September 2013

日本システム監査人協会

会報2013 年 9 月号

150
７７
７７
No

━━

No.150（2013 年 9 月号）＜8 月 20 日発行＞ ━━━━━━━━━━━━━━━━━━

７
１．めだか（システム監査人のコラム）

３【システム監査の使いみち（マネジメント）】【東日本大震災の教訓とシステム監査【ＩＲとシステム監査(システム監査の使いみち)】（システム監査の使いみち）】

２．投稿

６

【システム監査の使いみち】

３．新たに会員になられた方々へ （お役立ち情報や協会活用方法）

７

４．会長コラム

８

５．協会からのお知らせ
５．１

システム監査活性化プロジェクト

９【「事務局」「会計」によるシステム監査の活性化 】【システム監査基準研究会】【情報セキュリティ監査研究会だより その５】【「個人情報保護マネジメントシステム実施ハンドブック」簡易版 第８章～第９章】

５．２

事務局

19

【協会行事一覧】

５．３

公認システム監査人認定委員会【2013 年度秋期
日本システム監査人協会

20

公認システム監査人及びシステム監査人補の募集】
会報

1

September 2013

日本システム監査人協会

６．研究会、セミナー開催報告、支部報告

会報

22【第１回 CSA・ASA 全体交流会を盛大に開催しました！】

７．注目情報（2013/7～2013/8）

23【JIPDEC「運用管理のお手本 ISO/IEC20000～事例から学ぼう～インシデント及びサービス要求管理、問題管理編」を公開】【IPA

夏休みにおける情報セキュリティに関する注意喚起】【IPA「脆弱性検査と脆弱性対策に関するレポート」の公開】

８．全国のイベント・セミナー情報

24【協会主催イベント・セミナーのご案内（東京開催）】【協会主催イベント・セミナーのご案内（大阪開催）】

９．会報編集部からのお知らせ

26【会報テーマについて】【会報記事への直接投稿（コメント）の方法】【投稿記事募集】

会員限定記事

日本システム監査人協会

会報

27

2

September 2013

日本システム監査人協会

会報2013.08 投稿

めだか 【

システム監査の使いみち（マネジメント）】

システム監査の使いみちを考えながら「マネジメント ドラッカー」という本を読んだ。そこには、「人こそ、最大の資産である」と書いてある。経営資源は、人、物、金といわれているが、ドラッカーは、「マネジメントとは、人にかかわるものである。その機能は人が共同して成果を上げることを可能とし、強みを発揮させ、弱みを無意味なものにすることである。・・・『新しい現実』(1989)」と言っている。
一方、いわゆるマネジメントシステムの観点では、システム監査は、組織体がマネジメントシステムのフレームワークの中で、ＰＤＣＡを回して組織運営の継続的改善を図っていく際、組織体が利活用する情報システムの有効性や安全性、信頼性などをＣｈｅｃｋする機能を担当するといえる。
ドラッカーの考えでは、マネジメントは、人にかかわるものを最大においているといえる。そこで、システム監査の使いみちも、人にかかわるものを最大において考えると良いのではないかと思う。システム監査の使いみちは、
情報システムの利活用において、人が共同して成果を上げることを可能とすること、強みを発揮させ、弱みを無意
味なものにすることであるといえる。
組織体が、情報システムを利活用する際に心得ておくべきことで、情報システム全般にかかわることは、「システム管理基準」として公表されている。これは、今から9年前、平成16年（2004年）10月8日に策定されたものであるが、システム監査を行う際に使用する管理基準の基本形といえる。システム監査の使いみちを考えるとき、第一に、情報システムにかかわる「人」を対象に考えていくようにしたい。システム管理基準 ２．組織体制 の中で、人的資源管理の方針は、次のようになっている。
2.3 人的資源管理の方針（1）情報技術に関する人的資源の現状及び必要とされる人材を明確にすること。
（2）人的資源の調達及び育成の方針を明確にすること。
「システム管理基準」では、“時々の関連技術動向、関連法令、及び社会規範などを考慮し、それらを反映した
詳細なサブコントロール項目を策定することが望ましい。”としている。システム監査人は、時々に応じて、サブコ
ントロール項目を策定する、という力量が必要になる。
公認システム監査人（ＣＳＡ）やシステム監査人補（ＡＳＡ）の育成や資格認定は、「人」にかかわることであり、「マネジメント」の考えに応えていると思う。また、SEのデスマーチ（情報処理技術者の死の行進）を予防すること
は、人的資源管理の上で、重要な課題であると思う。
（空心菜）
参考：「マネジメント ドラッカー」 上田惇生 著 ＮＨＫ出版（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会

会報3September 2013

日本システム監査人協会

会報2013.08 投稿

めだか【

東日本大震災の教訓とシステム監査(システム監査の使いみち)】

防災の日は国の記念日となっている。防災週間として様々な活動も行われている。これに寄せて、システム監査が災害対策に果たす役割を述べてみる。
東日本大震災を経験して、災害対策についてどのような施策をどのように具体化しているだろうか。経営者、CIO、システム部門、リスク管理部門、電気・機械設備の担当者など、多方面の方の身近な問題でありながら、その取り掛かりに苦慮している状況も垣間見える。ここで、システム監査がそのソリューションの強力な手段であることを力説したい。
例えば、電気・水・建物・室などのインフラに関する災害対策は総務部や管理部の担当だろうか？ 情報システ
ム部門は自分の問題としているだろうか？ これらがシステム監査の得意分野であることをご存知だろうか？
電気・水・建物・室などのインフラは人間の生存や生活に欠かすことができないが、実は、情報システムもまた電
気・水・建物・室がなくては動かない。言葉にすれば当たり前だが、人間も情報システムも必須インフラは同じだ。
その対策にも共通部分が多い。システム監査が身近な存在であることを示している。
東日本大震災はきわめて多くのことを我々に教えてくれている。紙面の都合で少しだが挙げてみる。
① 電気のこと ⇒停電対策が機能しなかった例がたくさんある。
停電対策に何が不足していたか、何を思い違いしていたか、何が予定外であったか。
② 水のこと ⇒断水時の影響範囲が明らかになっている。
自家発電機は動くものと動かないもの、空調機は使えるものと使えないものがある。
③ 建物・室のこと ⇒知っておかなければならないことがある。
高層階のサーバルームの留意事項は何か、サーバラック設置時の注意事項は何か。
システム監査は、これらのことをはじめとして、災害対策として検討しなければならないことや、対策を実施しなければどのような事態が発生するかを知っている。多くの方が東日本大震災の教訓を学びたいと思っていて、「喉元過ぎれば」などということはない。しかし具体的に何を何からしたらいいのか足踏みは多いかも知れない。
情報システム関係者は、システム監査を受ける前に自分でやれることもたくさんある。
 電気・水・建物・室は情報システムの生命線であることを再確認する（アプリケーションの品質以前の問題）。
 システムリスク管理の対象に、電気・水・建物・室の維持管理や環境変化を含める。
 電気業者や設備業者の定期点検報告の内容を自ら点検してみる。
 サーバの UPS の電源供給能力を委託先任せにせずにこの際学習しておく。
システム監査は情報システムに関するシステムリスクを相手にする仕事であり、地震等で被災してシステムが動かなくなることはシステムリスクの基本的な一形態だ。被災からのシステム復旧が無為無策では済まされないことだ。東日本大震災では従来の対策の弱点を数多く暴き出し、従来の「これで十分」に多くのダメ出しをしている。
システム監査は、情報システムが安全に稼働し社会の健全な発展に寄与することを使命としている。
（山の彼方）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありませ。 ）日本システム監査人協会

会報4September 2013

日本システム監査人協会

会報2013.08 投稿

めだか 【ＩＲとシステム監査（システム監査の使いみち）】ＩＲ（インベスター・リレーションズ）とは、企業が株主や投資家に対し、投資判断に必要な企業情報を、適時、公平、継続して提供する活動とされています。企業はＩＲ活動によって資本市場で適切な評価を受け、資金調達につなげることができ、株主や投資家も、投資判断に必要な情報を効率よく集めることができることになります。
投資判断に必要な情報として、開示が義務づけられている有価証券報告書など、制度的開示情報があげられますが、ＩＲは制度的開示情報にとどまらず、企業が自主的に行う情報提供活動全体を指しているようです。そして、制度的開示とは異なり、ＩＲは企業の取組み方次第で結果が大きく異なり、ＩＲによって信用を高める企業がある一方、信用を失って株価を下げる企業も少なくないと言われます。
また、ＩＲとして、まずは財務情報の提供が挙げられますが、結果として財務情報に繋がるとしても、
近年その裾野の広がりが著しく、環境会計、知的財産関係などの非財務情報の開示も積極的に進められています。
（参考資料：一般社団法人 日本ＩＲ協議会 ホームページ）
情報社会と言われる今日、ＩＴをビジネスの基盤に置く、或いはＩＴそのものがビジネスそのものを存在させていると言えるような企業、業種が多く生まれ、それらの企業、業種はＩＴの革新性から投資リターンも高いと期待され、投資家の大きな注目の的となっています。
ＩＴベンダーはもとより、金融機関、鉄道・航空などの運輸関係企業、通信関係企業等々のＩＴのヘ
ビーユーザ企業、業種、また、ネット証券、ネット銀行、ＥＣ専業企業など、ＩＴそのものがビジネスそのものを存在させていると言えるような企業、業種は、活用しているＩＴの安全性、信頼性は言うに及ばず、ＩＴ活用の効率性、有効性などが企業業績に直結するものとして投資家の関心を呼び、また資金調達の効率化を狙い、当企業からＩＴに係る積極的な情報提供が必然的に増えていくと思われます。
少し前になりますが、平成２２年３月に経済産業省から「IT 経営ロードマップ（改訂版）」が発表されました。その中では、これに関連し、“ＩＴ－ＩＲ”という言葉が出ています。ＩＴ－ＩＲとは、ＩＴ経営の状況を積極的に外部（投資家等）に開示し、自社のポテンシャルをアピールすることとなっています。正に前述のことを言っています。
ＩＲは、その提供される情報に信頼性が無ければ機能せず、むしろ逆効果となって投資家の信頼を失ってしまいます。また、ＩＴ－ＩＲはＩＴの急速な発展・進歩とその高度な専門性から、他にも増してその情報に関心を持つ投資家から信頼を得られるものでなくてはなりません。そして、その一つの回答として、企業から提供される情報に、第三者である監査人の監査結果を添えることが考えられます。
これがシステム監査であり、今後のシステム監査の使いみちの大きな分野になるのではと思っています。
ＩＴ－ＩＲ推進の中で、システム監査が利用され、システム監査の結果情報が投資家の投資判断に一定の影響を与える、そういう時代はそう遠くないと思います。
（広太雄志）（このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。 ）日本システム監査人協会

会報

5September 2013

日本システム監査人協会

会報2013.08 投稿

投稿【 システム監査の使いみち】

会員番号 0557 仲 厚吉（システム監査活性化プロジェクト・個人情報保護監査研究会）
2013 年 7 月 21 日の参議院選挙の結果、与党は、衆議院につづいて、参議院においても安定した政権となりました。
システム監査人の方々には、政策について、それぞれご意見があると思いますが、現実には、今後 3 年間、政権の掲げる政策が、経済や社会において、安定的に実行されていくことになります。また、安倍首相は、下記の囲み記事のように HuffPost Japan への投稿の中で、「成長は日本の責任」と、言明しています。
システム監査人は、情報システムの健全性（有効性、安全性、信頼性など）のため、システム監査を実施しています。
現政権の政策が、「成長は日本の責任」であるというとき、システム監査人として、自らがかかわる情報システムについて、政策がどのような影響を与えるのかを考えること、そして必要に応じて対応を考えることが重要であると思います。
成長のための基本要件のひとつとして、社会保障と税の一体改革は、工程表に沿って粛々と実行されていくと考えられます。情報システムでいうと、日本の経済や社会は、共通番号制度のもとに成り立っていくということです。また、同記事で、安倍首相は、日本は、サイバー空間のセキュリティーに国益の多くを託す国である、とも言っています。システ
ム監査の使いみちを考えるとき、共通番号の利活用とセキュリティーが、キーワードであるのは間違いないと思います。
システム監査の使いみちの例として、個人情報保護監査研究会は、中堅企業のための「個人情報保護マネジメント
システム実施ハンドブック」で、共通番号の利活用も含めてコンプライアンスやセキュリティーにかかわるコントロール（点検項目）を提案しています。この提案がシステム監査活性化への初めの一歩になるようにと思います。
成長は日本の責任得られる結論は明白です。日本は伸びてこそ、世界に貢献できる。縮むと迷惑をかける、それこそ、近隣窮乏化に加担していると、非難されなくてはならなくなるということです。日本の成長は、日本人のためだけではない、世界人類のため果たすべき責任でもある。ここが、私の原点です。日本は海の安全、空や宇宙における移動の自由、それからサイバー空間のセキュリティーに、国益の多くを託す国です。そうした人類の公共財を、率先して守り、育てる国であり続ける責任が、日本にはあります。アフリカにおけるインフラ構築や投資機会の造出、母子の健康や女性の地位向上に、
知恵と資金を提供できる国であるべきですし、国際社会の平和と安定に、力を惜しまない国であるべきですが、そうしたことをなすためにも、日本は成長しないといけない。これは、「must」であって、顧慮選択の対象ではありません。そこを私は先般ロンドンを訪れ、金融街シティ・オブ・ロンドンの真ん中にある古い建物ギルドホールで演説したとき、強調しました。故マーガレット・サッチャーの有名な言葉を引いて、「TINA」なのだと言いました。There is no alternative という意味です。
「アベノミクス第三の矢、あるいは TINA について」 HuffPost Japan 安倍首相投稿: 2013 年 7 月 3 日
http://www.huffingtonpost.jp/shinzo-abe/tina_b_3538447.html

以上

日本システム監査人協会

会報

6September 2013

日本システム監査人協会

会報

新たに会員になられた方々へ

新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。
先月に引き続き、協会の活用方法や各種活動に参加される方法などの一端をご案内します。

ご確認
ください

・協会活動全般がご覧いただけます。 http://www.saaj.or.jp/annai/index.html
・会員規定にも目を通しておいてください。 http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf
・みなさまの情報の変更方法です。 http://www.saaj.or.jp/members/henkou.html

特典・会員割引や各種ご案内、優遇などがあります。 http://www.saaj.or.jp/nyukai/index.html
セミナーやイベント等の開催の都度ご案内しているものもあります。

ぜひ
参加を・各支部・各部会・各研究会等の活動です。 http://www.saaj.or.jp/shibu/index.html
みなさまの積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。

ご意見
募集中

・みなさまからのご意見などの投稿を募集しております。
ペンネームによる「めだか」や実名投稿があります。多くの方から投稿いただいておりますが、さらに活発な利用をお願いします。この会報の「会報編集部からのお知らせ」をご覧ください。

出版物

・協会出版物が会員割引価格で購入できます。 http://www.saaj.or.jp/shuppan/index.html
システム監査の現場などで広く用いられています。

セミナー

・セミナー等のお知らせです。 http://www.saaj.or.jp/kenkyu/index.html
例えば月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。

CSA
・
ASA

・公認システム監査人へのSTEP-UPを支援します。
「公認システム監査人」 と「システム監査人補」で構成されています。
監査実務の習得支援や継続教育メニューも豊富です。
CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html

会報

・PDF会報と電子版会報があります。 （http://www.saaj.or.jp/members/kaihou_dl.html）
電子版では記事への意見、感想、コメントを投稿できます。
会報利用方法もご案内しています。http://www.saaj.or.jp/members/kaihouinfo.pdf

お問い
合わせ

・右ページをご覧ください。 http://www.saaj.or.jp/toiawase/index.html
各サイトに連絡先がある場合はそちらでも問い合わせができます。

沼野会長からの一行メッセージ“会員全員で協会活動の一層の活力維持に取組んでいきましょう！”

2013.06 投稿”
日本システム監査人協会

会報

7

September 2013

日本システム監査人協会

会報2013.08 投稿

会長コラム 【 任期終盤にさしかかり今後に向けて思うこと】
会員番号 0841 沼野伸生(会長)

私が会長に就任したのは昨年１月であり、今月で１年８ヶ月が経過しました。そして、任期はあと残すところ３ヶ月余りです。
会長就任当初、当協会の運営方針として（１）システム監査の普及、促進活動の一層の推進、（２）会員サービスの一層の充実（３）協会財政の一層の健全化の３点を定め、一方、当協会の会勢の著しい減衰を踏まえ、今後のシステム監査の社会的役割の高まりに応えるためには、まずは会勢の挽回を最優先課題とし、協会役員がこれに総力を挙げて取組むことにしました。
【就任当時の協会の会勢のポイント（平成２３年１２月末時点）】
・個人会員数：９０４名（ピーク時平成１９年度（1,048 名）から約１５０名の減）・年間事業予算規模：約 2,160 万円（ピーク時平成１９年度（3,100 万円）の約２／３）
・本部現預金残高：ピーク時平成１７年度の約１／６

そして、会勢の挽回の基本は、会員が協会に入ってメリット感が得られるような、魅力ある協会活動を展開すること、
すなわち各研究会、部会、委員会活動を一層強力に活性化し、その成果を積極的に会員へ広報、還元し、当協会の魅力を一層高め、新たな会員を呼び込み、それによって更に各研究会、部会、委員会活動を活発化していくというサイクルを回すことが基本とし、会員増強プロジェクト（リーダ：小野副会長。後にシステム監査活性化プロジェクトに改称。）を立上げ、協会活動の活発化を徹底すると共に、長期会費未納会員の除名処理等による協会運営の効率化や大胆な経費節減による財政基盤の建直しに取組んできました。
その結果、会員の減少傾向は取り敢えず止まり、新規会員も徐々に増加しています。また、財政基盤についても 1年目で本部現預金残高が１０百万円近くになりました。（状況は総会、理事会報告、会報等でお知らせしている通り。）
しかし、これらは変化の兆しが見えてきたというレベルであり、まだまだ予断を許さず、当協会が認定するＣＳＡ（公認システム監査人）については、引続きその数は低迷しています。
まだまだ、やること、やるべきことは山積みされているのが現実で、今後も息の長い努力が必要です。
協会活動の推進役（役員）は、システム監査の社会への普及に強い志をもち、ボランティア精神を発揮して集まり、関係者と協力・協調して目標に向けて協会を牽引していく役割を担っています。そしてこの役割は、適任とされる新たな人に次々に引継がれていくことが、協会の活力維持、協会活動の活性化、そしてシステム監査の社会への一層の普及促進という息の長い活動には欠かせないと思います。
現役員の任期はあと残すところ３ヶ月余りです。次期役員の選任に当たっては、まだまだ予断を許さない協会の状況を踏まえ円滑な移行に十分配慮し、また、より透明性を高める工夫もして、多くの人がシステム監査の社会への普及に、当協会の活動を通し貢献して頂けるようにしていきたいと思っています。
システム監査の社会への普及に向けて、ＳＡＡＪが引続きその一翼を担い、また結果も出せるよう、会員全員で協会活動の一層の活力維持に取組んでいきたいものです。
日本システム監査人協会

会報

以上
8

September 2013

日本システム監査人協会

会報2013.08 投稿

協会からのお知らせ（システム監査活性化プロジェクト）
会員番号 6027 小野 修一（活性化ＰＴ 主査）
今月の会報でも、システム監査の活性化につながる活動を行っている当協会の研究会や担当組織の中から、いくつかの活動について、ご報告しています。
１．事務局、会計担当
当協会の財政基盤の健全化、各活動の可視化、会員増強を中心とした組織体制の強化などに取り組み、活性化の基盤を固める重要な役割を担っています。
２．システム監査基準研究会
当研究会は、日本国内は元より、海外も視野に入れたシステム監査に関する基準類の研究、システム監査人が実践で使えるツールの策定などを行っています。
本会報では、現在、当研究会で行っている活動の主なものを紹介しています。
１つは、IT Audit の ISO 化という国際的な活動であり、当研究会メンバーの理事が参加しています。
８月 19 日、20 日には東京で、本 ISO 化の国際会議が開かれます。
もう１つは、ISO 38500：2008（IT ガバナンスの国際規格）の JIS 化で、こちらにも、当研究会メンバーの理事が参加
しています。
いずれも、システム監査の実践にとって意義の大きな規格策定作業であり、成果をご期待いただきたいと思います。
３．情報セキュリティ監査研究会
毎月、研究会で研究・討議している話題の中から、会員の皆様に知っていただきたい、よろしければご一緒に議論に加わっていただきたい情報をご紹介しています。今回は、前回の「ビッグデータにおける個人的な情報の価値」に続いて「新サービス創出のための課題と取り組み」についての情報提供です。タイトルだけからではお分
かりになりにくいと思いますが、報告の内容をぜひお読みください。
次回に向けては、プライバシー・バイ・デザイン（PBD）について研究、討議する予定です。参加されたい方は、
お気軽にご連絡ください。
４．個人情報保護監査研究会
今月も、研究会でまとめた『個人情報保護マネジメントシステム実施ハンドブック』簡易版の内容の一部を紹介しています。
システム監査人の主要な活動分野の一つである個人情報保護マネジメントシステム（PMS）の構築・評価を行う際の参考にしていただければとの考えで、ご紹介しているものです。なお、このハンドブックをベースにした PMS 構
築の実践ノウハウを身に付けていただくセミナーも計画しています。セミナーの実施が決まりましたらご案内します
ので、ご参加ください。
すでに会員の皆様にはご案内していますが、活性化 PT では、システム監査の活性化につながる施策やアイデアの提案を募集しています。ぜひ、皆様の活性化施策やアイデアを採り入れながら、システム監査の活性化を進めていきたいと思います。ぜひ積極的なご提案をお待ちしています。
以上

日本システム監査人協会

会報

9September 2013

日本システム監査人協会

会報2013.08 投稿【「事務局」「会計」によるシステム監査の活性化 】
会員番号 0557 仲 厚吉（事務局長）「事務局」「会計」では、協会の管理部門として定款に定める事務処理と会計処理を行っています。 「事務局」「会計」として、システム監査活性化プロジェクトに参加していますので、活動状況を報告します。1 年を四半期に分けると、「事務局」「会計」の担当する主な協会行事は次のようになります。
四半期

事務局

会計

１

会費請求書、寄付依頼書・領収書送付

会計報告・予算（案）作成、支払調書送付

事業報告・事業計画（案）の取りまとめ

会計監査（１月）、消費税納付通常総会（２月）、法務局登記、東京都へ事業報告

通常総会（２月）、第１四半期会計２

システム監査技術者試験会場での入会案内

上半期会計報告３

会費納付、寄付のお願い（メール、文書、電話）

中間監査（８月）、第３四半期会計

４

次期通常総会公示、事業報告・事業計画（案）の準備

次年度予算の取りまとめ

会費請求書、寄付依頼書・領収書の準備

会計報告・予算（案）作成の準備「事務局」「会計」では、上記の事務処理と会計処理の他に、日々の入出金管理、事業費の承認・支払いや、源泉税納付、領収書、名刺の発行があります。会員相互のコミュニケーションをサポートするため、「ホームページ」「メール」「会報」を運用しています。「会員管理システム」を運用し、会員のため、入会、退会、休会の用に供しています。また、公認システム監査人（ＣＳＡ）等制度の運用支援を行っています。

・NPO 法人組織力アップ
2011 年 6 月、改正 NPO 法と新しい寄付税制に関する法律が国会で可決・成立しました。「事務局」「会計」では、シス
テム監査の活性化という観点で、当 NPO 法人の組織力アップに取り組んでいます。認定 NPO 法人となることを目指していますが、その過程で、協会の組織力アップを図っていきます。具体的には、定款にもとづく事業活動、改正 NPO
法人会計基準によった会計、税務、そして活動資金集め（ファンドレイズ）があります。
当 NPO 法人では、2012 年度から、定款第 39 条にもとづいて、入会金、会費に加えて、寄付金をお願いしています。
会費や寄付金などの協会の活動資金は、それが、システム監査の活性化にどれほど役に立っているかを、わかりやす
く報告し、お礼を述べることがたいへん重要であると認識しており、真摯に取り組んでいきたいと考えています。
以上

日本システム監査人協会

会報

10September 2013

日本システム監査人協会

会報2013.08 投稿【

システム監査基準研究会】
会員番号 0555 松枝憲司

0281 力利則 （システム監査基準研究会）○IT-ＡｕｄｉｔのＩＳＯ化について
PDTR：30120（ＩＴ-Audit—ITガバナンスの評価を支援するための監査ガイドライン）に関する討議を含めた
ISO/IEC JTC1ＷＧ８の国際会議が、8/19(月)～22(木)に東京の機械振興会館で開催されます。
７月現在国際投票にかかっているPDTR：30120（ＩＴ-Audit—ITガバナンスの評価を支援するための監査ガイド
ライン）について、各国からのコメントについて協議し、今後の対応について検討することになっています。
基準研からは、力副会長、清水理事とオブザーバーで松尾理事と松枝が参加予定です。
会議の結果については、次回報告いたします。
○ＩＳＯ３８５００：２００８のＪＩＳ化について
情報処理学会情報規格調査会のガバナンスＪＩＳ原案作成委員会にて、ＩＳＯ３８５００（組織のＩＴガバナンス）とＩＳＯ２７０１４（情報セキュリティのガバナンス）のＪＩＳ化の検討が進んでおり、今年度中にＪＩＳ化の案をまとめる
予定です。
現在、日本語の用語の統一を進め、仮訳の作成・レビューに取り掛かっています。
検討メンバーとしては、上記のISO化のJTC1/WG8の委員と２７０１４の委員を中心に構成されており、ＳＡＡＪ
からは、力副会長が参加しています。
内容に関しましては、タイミングを見て皆様にお知らせしたいと思います。
以上

日本システム監査人協会

会報

11September 2013

日本システム監査人協会

会報2013.08 投稿【情報セキュリティ監査研究会だより その５】
会員番号 0056 藤野明夫(情報セキュリティ監査研究会）

はじめに
情報セキュリティ監査研究会の活動状況の会報連載は本号で第５回になります。第２回で本研究会の活動目的についてご説明した以外、第１回から本号の第５回までテキスト(*1)の輪読のご紹介をしてきました。今回のテキスト
第７章第1節から第４節で主要部分のご紹介が完了しますので、ひとまず本テキストのご紹介は終了いたします。
今回の記事の最後に次のテーマについて若干ご紹介いたしますので、ご興味のある方は、ご参加ください。
(*)で示すテキスト、参考資料等の名称、ＵＲＬ等については文末にまとめて記載します。

【輪読のテーマ】テキスト第７章「新サービス創出のための課題と取り組み」(*2)
７．１節「価値の創造」と「信頼の基盤」〔論者の主張〕ビッグデータの意義は、ビッグデータの利活用による新たなサービスにより、くらしや経済を豊かにするという「価値の創造」にあり、これは、人々がこのサービスが人々の信頼に足るものであるという「信頼の基盤」の上に成り立つ。
これを実現するために、｢価値の創造｣に関しては、価値創造の主体としての「IT融合を進めるIT技術者育成」と、
ビッグデータの特性を活かした、より価値あるものにするための「ビッグデータの開放と融合の促進」が必要である。
「信頼の基盤」に関しては、従来のプロアクティブなセキュリティ対策から一歩踏込み、ビッグデータを活用したセキュ
リティ対策等の実現、すなわち、「信頼の基盤に向けてのセキュリティ確保」が必要である。以下、各節で論ずる。
(第７章第５節、「ビッグデータ活用を支える信頼性・安全性」は、本連載第１回で紹介したので今回は省略する。
また、紙面の制約から内容がかなり絞り込まれていることを承知されたい。)
７．２節

ＩＴ融合を進めるＩＴ技術者育成〔論者の主張〕ＩＴ革命の浸透に伴い、ＩＴの戦略的活用が求められている。当然、ＩＴ技術者に対しても、従来の提示された業務要件や仕様に基づいて「作る」だけのＩＴ技術者から、自ら「価値を生み出すＩＴ技術者」への転換が求められている。
価値を生みだす方法として、ビッグデータの活用がある。しかしながら、従来型のＩＴ技術者にとって、一般的には、
ビッグデータを活用するための技術とその技術を修得するための環境が身近にない。産官学が協同してＩＴ人材に
ビッグデータを自由に使える環境と、その技術を伝える研修の場を準備することが有効ではないか。
〔研究会内の議論〕
この節の議論は、ビッグデータ活用に限らず、最近のIT革命の進展にともなってＩＴ人材の人材像が大きく変化しているという観点で、広く一般的に論じられている。そのなかで、｢価値を生み出すＩＴ技術者｣と「マルチスキルを持
つIT技術者」の必要性が強調されている。その｢価値を生み出すＩＴ技術｣の一つのとして、ビッグデータの活用に触れている。ビッグデータ活用に関する人材育成に関して具体的に提案している部分は少なく、上述の産官学連携の研修環境の場作りの提案がその一つである。
はたして、産官学が連携してビッグデータを使える環境を整え、その技術の研修の場を提供するというのは実際的であろうか。むしろ従来のITに係る新技術の習得がそうであったように、ビッグデータ活用に関する技術の習得も企業サイドが実ビジネスを展開するなかで、試行錯誤し、また、企業間で切磋琢磨して身に付けていくものだと思う。
ただ、ビッグデータは、それを所有する主体の多くが官側にあり、また、それが縦割りで相互に連携していないこと、
さらには個人情報保護を筆頭に種々の法的、社会通念的障碍が存在すること等、官側の協力、あるいはイニシアチ
ブなしでは発展が難しいという、従来のＩＴ新技術とは異なった特性をもっていることは事実である。この特異な特性に対応するという意味での産官学連携は必要であろう。
日本システム監査人協会

会報

12September 2013７．３節

日本システム監査人協会

会報

ビッグデータの解放と融合の促進〔論者の主張〕ビッグデータは、インターネット等を使った種々の業界の情報プラットフォームや、政府機関等の統計、調査資料
あるいは政策に係る多様で膨大な資料の蓄積が源泉であり、これらから如何に価値を生み出すかが課題である。
このためには、異分野で蓄積されたビッグデータを「融合」させることと、それらビッグデータから引き出された情報をさらに異分野のシステムと融合させ、活用するための手法の確立が不可欠である。この異分野融合は、もともとのデータ蓄積主体の外へ、ビッグデータとそこから引き出された情報を持ち出すこと、すなわち「解放」が前提となる。
また、政府保有のデータの活用のために「オープンガバメント」への取り組みが必要である。
「解放」し「融合」させるためには、情報提供者の権利（個人情報保護等）擁護のための種々の課題が存在する。
情報提供者との契約が正しく履行されていることを検証するためのトレーサビリティの確保、あるいは、個人情報除去に関して何をすれば除去したとみなせるかについての法的、技術的手法の確立等である。トレーサビリティのなかには使用されるソフトウェアのトレーサビリティも含まれる。この点については、ソフトウェアの「信頼性の鎖(トラストチェーン)」を確立するために何をすべきかという観点でＩＰＡが標準化の検討を行っている。また、これらトレーサビリ
ティを確実で信頼できるものにするために電子署名を活用しようとする提案が、ISO/IEC JTC1のSC22専門部会でなされ、2012年3月の投票で承認された(*3)。
オープンガバメントについては、米国・欧州で取り組みが活発化している。米国では、オバマ政権が「Ｔｒａｎｓ-parency(透明性)」、「Participation(国民参加)」、「Collaboration(官民連携)」の三原則を掲げている。また欧州では、
早くも2003年に公共情報(PSI:Public Sector Information)の再利用に関する欧州指令(*4)が出され、各国で公的機関の情報公開が進められている。また、このためのキーテクノロジーとして「LOD(Linked Open Data)」(*5)が注目されている。
オープンガバメント実現には種々の問題が存在するが、その一つにセマンティクスの標準化がある。同一の単語においても国内ですら官庁毎、分野ごとに意味解釈の上で異なるものが多々存在することがある。ＬＯＤによって形
式的にはリンク付けられても意味的には全く異なるものをリンクしてしまうということもあり得る。また、ビッグデータが交通制御、電力網制御といった社会インフラ的シーンで活用されるにしたがって、活用されるデータの信頼性の確保が重要な問題になってくる。
〔研究会内の議論〕
この節は、ビッグデータ活用の核心となる技術的な課題を提起している。情報提供者の権利擁護のためのデータ
およびソフトウェアのトレーサビリティの確保、ＬＯＤにおけるデータ標準化の問題、データの信頼性確保の問題等である。システム監査の観点では、データとソフトウェアのトレーサビリティ確保およびデータの信頼性確保の問題が重要ではないかと考える。とくにトレーサビリティについては技術的にかなり突っ込んだ議論が必要であると思う。
いずれにせよ、ビッグデータの問題に取り組むには、国内の法的・制度的問題だけでなく、それに関係する要素
技術についても見識を深めるとともに、その標準化動向や国際的な動向にも目を配らなければならない。
７．４節

信頼の基盤に向けてのセキュリティの確保〔論者の主張〕各種のログを大量かつ継続的に収集し、統合して分析することにより、すなわちビッグデータ的アプローチをとることによって、今まで発見することのできなかった特異な事象の発見や、その傾向あるいは波及経路等を分析することができる。これは、「ビッグデータ」を活用した新たなセキュリティ技術といえるであろう。
そのログとしては以下のものが考えられる。
① 組織システムのログ：外部からのアクセスログ(入退室管理ログ、映像記録ログ等)、システムへのアクセスログ(DBアクセスログ、ネットワークパケットログ等)、外部への送出ログ(メール送信ログ等)② インターネット上の定点ログ：ハニーポットログ、バックボーンログ③ 応用装置、機器におけるログ：情報家電等の家庭内機器、自動車等の移動体、制御システム等におけるログ
これらのログと脆弱性データベース、ウイルスデータベース、インシデントデータベースといったセキュリティデータ
日本システム監査人協会

会報

13

September 2013

日本システム監査人協会

会報

ベースを連携させることにより、外部からの攻撃活動の早期把握、不正侵入の検知、情報漏えいの追跡、組織内部の不正行為の検出、セキュリティ対策情報の収集、対策情報のプッシュ型配信といった、高度な対応をとることができる。そのためには、各種ログに対して、予測型分析が可能になるような統制と継続的なモニタリングが必要である。
〔研究会の議論〕
ビッグデータ的アプローチによる新たなセキュリティ技術確立の可能性の指摘はその通りだと思う。異種のログや他のシステムのログを大量かつ継続的に収集・分析することにより、悪意ある攻撃の抑止や早期発見、あるいは、パンデミックの抑止等につなげることができる。
セキュリティ対策だけではなく、システム監査という観点でも、過去の種々のログ等に対するビッグデータ的アプ
ローチは、新たな監査手法として有効なのではないか。
テキスト(*1)の輪読のご紹介、以上【情報セキュリティ監査研究会の次テーマ「プライバシー・バイ・デザイン」のご紹介】「ビッグデータのリスク」の検討はいかがでしたか。おかげさまで、本テーマによる検討開始以来、当研究会に新たに３名のメンバーが加名しました。やはりテーマが興味を引くものであったのでしょうか。次は、最近、耳にすることが多くなってきた、「プライバシー・バイ・デザイン」 をテーマにしたいと存じます。
ＮＳＡによる通信記録傍受事件、共通番号制度の法案成立等、プライバシー問題が喧しくなっている現在、時宜を得たテーマだと思いますし、最近話題のＰＩＡ(Privacy Impact Assessment：プライバシー影響評価)ともプライバシー問題に対する「事前対応」という点で関係が深く、また、前テーマの「ビッグデータのリスク」の対応策の一部にもなっております。
当面、アン・カブキアン著、「プライバシー・バイ・デザイン プライバシー情報を守るための世界的新潮流」(*6)
をテキストとして輪読形式で進めてまいります。輪読といっても、その場で読み合わせをすることはせず、事前にメンバー各自が読みこんで、その際に得た気づきや感想等をもとに議論をしたいと思います。
「プライバシー・バイ・デザイン」について、若干、説明させていただきます。
「プライバシー・バイ・デザイン」とは、カナダ・オンタリオ州の情報・プライバシー・コミッショナー(*7)であるアン・カ
ブキアン博士が提唱するコンセプトであります。「プライバシー・バイ・デザイン」は、その名の通り、設計段階からプラ
イバシー保護を考慮するという考え方で、このような考慮をすれば企業にとっても消費者にとってもポジティブサム(Win‐Win)の関係をもたらすというものです。この考え方は、従来のプライバシー保護に対する否定的見解、すなわ
ちプライバシー保護プロセスは、単なるリスクに対する対応プロセスでしかなく、企業にとっても個人情報を提供する
消費者にとっても何ら付加価値を生むものではないといった概念を覆すものであり、画期的なものだと思います。
逆に言うと、従来型のプライバシーに対する考慮なしに作られたレガシーなシステムに対して、事後的に個人情報保護のためのプログラムやプロセスを追加しても実効性のあるものにはならないと主張しているようです。ビッグデー
タやＳＮＳの進展、拡大に伴い、システム全体、あるいは、それが機能するところの社会経済プロセスそのものをプラ
イバシー保護の観点から、抜本的に、かつ、より生産的なプロセスになるように見直そうという運動とも思えます。
ご参考のために、同書第一章の冒頭の部分を引用させていただきます。
「プライバシー情報を扱う＜あらゆる側面＞において、プライバシー情報が適切に取り扱われる環境を＜あらかじめ＞作り込もうという＜コンセプト＞－－これが、提唱者であるアン・カブキアン博士による、プライバシー・バイ・デザ
インの基本的な定義である。」、上述書、P10。
なお、同書で参照している、カナダ・オンタリオ州情報・プライバシー・コミッショナー事務局が発表した「プライバシー・バイ・デザインの運用化：オンタリオ州のスマートグリッドのケーススタディ」という文書のＵＲＬを掲げます(*8)。
ご興味があればご参照ください。

日本システム監査人協会

会報14September 2013

日本システム監査人協会

会報【情報セキュリティ監査研究会へのお誘い】
新テーマも含めて当研究会にご興味をもたれましたら、是非、ご参加いただきたいと存じます。毎月２０日前後に、
ＳＡＡＪ事務局で定例研究会を開催しております。参加ご希望の方、当会報をご覧になってご意見やご質問のある方は下記アドレスまでメールでご連絡ください。

security ☆ saaj.jp （発信の際には “ ☆ ” を “@” に変換してください）【テキスト、参考資料等】(*1) ＩＰＡ（独立行政法人情報処理推進機構）編、2012 年 3 月発行「くらしと経済の基盤としての IT を考える研究会報告書 つながる IT がもたらす豊かなくらしと経済〜 ビッグデータの価値と信頼 〜」)
URL

http://www.ipa.go.jp/about/research/2011bigdata/

情報セキュリティ研究会では、昨年から本年にかけて、本テキストの輪読を行なってきた。
(*2) 同上 第７章 新サービス創出のための課題と取り組み

ＰＰ８２－１１３(*3) 参考資料：ＩＰＡ、「ソフトウェアの信頼性向上と安全な利用環境の構築に向けて」、2012.12 参照
URL

https://www.ipa.go.jp/files/000011424.pdf(*4) Directive on the re-use of public sector information ： 「公共情報の再利用に関する欧州指令」
URL

http://ec.europa.eu/information_society/policy/psi/rules/eu/index_en.htm
本 URL の記事は、指令そのものではなく、その概要等。

(*5) LOD：Linked Open Data
RDF（Resource Description Framework）と呼ばれる機械処理が容易で特定アプリに依存しないデータ表現
形式を用いた Linked Data 形式で公開されているデータセット群。 WWW 上のデータを人とコンピュータで共有し、より高い価値を生み出そうというもの。LOD については下記 URL 等を参照。
URL

http://ocdi.jp/?q=about_lod(*6) 堀部政男／一般財団法人日本情報経済社会推進協会(JIPDEC)編、アン・カブキアン著、JIPDEC 訳、「プライバシー・バイ・デザイン プライバシー情報を守るための世界的新潮流」、日経ＢＰ社、2012 年 10 月(*7) 情報・プライバシー・コミッショナー：情報・プライバシー保護に関する責任と権限を有する、政府等と独立した「第三者機関」。共通番号の導入に伴い日本でもいよいよ検討開始。なお、日本以外の多くの先進国では、たとえば、EU、カナダ、英国、ドイツ、オーストラリア、韓国などがプライバシーコミッショナーに該当する組織、人を用意している。 下記、URL 等を参照いただきたい。
URL

https://privacyconference2013.org/

この URL は、プライバシーコミッショナー会議(The International Data Protection and Privacy Commissioners
Conference）のホームページで、同会議は、1979 年から毎年一回開催されている。上記 URL は 2013 年の第35 回ワルシャワ大会のもの。なお、日本は国際的に認められる「独立の個人情報保護機関」の設置がされていないため、同会議への正式参加不可、オブザーバー参加のみ(慶應義塾大学 新保准教授報告、「個人情報保護法は世界に通用するか？」、 URL http://www.horibemasao.org/horibe_07/5.Prof.Sinpo_07.pdf )。
(*8) Operationlizing Privacy by Design: The Ontario Smart Grid Case Study
URL

http://www.ipc.on.ca/images/Resources/pbd-ont-smartgrid-casestudy.pdf
以上

日本システム監査人協会

会報

15September 2013

日本システム監査人協会

会報2013.08 投稿「個人情報保護マネジメントシステム実施ハンドブック」簡易版

第８章

会員番号：1760 斎藤 由紀子（個人情報保護監査研究会）

第８章 個人情報の取得、利用および提供に関する原則
個人情報保護法第 15 条では、“利用目的をできる限り特定しなければならない” と定めています。
また、法 16 条１では、同意を得て取得した個人情報であっても、“特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。” としています。

8.1

利用目的の特定
個人情報を取得するにあたっては、その利用目的をできる限り特定し、利用においてはその目的の達成に必要な限度において取り扱わなければなりません。そのため、個人情報を取得する場合は、
あらかじめ「3421 個人情報取得・変更申請書」等を用いて、利用目的の範囲を限定し、取扱いについて明確にして個人情報保護管理者の承認を得なければなりません。

8.２

適正な取得
“適正な”とは、適法かつ公正であることをいいます。
“公正”とは、利用目的を偽らないこと、優越的な地位を利用しないことなどをいいます。

8.３

特定の機微な個人情報の取得、利用及び提供の制限“機微な個人情報” とは以下のいずれかの種類を含む個人情報をいいます。
“センシティブ情報”と、いうこともあります。時には差別を助長することにもなりうる情報です。
a)b)

思想、信条、及び宗教に関する事項。
人種、民族、門地、本籍地（市区町村以下）、身体・精神障害、犯罪歴、その他社会的差別の原因となる事項。

c)

集団示威行為への参加、請願権の行使その他の政治的権利の行使に関する事項。

d)

保健医療及び性生活。

通常、個人情報の漏えい事故があった場合は、自己が所属する認定個人情報保護団体（JIPDEC など）に報告することで、主務大臣への報告を省略することができます。
しかし、経済産業分野を対象とするガイドライン（2009/10/09 厚生労働省・経済産業省告示第２号） 2-2-3-2：組織的安全管理の章では、上記の情報が漏えいした場合は、認定個人情報保護団体の参加事業者であっても、“主務大臣に逐次速やかに報告を行うことが望ましい。”としています。

日本システム監査人協会

会報

16September 2013

日本システム監査人協会

会報2013.08 投稿「個人情報保護マネジメントシステム実施ハンドブック」簡易版

第９章

会員番号：1760 斎藤 由紀子（個人情報保護監査研究会）

第９章 本人から直接書面によって取得する場合の措置
本人から直接書面によって取得する場合とは、次のような場合です。
「本人から直接書面によって取得する場合」の事例（ご参考）・ 本人から直接、契約書、入会申込書、アンケート、キャンペーン応募書類などを取得する。
・ Ｗｅｂサイトに設置したフォームから、商品購入申し込みや、問い合わせなどを受ける。
・ 従業者を採用する場合に、面接で応募書類を取得する。
・ 雇用契約時に家族構成や金融機関の口座番号、通勤経路などの情報を申請書等で取得する。
・ PMSの運用時に取得する、教育時の理解度テスト用紙、来客が記入する入退館記録など。

9.1

本人から直接書面によって取得
個人情報を本人から直接書面によって取得する場合は、適切な通知がなされ、明示的な同意を得る必要があります。そのため、「3421 個人情報取得・変更申請書」によって、利用目的の範囲内で取り扱い、安全管理が図られるよう、あらかじめ個人情報保護管理者の承認を得ます。
サンプル様式：「3421 個人情報取得・変更申請書」（一部）

日本システム監査人協会

会報

17September 20139.２

日本システム監査人協会

会報

個人情報の取扱いについての通知と同意本人への通知文書には、以下を含んでいなければなりません。
通知事項として必要な項目a) 会社名b) 個人情報保護管理者の氏名又は職名、所属及び連絡先c) 利用目的d) 個人情報を第三者に提供することが予定される場合の事項 （詳細省略）e) 個人情報の取扱いの委託を行なうことが予定される場合には、その旨
f) 3.4.4.4～3.4.4.7（開示等）に該当する場合にはその求めに応じる旨及び問合せ窓口g) 本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果h) 本人が容易に認識できない方法によって個人情報を取得する場合には、その旨明示的な「同意」とは、書面へのサインや、同意する旨のメールの受信をいい、Web サイトでは、下記のような［同意する］ボタンの押し下げでも得ることができます。

9.３

本人からの同意を得ることが困難な場合
人の生命、身体又は財産の保護のために、緊急に必要がある場合は、あらかじめ本人に対しその利用目的を明示する必要はないとされています。（経済産業省ガイドライン 2-2-2.(3)「直接書面等による取得」）
しかしその場合は、取得後速やかにその利用目的を、本人に通知又は公表しなければなりません。

9.4

本人からの同意を省略できる場合
一般慣行としての名刺交換、請求書に記載された担当者名、捺印などの取得については、「利用目的が明らか」として本人からの同意を省略できます。
次回は、「第 10 章 直接書面以外で取得する場合の措置」をご紹介します。＞目次へ
個人情報保護監査研究会 http://www.saaj.or.jp/shibu/kojin.html
以上

日本システム監査人協会

会報

18

September 2013

日本システム監査人協会

会報2013.08 投稿

協会からのお知らせ【

協会行事一覧

】会員番号 0557 仲 厚吉（事務局長）

2013 年
7月

理事会・事務局・会計・認定

部会・研究会

支部・特別催事（会計）支部会計報告依頼：14 日必着（月例研）「実演によるサイバー攻撃の（支部）本部助成金収入（事務局）会費督促状発送〔7 月１日付〕

仕組み解説」：24 日（近畿支部）支部創設２５周年記念研（CSA フォーラム）「６ヶ月で構築する究大会：6 日PMS」：２９日
8月（認定）秋期 CSA・ASA 募集：8/1～9/30（月例研）「クラウドインシデント」：21 日（会計）中間期会計監査：17 日（基準研・ISO）「ISO/IEC 東京会議」：（理事）会費督促電話：8/10～末

8/19～8/22（事例研）「実務セミナー」：31 日

9月（会計）予算実績中間報告：12 日（事例研）「課題解決セミナー」：7 日（CSA フォーラム）

10 月
11 月

（認定）CSA・ASA 更新手続案内（CSA フォーラム）〔申請期間 1/1～1/31〕（北信越支部）西日本支部合同研究会：23 日（認定）CSA 面接（事務局）会費未納者除名通知発送：
20 日（会計）2014 年度予算申請提出期限：
30 日
12 月

（会計）2014 年度予算案：１日(東北支部) 支部総会・支部設立 10（理事会）2014 年度予算案・役員改選・周年記念講演会：14 日

会費未納者除名承認：12 日（認定）CSA 面接結果通知（会計）2013 年度経費〆切：20 日（事務局）通常総会・役員改選公示（事務局）2014 年度会費請求書・寄附願い発送〔１月１日付〕
2014 年
1月

理事会・事務局・会計・認定（認定）CSA・ASA 更新申請受付

部会・研究会（CSA フォーラム）支部・特別催事（近畿支部）支部総会：17 日〔申請期間 1/1～1/31〕（会計）支部会計報告依頼：14 日必着（事務局）総会資料〆切：15 日（会計）2013 年度決算案：中旬（会計）2013 年度会計監査：下旬
2月（認定）CSA・ASA 春期募集：2/1～3/31（通常総会特別講演）（理事会）通常総会議案承認：6 日（通常総会）：21 日
3月

東京都への事業報告書、変更届提出:
1日※注 定例行事予定は省略

日本システム監査人協会

会報

19September 2013

日本システム監査人協会

会報2013.08 投稿

協会からのお知らせ【２０１３年度秋期 公認システム監査人及びシステム監査人補の募集】
会員番号 1750 舘岡 均（公認システム監査人認定委員会）

２０１３年度秋期 公認システム監査人及びシステム監査人補の募集の〔公告〕が協会のホームページに掲載されています。資格取得を企図されている各位はご参照願います。〔公告〕の内容は下記の通りですが、申請書等の資料のダウンロードなども、ホームページからお願い致します。
（http://www.saaj.or.jp/csa/csaboshu.html）----------------------------------

記------------------------------------------------２０１３年８月１日
特定非営利活動法人日本システム監査人協会
公認システム監査人認定委員会

２０１３年度秋期
公認システム監査人及びシステム監査人補の募集について〔公告〕
特定非営利活動法人日本システム監査人協会（以下、協会という）は、公認システム監査人認定制度（2002 年２月２５日制定）（以下、制度という）に基づき、「公認システム監査人(Certified Systems Auditor：CSA)」および「システム監査人補(Associate Systems Auditor：ASA)」を認定するため、2013 年度秋期公認システム監査人およびシステム監査人補の募集を行います。募集の概要と申請書等の資料の入手方法は、以下のとおりです。
１．認定資格公認システム監査人およびシステム監査人補とする。
２．申請条件（１） 認定申請者は、経済産業省が実施するシステム監査技術者（旧情報処理システム監査技術者）試験に合格していること。（制度２（５）特別認定制度に基づく特別認定講習の修了により、上記試験の合格者と同様に取り扱う者を含む）（２） 公認システム監査人の申請者は、申請前直近６年間のシステム監査実務経験（実務経験みなし期間）が２年以上あること。
３．認定申請（１） 申請書類（記入方法は、募集要項参照）
公認システム監査人およびシステム監査人補の申請書類は、次表のとおりとする。
申請書類

公認システム監査人

システム監査人補

記事(1)認定申請書

○

○

様式１

(2)監査実務経歴書

○

－

様式２

(3)小論文○－様式３(4)宣誓書○○様式４

日本システム監査人協会

会報

20September 2013

日本システム監査人協会(5)資格証明（写）○○(6)申請手数料振込書（写）○○(7)面接試験

□

－

会報

別途通知

（注１）○印の資料一式を申請書類として提出する。
（注２）□印については、面接試験を実施する。
備考：公認システム監査人とシステム監査人補を同時申請する場合は、公認システム監査人用の申請書類を提出する。
（２） 面接試験
申請書類審査後、認定委員会が別途指定・通知する日時場所において、面接試験を受ける。
４．募集期間２０１３年 8 月 1 日（木）～２０１３年９月 30 日（月）（同日消印まで有効）
５．認定申請手数料
申請手数料

協会会員

非会員

(1) 公認システム監査人認定申請手数料 （注１）システム

２１，０００円

３１，５００円

１０，５００円

１５，７５０円

１０，５００円

１５，７５０円

監査人補と同時申請する場合も手数料は同じです。
(2) システム監査人補が申請する場合の公認システム監査人認定申請手数料(3) システム監査人補認定申請手数料

６．資料の入手方法（１） 「公認システム監査人、システム監査人補 募集要項」
ダウンロード（PDF 形式）（２） 申請書等様式一式•認定申請書（様式１）：Word 形式•監査実務経歴書（様式２）：Word 形式•小論文（様式３）：Word 形式•宣誓書（様式４）：Word 形式（３） 公認システム監査人認定制度のダウンロード•PDF 形式（４）「公認システム監査人制度」創設のお知らせ（2002 年７月１日）のダウンロード•PDF 形式（５） 特別認定講習に関する情報（・特別認定講習機関認定については参照）
以上

日本システム監査人協会

会報

21September 2013

日本システム監査人協会

会報2013.08 投稿

研究会、セミナー開催報告、支部報告■【第１回 CSA・ASA 全体交流会を盛大に開催しました！】
会員番号 0281 力 利則（CSA 利用推進Ｇ）
CSA・ＡＳＡ継続教育が行われた６月１５日に、ＣＳＡ・ＡＳＡの方々を対象に、ＣＳＡ・ＡＳＡの交流と親睦を目的に、第１回ＣＳＡ・ＡＳＡ交流会を開催致しました。総勢３０名近い参加者により、最近の活動状況の説明や自己紹介タイム、名刺交換ゲームなどで、大いに盛り上がりました。ここで知り合った方々とのフェイス to フェイスの交流を今後とも続けていければと考えています。
１.日 時 ： 2013 年 6 月 15 日（土） 17：00～19：00
２.場 所 ： 機械振興会館 地下 3Ｆ 「うすい」
３.趣旨 ：《ＣＳＡ・ＡＳＡのＳＡＡＪ公認の資格を取得されて如何ですか？》
資格は取得することや継続することが目的ではなく、資格を生かして何か新しい行動に繋げることが大事だと思います。皆様は資格を生かして何か新しいことができましたか？ＣＳＡ・ＡＳＡの資格を取得して良かったと思って頂けていますか？ＳＡＡＪ総会や月例会、ＣＳＡフォーラム、各種研究会に参加することによって得られるものも多いと思いますが、ＣＳＡ・ＡＳＡのメンバーの方々をお互い知ることも大事なステップだと思います。監査人は複数名で対応するということが基本です。監査人同士のコミュニケーション作りも大事な活動だと思います。そのような趣旨で開催しました。監査にとって人を知ること、人を理解することは大切です。ＣＳＡ・ＡＳＡのお互いの交流を深め、自分の仕事へのフィードバックやビジネスのチャンスに繋がればと考えています。
４．式次第 ：
１７：００～ 開会 （司会 桜井さん）①沼野会長挨拶 ５分②乾杯（中山副会長）③歓談（途中に名刺交換タイム（１７：３０～）を設定。一人２０枚以上、名刺交換と名前を覚えるゲーム）～１７：５０④挨拶（鈴木認定委員長）５分⑤ＣＳＡ利用推進Ｇの紹介 １０分 ～１８：０５⑥ＣＳＡ紹介（新人は１人３～５分、理事等はお名前だけ） ～１８：３０
・自己紹介、活動紹介

・資格取得して良かったこと、ＰＲ、望むことなど⑦歓談 ～１８：５５⑧締め（仲副会長兼事務局長） ～１９：００
５．ＣＳＡ・ＡＳＡの今後の予定 ：ＣＳＡフォーラムは第１８回（7/29済：個人情報）、第１９回（9/24予定 ：ＩＳＯ化進捗）
ＣＳＡ利用推進Ｇ会議（月1回）、 第２回全体交流会（年１回程度開催予定！）＊ＣＳＡフォーラム参加には事前登録が必要です。 CSA Forum事務局 ： csa@saaj.jp＊ＣＳＡ利用推進Ｇメンバー募集中！！ＣＳＡ利用推進Ｇメンバー（原、桜井、高橋(典)、斉藤(茂)、力）
までお声をお掛けください。
日本システム監査人協会

会報

以上
22

September 2013

日本システム監査人協会

会報2013.08 投稿

注目情報 （2013.7～2013.8）■【JIPDEC「運用管理のお手本 ISO/IEC20000～事例から学ぼう～インシデント及びサービス要求管理、問題管理編」を公開】（2013/7/25

発表）

IT サービスマネジメントシステム(「ITSMS」)とは、サービス提供者が提供する IT サービスマネジメントを効率的、効果的に管理するための仕組みです。ISO/IEC20000 は ITSMS の国際規格として制定されました。ISO/IEC20000 を実践することは、運用のあるべき姿の実現に向けて取り組むことに他なりません。ISO/IEC20000 は運用プロセス群において、必須で対応すべき項目をプロセス毎に体系的に整理した「仕様」であり、単に“あるべき姿”を紹介するものではなく、システム運用管理の“お手本”として利用できるものなのです。（出典：本編の「はじめに」）http://www.isms.jipdec.or.jp/itsms/doc/JIP-ITSMS125-10.pdf■【IPA 夏休みにおける情報セキュリティに関する注意喚起】(2013/8/7 発表)
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、本日、お盆や夏休みなどの休暇中における情報
セキュリティに関する注意喚起を発表しました。
この注意喚起は、お盆や夏休みなどの休暇中や休暇明けに企業でのトラブルや顧客へのウイルス感染、情報漏えいなどが起きないよう、また休暇中に家庭でトラブルに遭わないよう注意することを目的として、パソコンの利用を想定した（1）システム管理者を対象とした休暇前の対策、（2）企業での一般利用者を対象にした休暇明けの対応について、（3）
家庭での利用者を対象にした情報セキュリティ対策、（4）スマートフォン、タブレットの利用者を対象にした不正アプリ
被害の対策で構成しています。
http://www.ipa.go.jp/security/topics/alert250807.html■【IPA「脆弱性検査と脆弱性対策に関するレポート」の公開】(2013/8/8 発表)
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、昨今増加する脆弱性を狙った攻撃への対策に有効とされる、ソフトウェアの脆弱性を検出する各種方法とその特徴などをまとめた「脆弱性検査と脆弱性対策に関するレポート」を 2013 年 8 月 8 日から IPA のウェブサイトで公開しました。
http://www.ipa.go.jp/about/technicalwatch/20130808.html

日本システム監査人協会

会報

23September 2013

日本システム監査人協会

会報2013.08 投稿【協会主催イベント・セミナーのご案内（東京開催）】■中堅企業向け「６ヶ月で構築するＰＭＳ」セミナー
個人情報保護監査研究会の中堅企業向け「６ヶ月で構築するＰＭＳ」セミナーの開催をご案内します。当研究会では、当研究会著作の規程、様式を用いて、6 ヶ月でＰＭＳを構築するためのセミナーを開催します。
詳細は、個人情報保護監査研究会主査 斎藤（saajjk7@saaj.jp）までお問い合わせください。

中堅企業向け「６ヶ月で構築するＰＭＳ」セミナー•基本コース：月 1 回（第 3 水曜日）14 時～17 時（3 時間）×6 ヶ月•料金：9 万円/1 名～（1 社 3 名以上割引あり）•会場：日本システム監査人協会 茅場町オフィス•テキスト：SAAJ「個人情報保護マネジメントシステム実施ハンドブック」（非売品）
2013 年 5 月号 SAAJ 会報より、「個人情報保護マネジメントシステム実施ハンドブック」簡易版を公開開始！
•セミナーのお申込が多い場合、最大 6 ヶ月お待ちいただくことがあります。
•基本コースの他に、月 2 回の応用コースなどがあります。

■月例研究会【第 184 回月例研究会】
1.日時：2013 年 8 月 21 日（水曜）18:30～20:30
2.場所：機械振興会館 地下 2 階多目的ホール
3.テーマ：「クラウドインシデント」（仮題）
4.講師：独立行政法人 情報処理推進機構
技術本部 セキュリティセンター
普及グループ 研究員 河野省二 氏■事例研究会【第 22 回システム監査実務セミナー】
1.日時：前半 2013 年 8 月 31 日（土）・9 月 1 日（日）後半 〃9 月 14 日（土）・9 月 15 日（日）2.場所：晴海グランドホテル
3.教材：ｃ社（金融機関のデータセンタ)
4.現在の応募者数 ：2 名
【第 11 回事例に学ぶ課題解決セミナー】
1.日時：2013 年 9 月 7 日（土）13:00～17:00

2.場所：未定
以上

日本システム監査人協会

会報24September 2013

日本システム監査人協会

会報2013.08 投稿【協会主催イベント・セミナーのご案内（大阪開催）】■システム監査体験セミナー（実践編）
日本システム監査人協会近畿支部では、システム監査人の実務能力維持・向上のため「システム監査体験セミナー（実践編）」を開催し、参加された皆さまより評価を頂いております。
本セミナーは、システム監査を実際に行う機会が少ない現状において、システム監査技術者や公認システム監査人を目指される方、内部監査ご担当者やシステム監査にご興味をお持ちの方々に、模擬体験を通したシステム監査
能力向上の機会をご提供することを目的としております。特に内部監査人養成は企業の内部統制整備に欠かせない要件となっており、この機会を利用した監査実務の体験は短期間での養成に最適と考えております。多くの皆さまの参加をお待ちしております。
記
１．日時

2013 年 9 月 21 日（土）10:00～20:00 / 22 日（日）10:00～17:00（宿泊はありません）

２．場所

大阪産業創造館 (http://www.sansokan.jp/)〒541-0053 大阪市中央区本町 1-4-5 大阪産業創造館 13Ｆ TEL 06-6264-9800(代)３．参加費

日本システム監査人協会会員

21,000 円 (早期申込割引 16,800 円)

その他の方

26,250 円 (早期申込割引 21,000 円)

４．定員

16 名（最小催行人員 8 名）

５．内容

当協会が実施したシステム監査サービスを基にしたケーススタディです。セミナー用にアレンジした「システム監査依頼書及び企業情報」を教材 として、4 名前後のグループに分かれて、監査計画書作成から予備調査、本調査、監査報告の実際を体験頂きます。

第 1 日目 10:00～20:00
システム監査実施手順及びシステム監査技法説明（講義）
予備調査インタビュー（ロールプレイング）
監査個別計画書作成、発表（チーム作業）
第 2 日目 10:00～17:00
本調査インタビュー（ロールプレイング）
監査報告書の作成（チーム作業）
システム監査報告会（チーム作業）
講師コメント、監査事例の紹介（講義）ＩＴコーディネータの方には、ＩＴコーディネータ知識ポイントが３ポイント付与されます
なお、今回のセミナーは、従来当支部が主催した実践セミナーとは、時間を短縮するなど若干内容が異なるため、当協会が認定する「公認システム監査人」の申請に必要な監査実務の「みなし期間」とはなりませんので、ご注意ください。
以上
日本システム監査人協会

会報25

September 2013

日本システム監査人協会

会報2013.08 投稿

会報編集部からのお知らせ
１．会報テーマについて
２．会報記事への直接投稿（コメント）の方法
３．投稿記事募集□■ １． 会報テーマについて
2013 年の会報の基調テーマは、「システム監査の普及促進」であり、3 か月ごとに「システム監査の普及促進」に関連するテーマを取り上げ、皆様と幅広く深く意見交換していきたいと考えています。
今月号から１０月号までの会報テーマは「システム監査の使いみち」です。協会においても、「システム監査活性化プロジェクト」を中心に、システム監査活性化に向けて取り組んでいるところです。会報記事が、協会の部会、研究会、支部など、皆様の活動の場での議論の契機となれば幸いです。

□■ ２． 会報の記事に直接コメントを投稿できます。
会報の記事は、
１）PDF ファイルの全体を、URL（ http://www.skansanin.com/saaj/ ）へアクセスして、画面で見る
２）PDF ファイルを印刷して、職場の会議室で、また、かばんにいれて電車のなかで見る
３）会報 URL（ http://www.skansanin.com/saaj/ ）の個別記事を、画面で見るなど、環境により、様々な利用方法をされていらっしゃるようです。
もっと突っ込んだ、便利な利用法はご存知でしょうか。
気にいった記事があったら、直接、その場所にコメントを記入できます。著者、投稿者と意見交換できます。
コメント記入、投稿は、気になった記事の下部コメント欄に直接入力し、投稿ボランをクリックするだけです。
動画でも紹介しますので、参考にしてください。
（ http://www.skansanin.com/saaj/ の記事、「コメントを投稿される方へ」 ）□■ ３．会員の皆様からの投稿を募集しております。
分類は次の通りです。
１．めだか （Word の投稿用テンプレートを利用してください。会報サイトからダウンロードできます）
２．会員投稿（Word の投稿用テンプレートを利用してください）

３．会報投稿論文 （論文投稿規程があります）

これらは、いつでも募集しております。 気楽に投稿ください。

日本システム監査人協会

会報

26

September 2013

日本システム監査人協会

会報

特に新しく会員となられた方（個人、法人）は、システム監査への想いやこれまで活動されてきた内容で、システ
ム監査にとどまらず、IT 化社会の健全な発展を応援できるような内容であれば歓迎いたします。
次の投稿用アドレスに、テキスト文章を直接送信、または Word ファイルで添付していただくだけです。
投稿用アドレス：saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）
会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステ
ム監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。

会員限定記事【本部・理事会議事録】（当協会ホームページ会員サイトから閲覧ください。パスワードが必要です）＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝■発行： NPO 法人 日本システム監査人協会 会報編集部〒103-0025 東京都中央区日本橋茅場町２－８－８共同ビル６F■ご質問は、下記のお問い合わせフォームよりお願いします。
【お問い合わせ】

http://www.saaj.or.jp/toiawase/■会報は会員への連絡事項を含みますので、会員期間中の会員へ自動配布されます。
会員でない方は、購読申請・解除フォームに申請することで送付停止できます。
【送付停止】 http://www.skansanin.com/saaj/
Copyright(C)2013、NPO 法人 日本システム監査人協会
掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■□■ＳＡＡＪ会報担当━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編集： 仲 厚吉、安部 晃生、越野 雅晴、桜井 由美子、中山 孝明、藤澤 博、藤野 明夫
投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

日本システム監査人協会

会報27