CISMカンファレンス
COBIT概要と基準委員会でのサイバー
セキュリティ翻訳活動の紹介
201７年2月１８日
ISACA東京支部基準委員会副委員長
CISA委員会委員
ISACA HQ
New Technology Identification Working Group Member
福田重遠（Shigeto Fukuda）,CISA

基準委員会の紹介
 目標
ISACAの基達成目標
ISACA東京支部会員を中心とするステークホルダーへの価値創出
 ガバナンス基準・知識（知的資産）について、ISACA東京支部会員が理解を深め、知識獲得やスキルアップにつなげることを支援すると共に、支部会員を通じて日本国内にISACAの基準・知識を普及させる。
 活動内容ISACAの基準・知識（知的資産）について、ISACA国際本部やITGI, Japan等の関連団体と連携して、ITAFやCOBIT5.0関連等のドキュメントの翻訳、支部会員向け講習会実施、委員会内勉強会等の活動を行う。
（基準委員会のＵＲＬ： http://www.isaca.gr.jp/standard/index.html）

COBITの紹介（COBITとの出会い）
2003年：COBIT３で、マネジメントとコントロールの違いを学ぶ
2010年：VAL ＩＴを読み、プログラムマネジメントの課題解決を試行
2013年：COBIT５でガバナンスとマネジメントの分離の本質を探究
事業体のITガバナンス（GEIT）

ス
コープの進化ITガバナンス
Val IT 2.0

マネジメント(2008)

コントロールRisk IT(2009)監査
COBIT1

1996

COBIT2

1998

COBIT3

2000

COBIT4.0/4.1

COBIT 5

2005/72012

ISACAが提供するビジネスフレームワーク www.isaca.org/cobit

COBIT５の概要

事業体の IT ガバナンスと ITマネジメントのための
ビジネスフレームワーク
効果の実現、リスクの最適化、資源の最適化とのバランスを維持し、ITにより最適な価値を創り出すことを支援営利、非営利、公的機関等、すべての規模の事業体に適用でき、有効なもの

COBIT５と他フレームワークとの関係

事業体: COSO, COSO ERM, ISO/IEC 9000, ISO/IEC 31000
IT関連: ISO/IEC 38500, ITIL, ISO/IEC 27000シリーズ, TOGAF, PMBOK/PRINCE2, CMMI

COBIT５ ５つの原則

1. ステークホルダーのニーズを充足5. ガバナンスとマネジメントの分離

2. 事業体全体の包含

COBIT5の原則

4. 包括的アプ
ローチの実現

3. 一つに統合されたフレームワークの適用

出典：COBIT® 5 日本語版, 図表２. © 2012 ISACA® All rights reserved.

COBIT５ ５つの原則（その１）
原則１．ステークホルダーの 凄く ステークホルダーのドライバー（環境、技術革新、…）
ニーズを充足大事
影響ステークホルダーニーズは、ステークホルダーのニーズリスク
資源効果の実現
事業体の実行可能な戦略に最適化最適化変換されなければならない。
事業体の達成目標
達成目標のカスケード（展開）はステークホルダーのニーズを、その状況における、具体IT達成目標
的で、実行可能で、カスタマイズされた事業体の達成目標、イネーブラーの達成目標IT達成目標、イネーブラーの達成目標へと変換する。

カスケード（展開）

カスケード（展開）

カスケード（展開）

出典: COBIT® 5 日本語版, 図表4.© 2012 ISACA® All rights reserved.

COBIT５ ５つの原則（その２）
原則２. 事業体全体の包含
役割、アクティビティ、関係性
方向付
け

委任

オーナー
およびス
テーク
ホルダー

ガバナン
ス
主体
説明責
任

指示・整合

マネジメン
ト

モニター

運営、
実行

報告

出典: COBIT® 5 日本語版, 図表9. © 2012 ISACA® All rights reserved.

8

COBIT５ ５つの原則（その３）
原則３. 一つに統合されたフレームワークの適用
COBIT 5 プロダクトファミリー
COBIT® 5COBIT 5イネーブラーガイド
COBIT® 5: Enabling Processes

COBIT® 5: EnablingInformation

その他のイネーブラーガイド

COBIT 5プロフェッショナルガイド
COBIT® 5Implementation

COBIT® 5 forInformation Security

COBIT® 5 forAssurance

COBIT® 5for Risk

その他のプロフェッショナル
ガイド

COBIT 5 オンライン コラボレーション環境
出典: COBIT® 5 日本語版, 図表11.© 2012 ISACA® All rights reserved.

9

COBIT５ ５つの原則（その４）
原則４．包括的アプローチの実現（イネーブラー）

イネーブラーのパフォーマンスの管理

イネーブラーの特質 イネーブラーを扱うため、共通、シンプルで構造化された方法
 組織エンティティが複雑な相互作用を管理することが可能 イネーブラーの成果達成を促進

ライフサイクル

ステークホルダー

達成目標•内部のステークホルダー•外部のステークホル
ダー•本質的な品質•状況に応じた品質（適切性、有効性）•アクセスビリティとセキュリティ

ステークホルダーのニーズに対応しているか？

イネーブラーの達成目標が達成されているか？

達成目標の達成度に関する測定指標（遅行指標）•計画•設計•構築/調達/作成/導入•使用/運用•評価/モニター•更新/廃棄ライフサイクルが管理されているか？

優れた実践手法•実践手法•作業成果物（インプット/アウトプット）

優れた実践手法が適用されているか？

実践手法の運用に関する測定指標（先行指標）

出典: COBIT® 5 日本語版, 図表13.© 2012 ISACA® All rights reserved.

10

ＣＯＢＩＴ５ ５つの原則（その５）

原則５.ガバナンスと マネジメントの分離

COBIT5の３７プロセス
事業体のITガバナンスのためのプロセス
評価、方向付けおよびモニタリング
EDM01 ガバナンス
フレームワークの設定と維持の確保

EDM02
効果提供の確保EDM03
リスク最適化の確保

EDM01
ステークホルダーからみた透明性の確保

EDM04
資源最適化の確保

整合、計画および組織化
APO01
ITマネジメント
フレームワークの管理

APO08
関係管理

APO03

APO02
戦略管理

エンタープライズ
アーキテクチャ管理

APO09
サービス契約の管理

APO10
サプライヤーの管理

APO04
イノベーション
管理

APO05
ポートフォリオ
管理

APO06
予算とコストの管理

APO11
品質管理

APO12
リスク
管理

APO13
セキュリティ管
理

BAI05

BAI06
変更管理

モニタリング、評価およびアセスメント
APO07
人的資源の管理

MEA01
成果と整合性のモニタリング、評価およびアセスメント

構築、調達および導入
BAI01

BAI03

プログラムとプロジェクトの管理

BAI02
要件定義の管理ソリューションの特定と構築の管理

BAI08
知識管理

BAI09
資産管理

BAI10
構成管理

BAI04
可用性とキャパシティの管理

組織の変革実現の管理

BAI07
変更受入と移行の管理提供、サービスおよびサポート
DSS01
オペレーション
管理

DSS02
サービス要求とインシデントの管理

DSS03
問題管理

DSS04
継続性管理

DSS05
セキュリティ
サービスの管理

DSS06
ビジネスプロセス
コントロールの管理

MEA02
内部統制システムのモニタリング、評価およびアセスメント

MEA03
外部要件への準拠性のモニタリング、評価およびアセスメント事業体のITマネジメントのためのプロセス
出典: COBIT® 5 日本語版, 図表16. © 2012 ISACA® All rights reserved.

12

サイバーセキュリティ翻訳活動①“NIST Cybersecurity Framework”
2016年4月から着手し最終レビュー中

ISACAがNISTフレームワーク策定に大きく関与
NISTとCOBITフレームワークとの互換性を強調

IPAのNIST CSF翻訳も参考に使用

サイバーセキュリティ翻訳活動②“NIST Cybersecurity Framework”
COBIT５ ５つの原則との対応付け
NIST CSF

７つのステップ

COBIT5 ５つの原則

ステップ１ 優先順位付けを行い、範囲を決定する。

原則１．ステークホルダーのニーズを充足する。

ステップ２ 方向付けを行う。
ステップ３ 「現在のプロファイル」を作成する。
ステップ４ リスクアセスメントを実施する。
ステップ５ 「目標のプロファイル」を作成する。
ステップ６ ギャップを特定・分析し、優先順位付けを行う。

原則２．事業体全体の包含原則３．一つに統合されたフレームワークの適用

ステップ７ 行動計画を実施する。

原則４．包括的アプローチの実現なし

原則５．ガバナンスとマネジメントの分離サイバーセキュリティ翻訳活動③“Transforming Cybersecurity”
 2016年7月から着手するも現在、レビュー中
 アメリカセキュリティの歴史から解説
 日本語翻訳の訳語の検討に課題（例示）Emergence（訳語統一化）：
出現、登場、カタカナなどケースバイケース
Ｔraveling user（日本語化）：
外出時に公衆ネットワークに繋ぐ人？
Generation Y：（アメリカ歴史等の理解）
アメリカのY世代(1980-90年代生まれ）でインターネットを駆使する世代のこと

サイバーセキュリティ翻訳④“Transforming Cybersecurity”
各防衛ラインで行うサイバーセキュリティ対応を整理。
第一の防衛ライン（マネージメント）

コントロールセルフアセスメント(CSA)
侵入テスト／ペネトレーションテスト
ソーシャル／行動テスト
定期的なマネジメントレビュー

第二の防衛ライン（リスク管理）リスク評価
脅威情報、脆弱性、リスクの把握
ビジネス影響度評価(BIA)
エマージングリスク評価

第三の防衛ライン（内部監査）

内部統制評価サイバーセキュリティのコンプライアンス
リスク許容値の評価
不正調査※“Transforming Cybersecurity” © 2012 ISACAより改版＆引用

End