャン• 年次のアセスメント• Change Control
変更の統制• 重要な変更の伝達• POA&Msの更新• Incident Response
インシデント対応(出所) FedRAMP, SECURITY ASSESSMENT FRAMEWORK Version 2.4 Nov. 15, 2017, FedRAMP. (オンライン) (引⽤⽇: 2020年5⽉31⽇)
https://www.fedramp.gov/assets/resources/documents/FedRAMP_Security_Assessment_Framework.pdf Figure 3

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

40

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

POA&M (⾏動計画とマイルストーン)
CSPが作成・維持する、評価やモニタリングで発⾒されたセキュリティ上の不備、脆弱性、⽋陥とその改善計画の詳細を記述した⽂書 (CSPのトラッキング)
POA&Mに記述する項⽬
POA&M ID

改善計画の概要

最初のリスク評価値

コントロール

最初の発⾒⽇調整後のリスク評価値

Weakness 名

完了予定⽇

リスク調整

Weakness 内容

マイルストン

誤検知

Weakness 発⾒したソース

マイルストンの変更

運⽤上の要求事項

Weakness ソース識別⼦

ステータス⽇ (最新の対応⽇)

対象外の根拠資産の識別⼦ベンダー依存状態

補助資料

連絡先

最新のベンダチェックイン⽇

承認欄 (⾃動)必要なリソース

開発ベンダの製品名(出所) FedRAMP, Plan of Actions and Milestones (POA&M) Template Completion Guide version 2.1 February 21, 2018, FedRAMP. (オンライン) (引⽤⽇:2020年5⽉31⽇), https://www.fedramp.gov/assets/resources/documents/CSP_POAM_Template_Completion_Guide.pdf を参考に発表者訳

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

41

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

継続的モニタリングの定義

組織

ミッション・ビジネスプロセス

情報システム■ Information Security Continuous Monitoring(ISCM)
Maintaining ongoing awareness of
information security, vulnerabilities, andthreats to support organizational risk
management decisions.
セキュリティ管理策、脆弱性、および脅威についての意識を持ち続けることによってリスク管理上の意思決定をサポートすること[Note: The terms “continuous” and “ongoing” in thiscontext mean that security controls and organizationalrisks are assessed and analyzed at a frequency
sufficient to support risk-based security decisions toadequately protect organization information.](出所) National Institute of Standards and Technology, NIST Special Publication 800-137 Information Security Continuous Monitoring for Federal 42
Information Systems and Organizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉31⽇.), https://csrc.nist.gov/publications/detail/sp/800-137/final p.8

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

継続的モニタリングの強化ステップ
⼈海戦術から⾃動化メカニズムによるリアルタイム・モニタリングへ
Step4

ConMonLevel

⾃動化ツールを活⽤したモニタリング（リアルタイム）

Step3
Step2
⼿動モニタリング
（定期）

Step1
⼿動モニタリング（アドホック）

⾃動化ツールを活⽤したモニタリング（定期）

リアルタイムでのデー
タ集積、分析、対策

⾃動化ツールを活⽤したモニタリングと傾向
分析、対策

⽇次、週次、⽉次等のモニタリング事件・事故発⽣時のサンプリング調査(出所) 経済産業省,GOVERNANCE INNOVATION, 経済産業省. (オンライン) (引⽤⽇: 2020年5⽉31⽇.),
https://www.meti.go.jp/press/2019/12/20191226001/20191226001-3.pdf p.37等を参考に発表者作成

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

Time

43

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⾃動化の背景と対象領域
⾃動化の背景継続的モニタリングを⽀える11の⾃動化対象領域

頻繁なAP開発・変更要請
セキュリティの脅威とスピード
複雑なアーキテクチャー
膨⼤なデータギャザリング
意思決定のための可視化
サービスの品質強化・維持[例] 脆弱性
スキャン
[例]修正
⾃動化

[例]
ウィルス
スキャン
[例] 構成変
更の⾃動化(出所) National Institute of Standards and Technology, NIST Special Publication 800-137 Information Security Continuous Monitoring for Federal 44
Information Systems and Organizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉31⽇.), https://csrc.nist.gov/publications/detail/sp/800-137/final p.D-4.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⾃動化による継続的モニタリングのイメージ
組織レベルの意思決定

 リスク許容度
 ポリシー・戦略の変更 等

ビジネスプロセスレベル・
システムレベルの意思決定
 ⼿順の変更 システムの変更承認 等(出所) National Institute of Standards and Technology, NIST Special Publication 800-137 Information Security Continuous Monitoring for Federal 45
Information Systems and Organizations, NIST. (オンライン) (引⽤⽇: 2020年5⽉31⽇.), https://csrc.nist.gov/publications/detail/sp/800-137/final p. D-8

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

⾃動化に関する要求事項の例（NIST SP 800-53 rev.4）
CM-3 構成変更管理 - (3) 変更を⾃動で実施する

 組織は、現在の情報システムベースラインに対する変更を実施するための⾃動化されたメカニズムを使⽤し、更新された
ベースライン管理策を設置基盤に展開する。

CM-5 構成変更管理 - (5) ⾃動化されたセキュリティレスポンス

 ベースライン構成が不正に変更された場合に、情報システムが［組織が定めたセキュリティレスポンス］を⾃動的に実施する。

RA-5 脆弱性スキャン

 組織は、脆弱性スキャンツールと技法を⽤いる。それらはツール間の相互運⽤を容易にし、以下を満たす標準を使⽤することによって、脆弱性管理プロセスの⼀部を⾃動化できることが求められる︓
 プラットフォーム、ソフトウェアの⽋陥、および誤った設定を列挙する
 チェックリストとテスト⼿順をフォーマットする
 脆弱性による影響を評価する

SI-2 ⽋陥の修正 - (5) ⾃動化されたソフトウェア/ ファームウェアアップデート

 組織は、［指定︓組織が定めた情報システムコンポーネント］に［指定︓組織が定めた、セキュリティ関連のソフトウェア
アップデートやファームウェアアップデート］を⾃動でインストールする。

SI-4 情報システムのモニタリング - (2)リアルタイム分析のための⾃動化されたツール
 組織は、イベントのリアルタイムに近い分析を⽀援する⾃動化されたツールを使⽤する(出所) National Institute of Standards and Technology, NIST Special Publication 800-53 rev.4, 連邦政府情報システム および連邦組織のためのセキュリティ
管理策とプライバシー管理策 , IPA. (オンライン) (引⽤⽇: 2020年5⽉31⽇.), https://www.ipa.go.jp/files/000056415.pdf

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

46

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告[⾃動化例] 開発・変更プロセスの⾃動化 (CI/CD)
アプリケーション開発と変更プロセスに⾃動化を取り⼊れて、アプリケーションを提供する頻度を向上
Continuous Deployment パイプライン(出所) Cloud Security Alliance 「クラウドコンピューティングのためのセキュリティガイダンス（第4版）」⽇本語版. ⽇本クラウドセキュリティアライアンス.
47(オンライン) (引⽤⽇: 2020年5⽉31⽇.) https://cloudsecurityalliance.jp/j-docs/CSA_Guidance_V4.0_J_V1.1_20180724.pdf, p.111.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告[⾃動化例] イベント・ドリブンでの修正⾃動化 (AWS)
モニタリングにより検知されたイベントをトリガーに、修正のためのアプリ
ケーションコードを⾃動で実⾏（出所) Amazon Web Servicesブログ, AWS 環境でセキュリティレスポンスの⾃動化を始める⽅法, AWS. (オンライン) (引⽤⽇: 2020年5⽉31⽇.),
https://aws.amazon.com/jp/blogs/news/how-get-started-security-response-automation-aws/

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

48

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告[⾃動化例] 構成変更の評価⾃動化 (AWS)
ベースライン構成の変更を検知し、事前に設定済のルールで評価、アラートの
発⾏や変更履歴をストレージへ保存
ルール設定のためのAWS Config Rule Development Kit (RDK) も公開（出所) Amazon Config, AWS リソースの設定を記録して評価, AWS. (オンライン) (引⽤⽇: 2020年5⽉31⽇.),
https://aws.amazon.com/jp/config/

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

49

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

コンプライ＆エクスプレインと保証のチェーン

50

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

コンプライ＆エクスプレインとは• 企業に対する社会の信頼の醸成• 政府や認証機関による「ガイドライン・標準を企業が満たしている」という認証の付与• ⼀⽅的な規制ではなく、企業による⾃主的な取組みが重視される• 企業による情報開⽰・説明責任の重要性の⾼まり• ⽬的を達成する仕組みやシステムは企業によって異なり、サイバー空間は外形上不可視であり、実際に企業がどのような⽅法でコンプライ
アンスを⾏っているのかを、第三者が外部から判断することは難しい

企業には、「法令や原則を遵守しているか否か」という従来の⽅法とは異なるレベルでの、ステークホルダーとの協創を前提としたエンタープライズ・リスク・マネジ
メント（ERM）が求められている。

(出所) 経済産業省,GOVERNANCE INNOVATION, 経済産業省. (オンライン) (引⽤⽇: 2020年5⽉31⽇.),
https://www.meti.go.jp/press/2019/12/20191226001/20191226001-3.pdf, pp.28-35.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

51

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

サイバー・フィジカル・セキュリティ対策フレームワーク(CPSF)における信頼のチェーンの考え⽅
信頼の創出と証明の繰り返しによる
連鎖的な信頼関係のつながりバリュークリエイ
ションプロセス全体のセキュリティを実現(出所) 経済産業省 商務情報政策局 サイバーセキュリティ課, サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の概要, 平成31年4⽉
18⽇, 経済産業省 (オンライン) (引⽤⽇: 2020年5⽉31⽇) https://www.meti.go.jp/press/2019/04/20190418002/20190418002-3.pdf

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

52

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

政府情報システムのためのセキュリティ評価制度(ISMAP)
政府が求めるセキュリティ要求を満たすクラウドサービスを評価・登録する新制度
制度の基本的な流れ

⽬的

政府のクラウド調達におけるセキュリティ⽔準の確保とクラウドサービスの円滑な導⼊ CSPに対する要求事項の明確化(ガバナンス基準・マネジメント基準・管理策
基準）

 上記基準に基づく監査主体によるCSPの評価(出所)内閣官房・総務省・経済産業省, 政府情報システムのためのセキュリティ評価制度(ISMAP)について, IPA.(オンライン)(引⽤⽇: 2020年6⽉5⽇),
https://www.ipa.go.jp/files/000082669.pdf, p8.

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

53

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

業務受託会社の保証報告
System and Organization Controls(SOC)報告書
財務報告に係る内部統制

財務報告に関連しない領域を含む内部統制

SOC 1
報告書の
主題
検証
の
基準

SOC 2

SOC 3

委託会社の財務報告に係る受託会社の内部統制受託業務における受託会社の以下の項⽬（トラストサービス基準）に係る内部統制
セキュリティ、機密保持、可⽤性、プライバシー、処理のインテグリティ

国際

ISAE3402

ISAE3000

ISAE3000

⽶国

SSAE18（AT-C sec.105・205・320）

SSAE18（AT-C sec.105・205）

SSAE18（AT-C sec.105・205）

⽇本

監査基準委員会実務指針第86号

IT委員会実務指針第7号

IT委員会実務指針第2号

報告書
の構成

タイプ1︓受託業務に係るシステムの記述、並びに内部統制のデザインの適切性に関する報告書 またはタイプ2︓受託業務に係るシステムの記述、並びに内部統制のデザインの適切性および運⽤状況の有効性に関する報告書（内部統制のテスト⼿続きおよびテスト結果を含む）

概要報告書のみ

再委託会社の扱い

業務受託会社の記述書は、下記いずれの⽅式も採⽤可能(a)除外⽅式 (b)⼀体⽅式 （但し除外⽅式の場合でも、再受託会社のサービスの性質の情報を提供する）

無限定適正意⾒を受けるためには、重要なすべての再受託会社の内部統制を含む必要があるが、委託会社の重要な内部統制は含
まれてはならない。

意図されてい
る報告書の
利⽤者

•
•

受託会社の経営者
委託会社とその会計監査⼈•••

受託会社の経営者
受託会社
その他受託業務の内容や適⽤される規準等を理解したい企業、団体等(出所) デロイトトーマツグループ, SOC報告書の種類,デロイトトーマツ, (オンライン) (引⽤⽇: 2020年5⽉31⽇.),
https://www2.deloitte.com/jp/ja/pages/risk/articles/or/soc-type.html

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

・不特定多数の利⽤者

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

Society5.0の実現に向けたシステム監査の役割

55

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

セキュリティ責任共有に基づく監査• CSPの監査⼈は、「内部のセキュリティ対策と利⽤者向けのセキュリティ機能をはっきりと⽂書で⽰し、クラウド利⽤者が情報に基づく意思決定をできるようにしているか、それらセキュリティ対策を適切に設計し実装しているか」を監査する。
• クラウド利⽤者の監査⼈は、「クラウドプロジェクトに際し、責任分担表を作成して誰がどの対策をどのように実装する必要があるのかを⽂書で⽰しているか、必要な準拠すべき基準に対応しているか」を、CSPの監査報告書等も参照し、監査する。
（出所） CSA, クラウドにおける セキュリティサービスの効果的な管理のガイドライン（⽇本語版）, ⽇本クラウドセキュリティアライアンス, 2018, (オンライン)(引⽤⽇: 2020年5⽉31⽇.), https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2019/09/Guideline-on-Effectively-Managing-Security-Servicein-the-Cloud-06_02_19_J_FINAL.pdf, p9.図 3-1（参考）CSA, クラウドコンピューティングのためのセキュリティガイダンス バージョン4.0（⽇本語版）, ⽇本クラウドセキュリティアライアンス, 2018, (オンライン) (引⽤⽇: 2020年5⽉31⽇.), https://cloudsecurityalliance.jp/j-docs/CSA_Guidance_V4.0_J_V1.1_20180724.pdf, p22

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

56

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

技術のマネジメントに必要なこと
P・F・ドラッカー『テクノロジストの条件』より• 最⼤の危険は、新技術の影響を予測できると誤解し、本当に重要な仕事を軽んじることである。技術というものの全貌を知るには予測は無効である。
• 発展途上の技術についてはモニタリングが必要である。つまり、観察し、評価し、判定していかなければならない。技術について、観察し、評価し、判定してくことこそがマネジメントの責任である。
• これからの複雑で変化の激しい時代においては、みずからが世の中に与える影響についてはすべて⾃分に責任があるという倫理観が不可⽋。

システム監査⼈がマネジメントに代わって技術を評価・判定する役割を担っていく（出所）P・F・ドラッカー (2005) ,テクノロジストの条件 はじめて読むドラッカー (技術編)【Kindle版】, ダイヤモンド社, 位置No.4149

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

57

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

システム監査の⽬的

信頼性向上

・品質の向上・障害発⽣の防⽌・障害の影響の最⼩化
・回復の迅速化

システム監査⽩書(1989年)

Society 5.0時代

情報化社会の健全化

経済成⻑と社会的課題を解決する
インフラストラクチャーの提供

安全性向上

・⾃然災害からの保護
・不正アクセス、
破壊⾏為からの保護

クラウド・トラストチェーン

効率性向上・リソースの有効
利⽤・コスト/パフォー
マンスの向上

＋

トラスト
の創出

情報システムシステム監査（出所）システム監査学会/（財）⽇本情報処理開発協会編 (1989), システム監査⽩書1989, コンピュータ・エージ社, p28, 図1-3 システム監査の⽬的

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

トラスト
の証明

トラスト・
チェーンの
構築・維持

クラウドサービス
システム監査58

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

Society5.0時代のシステム監査
システム監査によりCSPのコンプライ&エクスプレインを保証し、クラウド・トラストチェーン構築に寄与
経済成⻑と社会的課題
クラウド・トラストチェーン
解決策

トラストの創出

利⽤者

コンプライ＆
エクスプレイン

信頼性を実現するリスク管理
経営者
1線 リスクオーナ
2線 セキュリティ

保証

システム
監査
(内部監査)

⾃動/リアルタイム/AI

信頼性を実現するリスク管理

トラスト

保
証

1線 リスクオーナ
2線 セキュリティ

保証

3線

システム
監査
(内部監査)

コンプライ＆
エクスプレイントラスト

⾃動/リアルタイム/AI

システム監査(外部監査)

組織
ポリシー準拠状況
アーキテクチャ

アプリケー
ション開発
ベンダ

・・・

セキュリティ
サービス
プロバイダ

・・・

CSP

・・・

(IaaS)
監査

・・・

組織
ポリシー
利⽤者側管理策

CSP
経営者

3線

サプライヤー

ﾄﾗｽﾄﾁｪｰﾝの構築・維持

トラストの証明59

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

まとめ• クラウドサービスがSociety 5.0を⽀えるインフラストラクチャに• セキュリティ、サプライチェーンリスク、社会構造の変化等へのクラウドの課題への対応が必要• 信頼性を実現するリスク管理、⾃動/リアルタイム/AI、コンプラ
イ＆エクスプレインとその保証のチェーンにより、経済成⻑と社会的課題を解決するインフラストラクチャーの提供に寄与• 技術モニタリングとトラストチェーンの構築・維持を⽀えるシス
テム監査の役割が重要
60

2020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.

2019年度「IT監査保証の判断基準研究プロジェクト」成果報告

ご清聴ありがとうございました。
natsuhiko@nec.com

612020©JSSAシステム監査学会－「IT監査保証の判断基準研究プロジェクト」 All right reserved.