No.245（2021年8月号） <7月25日発行>セキュリティの新たな潮流『ゼロトラスト』 -社内外すべてが信用できない領域'-巻頭言と注目情報をご覧ください。時代の変化とシステム監査一セキュリティの新たな潮流会員番号：1342  安部晃生（副会長）これまでのセキュリティ対策の考え方を大きく変える「ゼロトラスト」という言葉が、最近注目されてきています。従来のセキュリティ対策は、境界線で内側と外側を区別し、内側を「信用できる領域」、外側を「信用できない領域」として、外部と内部との不正な通信を境界線上で遮断するもので、いわば「境界型セキュリティ」でした。しかし、最近のクラウド利用の増加、テレワークの普及などにより、従来の「境界型セキュリティ」の対策では、サイバー攻撃の脅威を防ぎきれない状況になってきています。こうした状況に対する新たなセキュリティモデルとして提唱されているのが、「ゼロトラスト」です。 「ゼロトラスト」とは、社内外すべてを「信用できない領域」として、すべての通信を検査し、認証を行うという考え方です。 「ゼロトラスト」は、提唱されてから既に１０年以上になるようですが、特に最近、その導入の検討がなされる事例を多く目にするようになってきました。政府情報システムについてもゼロトラストの適用が議論され、昨年６月に、政府CIO補佐官等ディスカッションペーパー「政府情報システムにおけるゼロトラスト適用に向けた考え方」が公表されています。また、今年６月には、IPAから、自社でゼロトラストの導入を検討する担当者を対象に、導入検討や製品選定等を進める上での注意事項等がまとめられた「ゼロトラスト導入指南書」が公表されました。我々システム監査人は、このようにセキュリティ対策の考え方が大きく変わりつつあることを踏まえたうえで、監査にあたらなければならないでしょう。以上
各行からCtrlキー+クリックで該当記事にジャンプできます。 ○　巻頭言. . . ... 『時代の変化とシステム監査—セキュリティの新たな潮流』 1.めだか......3 ... 【時代の変化とシステム監査-スマホ脳2 - 】 2.投稿... ..4 【エッセイ】反魂【投稿】供給者の社会的責任・・品質不正事案から学ぶ【投稿】テレワーク環境におけるBCPの考え方】 【コラム】システム監査のための、順列・組合せ・確率・統計再入門(8) 3.本部報告.. 【第258回月例研究会講演録 】 4.注目情報.. 「ゼロトラストの現状調査と事例分析に関する調査報告書」の公表について5.セミナー開催案内.. 【協会主催イベント・セミナーのご案内】 6.協会からのお知らせ   . 【新たに会員になられた方へ】 【協会行事一覧】 7.会報編集部からのお知らせ ………. ....25 2021.07
システム監査の領域が広がる中、進化の階段の一つ上の段に上がる。そこで時代の変化とシステム監査を考える。時代の変化は、気候変動や、新型コロナウイルスによるパンデミック等であり、システム監査は、正すものである。 「スマホ脳」は、人類が地球上に現れてから99.9%の時間を狩猟と採集をして暮らしてきたことから、私たちの脳は狩猟と採集当時の生活様式に最適化されている、即ち、人間の脳は現代のデジタル社会に適応していない、というのである。10万年前サバンナに生きた人類を思い浮かべてみると、一度に食べられるだけ食べるほうが、実を１個だけ食べて満足して帰るより、生き延びる確率が高かった。 ・当時は、50〜150人程度の集団で暮らしていた。   ・常に移動し住居も簡素だった。 ・生涯出会う人間の数は200人多くて千人程度。出会う相手はだいたい自分と同じような外見だった。 ・全人口の半数は10歳を迎えずに亡くなった。    ・平均寿命は30歳足らずだった。 ・一般的な死因は飢餓、干ばつ、伝染病、出血多量、そして誰かに殺されることだった。 ・生き延びるためには注意を一か所に集めず周囲の危険を常に確認していなければいけなかった。 ・積極的に身体を動かして食べ物を探さなければ餓死する可能性があった。要するに、数千年あるいは数百年で、私たちは自分たちの周囲の環境を著しく変化させてきた。さらに、スマホが普及し、その結果、“人間はマルチタスクが苦手だ。得意だという人は自分を騙しているだけ！ (アール・ミラー) "や、“ある意味、驚きだ。これほど異質な環境にいるのに、人間が今以上の精神疾患にかかっていないなんて。（リチャード・ドーキンス）”などというようになってきた。 “脳は身体を動かすためにできている。そこを理解しなければ、多くの失敗を重ねることになるだろう。 (マイケル・ガザニガ）”という。基本的にすべての知的能力が、運動によって機能を向上させ、集中力を高め、記憶力が高まりストレスにも強くなることがわかった。多くの人が、ストレスを受け、集中できず、デジタルな情報の洪水に溺れそうになっている今、運動はスマートな対抗策である。脳の大部分はサバンナの日々から変わっていないわけだから、身体を動かすことで集中力が高まる。いちばんいいのは、最低6ヶ月間に52時間、即ち週に2時間、身体を動かすことである。そして、自分のスマホ利用時間を知ることである。時代の変化とシステム監査を考えること、そして、さまざまな出来事と役割に対し、改めて考えてみることが求められる。(空心菜)資料「スマホ脳」アンデシュ・ハンセン著久山葉子[訳] 新潮新書882 (このコラム文書は、投稿者の個人的な意見表明であり、ＳＡＡＪの見解ではありません。) <目次> 2021.07
【エッセイ】反魂
会員番号  0707神尾博仏教説話集である撰集抄（せんじゅうしよう）によると、平安〜鎌倉時代の歌人、そして僧侶でもある西行は収集した人骨や植物、薬物を合成して、別れた友人を模した人造人間をこの世に生み出したと伝えられている。反魂（はんごん）の術と呼ばれる秘法は、一般には死者を蘇らせるものとされているようだが、西行の例のように、別の用途もあるということだろう。サイバースペースでは他人のIDを利用すれば、当人のように、あるいは死人であってもあたかも生きているかのように振る舞うのは、是非は別にしても極めて容易ではある。実際、2021年1月には海外のセキュリティベンダにより、数ヶ月前に死亡した社員のIDを悪用し、データ暗号化に加えデータ防盗の機能まで持つランサムウェアを仕込んだ事例が報告されている。そのIDは管理者権限を持つものだったそうだ。ファイルサーバに侵入し、最近のアクセス頻度の高いファイルをマルウェアに置き換えれば、サイバーセキュリティに多少のリテラシーがある者ですら、警戒心なくクリックしてしまうだろう。権限が強いアカウントについては、作成時・使用時のアラート通知、ログ記録、ログ監査、多要素認証等が定石である。さらには退職や異動の際の、人事情報との連動/連携による速やかなアカウント停止といった、業務フローの確立こそが必須だ。定期的なID棚卸の際に、後追いで形だけの削除申請書を出すといったお茶の濁し方をしていると、半年〜数年のタイムラグが命取りになりかねない。西行の作った人間は、不出来だったため吉野の山奥に捨てられ、その後の消息も知れないというから不気味だ。一方で休眠IDは、全数を棚卸さえすればどこかの時点で捕捉できる。もっとも、今や幽霊アカウントはおろか、テレワークが進む中で事務所の間借りすらしないような、幽霊会社による偽装も容易になっているのではないかと考えていた矢先、2021年6月に経済産業省キャリア官僚による給付金詐欺が発覚した。さて、お盆には死者の魂が帰ってくるとされるが、昨年に続きこの2021年も、リアル墓参りがままならない方々も少なくないだろう。COVID-19以降にはオンラインツールが一段と脚光を浴びているが、地元の親戚宅での開催を中継するリモート法事という手もある。それが無理なら、せめて檀家として属する寺院の門前までのストリートビューで、先祖供養に加え帰省気分も味わってみるのはいかがだろうか。 （このエッセイは、記事提供者の個人的な意見表明であり、SAAJの公式見解ではありません。画像はWikiにより著作権保護期間満了後のものを引用しています。） ＜目次＞ 2021.07投稿 【供給者の社会的責任・・品質不正事案から学ぶ】会員番号  436大石正人大手重電メーカーの鉄道車両において、空調装置等の検査不正が発覚しました。すでに企業のウエブサイトにその内容が掲載されていますが、マスメディアの報道にある通り、35年間にわたり意図的な検査不正が隠蔽されて、その影響は空調機で80社、圧縮機で20社に上るといいます。当該製品を製造する九州の事業所の主力製品（大半）だったとすれば、全社ぐるみではないにせよ、事業所ぐるみの不正だったことは否定できません。製品検査は納入先の企業と契約（仕様書など）で合意した方法で実施することが求められています。製品の納入に当たっては、検査報告書を添付する必要がありますので、その意味で今回の事案が契約違反であることは明らかです。今回の不正事案が発覚した経緯は明言されていませんが、不正が長期にわたり現場限りで秘匿されていた、という点に照らせば、品質管理を中心とした内部統制（ガバナンス）が不全だったことは疑いがありません。こうした大規模不正を踏まえて、これまでの社内調査の妥当性や再発防止策の立案に向け、外部有識者を含めた調査委員会を設置する一方、緊急対策室の設置による「品質管理風土の変革」を図るとしています。当社を巡ってはここ数年、外部からのセキュリティ侵害による情報漏えいや労務問題でも世間の耳目を集めてきました。今回の事案の会見で辞任した前社長は事案説明の記者会見で創業100年に言及しましたが、他の品質不正事案を含めても、品質管理、という意味ではとても胸を張って、歴史を語れる状況にないのは明らかです。企業風土の変革は一朝一夕に実現できるものではなく、まさに百年の計であるはずです。製造業にとって、その製品の品質を保つことは、納入先（中には家電製品のように直接の消費者もいます）に対する社会的責任を果たすうえで、最小限の要件と言え、その意味で、検査不正はその責任放棄として、メーカーとしての資格を著しく損ねるもの、といえます。検査不正については、過去から自動車メーカーや、ビルの基礎を構成する免震ゴム、鉄道船舶に使用される防振ゴムなど、さまざまな事案とこうした事案に対する対応事例があります。こうした事案を見ても、検査不正の根深さと、再発防止の難しさは明らかで、しかも製品は目の見える形で日常的に利用されるものですから、人々の記憶から容易に消し去ることはできません。製品の供給者であるメーカーも、経営統合などで社名が変わったとしても、製品の耐用年数が残っている限り、品質確保の責任を逃れることはできないのです。さてシステム監査が主に対象とするソフトウエアやネットワークなどについて、こうした品質確保の責任意識はどうでしょうか。品質管理の考え方はほぼ同じかもしれませんが、大きな違いは、製造工程ごとの細かな品質試験の要件について、納入者との間で事前に合意するケースは、上記で紹介した製造業者に比べるとそれほど多くない、と思われます。情報システムの納入を巡って提起された最近の訴訟事案や表面化したトラブル事案をみても、検査報告書の不正、が問題になったケースは寡聞にして知りません。多くは予定の納期までに納品できなかった、プロジェクトが途中で頓挫してプロジェクト管理責任を果たさなかった、重大なシステム障害が起きて、その未然防止策が不十分であった、などが係争理由になっているように窺われます。もちろん情報システムにおいても、品質管理の重要性は製造品と同じだ、と皆さんも考えていると思います。しかし例えば自動車が暴走して事故を起こせば大変な社会的問題になるのに対し、システム障害でサービスの中断が起きても、携帯電話や決済サービスのように社会生活と密着しているのでなければ、それほど目くじらを立てられない、という状況は何かしっくりこない部分が残ります。こうした感覚の違いはどこからくるのでしょうか。供給者としてのメーカーやソフトウエア会社に直接インタビューなりで調査したわけではないので、正確ではないかと思いますが、今のところの仮説は両者の違いは物理的に移動したり食品のように食べたり、生命の危険を脅かす危険性が差し迫って感じられるものと、必ずしもそうでないものとの差ではないでしょうか。しかしながら最近は、ハッカーによる社会的インフラへの攻撃が現実味を帯びていますし、けっしてソフトウエア生産だからといって、品質をないがしろにしてよい状況ではなくなってきています。とくに、IoTと呼ばれるように、さまざまな製品の制御やモニタリングが、ネットワークを通じて行われるようになると、セキュリティ侵害による脅威だけをとっても、格段に高まっているはずです。また自動車の制御機構もソフトウエアの塊、と言われるほど、システム開発の成果を活用するように変化していますし、他の製品についても同様です。このように考えてくると、ソフトウエア産業の社会的責任は、これまで以上に重くなってきているといえるでしよう。しかしながら、当事者である事業主や従業員は、こうした環境変化への十分な心構えができているようには思われません。システム運用については、サービスレベルにつき予め合意し、達成度合いに応じてインセンティブ付けを図る枠組み（SLAなど）が既に定着していますが、システム開発した製品は決められた期限までに納品できたが、開発した会社が倒産してメンテナンスできなくなった、などという事例は過去から山のようにあり、納品してしまえば、保守契約やサービス保証がない限り、購入者は極めて不安定な立場に置かれます。こうした状況に比べると、クラウドサービスが普及してきた昨今の状況は、サービス提供側が一定程度までサービス継続の責務を負っているように見える点で、進歩かもしれません。中断リスクに備えたさまざまな運用技術の高度化により、自前でサービスを継続する場合に比べ、格段にサービス中断リスクが軽減されているように見えるからです。それではクラウドサービスに全面的に依存していれば、システムを通じてサービスなりを提供する事業者の責任は軽減されるのでしょうか。クラウドサービスの信頼性確保やその確認については、現時点でも体制整備が進行中、と理解しています。大切なのはサービスを末端利用者に提供し続ける責任は、クラウドを利用する事業者自身にあり、業務継続性の確保、セキュリティ侵害の防止を含め、クラウドサービスをきちんと目利きし、自らのサービスの質を高める努力を怠るわけにはいかないはずだ、という点です。このように考えると、物理的な鉄道やビル、家電製品ほどあとあとまで形に残らないにせよ、ソフトウエア製品についても、供給者としての社会的責任の自覚が極めて重要となってきます。ただ残念なことに、こうした自覚は事業環境の変化につれて、サービスの陳腐化に伴う撤退が起きやすいという性格から、定着は容易でなく、品質管理のための追加的なコストを躊躇う傾向にあると想像されます。こうした観点から、システム監査人は、ソフトウエア事業者に対しても「供給者としての社会的責任」を促していく責務を負っていると考えます。そのためには、製造業分野で頻発している品質不正事案を他山の石として、その動向に強い関心を払ったうえで、システム開発や監査の分野に活かすための分析や検討を進めることが極めて重要です。場合によっては、「他山の石」をデータベース化して、自身の業務に活かすこともアイディアの一つでしょう。こうした観点からすでに取り組まれている先行事例ももちろんありますし、かねてから「失敗学」の息長く多面的な取り組み、あるいは少し視野を広げて、「企業不正の調査報告書を読む」（安岡孝司著、日経BP社刊）、なども最近手にした本で参考になりました。システム監査人の皆さまの自己研鑽に多少とも役立てば幸いです。 <目次> 2021.7投稿【　テレワーク環境におけるBCPの考え方　】会員番号 2645尾崎正彦(SAAJ近畿支部BCP研究プロジェクト)
はじめに
コロナウィルスの感染拡大により、オンラインツールの活用やテレワークは一気に普及した。誰もが、そのメリット・デメリットを実感し慣れてしまった今となっては、感染収束後も新しい働き方として普及していくことは間違いない。今後BCPを策定するにあたっては、もはや「テレワークは非常時に役立つBCPのためのツール」ではなく「テレワークが日常となった世界でBCPをどのように構築するか」という観点で考える必要がある。従来のBCPは、そのような環境を想定しておらず、計画の中に組み込まれていない。本稿では、新たな働き方ともいえるテレワーク環境において、BCPの観点から考慮すべきポイントについて考察する。また想定されるリスクと対策については、サプライチェーンに着眼して整理した。
第１章　サプライチェーンにおけるBCP
( 1 )なぜサプライチェーンを考慮する必要があるのか？
ものづくりにかかわる製造業の場合、自社から見たサプライチェーンは、仕入取引先→仕入調達→運搬(入荷) →加工・組立等→運搬（出荷）→得意先へと続く供給連鎖となる。自社になんのダメージがなくても、自社とつながる川上企業、川下企業がダメージを受けた場合、結果として事業を継続できなくなることが考えられる。例えば、仕入先が機能停止した場合、原材料の調達や外注加工がストップし、得意先が機能停止した場合、復旧するまで受注、納品が難しくなる。あるいは運送会社が機能停止した場合や、交通網など社会インフラに大きな被害が出た場合は、物流が機能しなくなり同様の結果となる。 <製造業におけるサプライチェーンのイメージ> 2004年（平成16年）10月23日、新潟県中越地方を震源として発生した最大震度7の「新潟県中越地震」や、2007年（平成19年）7月16日、新潟県上中越沖を震源として発生した最大震度6強の「新潟県中越沖地震」では甚大な被害が発生した。これらの地震により、特に自動車部品、産業用機械部品の製造を主とするメーカーでは、柏崎工場の生産設備が被災し、最大手のピストンリング（当時の国内シエアは５割）の生産が停止した。この生産停止は、サプライチェーンを経由して全国の自動車産業が操業停止に追い込まれるなどの深刻な影響が発生した被災事例となり、2007年7月の鉱工業生産指数の落ち込みを招くなど、日本経済にも多大な影響を与えるものとなった。その後、これらを教訓としてサプライチェーンのBCP研究を深めることとなった。このように、企業が市場のサプライチェーンの一部として機能している場合、自社だけ復旧しても、サプライチェーンが寸断されることで事業継続に影響がでる場合がある。BCPを策定するにあたっては、自社内のプロセスやリソースにかかわるリスク対策はもちろん重要であるが、そのビジネスが依存している外部環境のプロセスや外部のリソースも考慮に入れる必要がある。
（２）サプライチェーンリスクに対する予防策および対応策の例
以下では、製造業（部品加工業）をモデルとしてビジネスをイメージし、BCPにおけるサプライチェーンのリスクと対策について抽出してみた。
チェンやビジネスエクセレンスモデル、ステークホルダーへの影響も考慮した上で、総合的にリスクを分析する。
第２章　テレワークにおけるBCP
(１)なぜテレワークを考慮する必要があるのか？
テレワークは、災害対応や生産性向上、最近では働き方改革など、以前から政府が何度も推進の旗を振つてきたが、一向に普及しなかった。皮肉なことに今回のコロナ禍による緊急事態宣言等で状況が一変し、多くの企業で一気にテレワークの試行が行われた。そして一部の経営者は、テレワークが非常時の一時的な災害対応としてだけではなく、業務の効率化や固定費の削減につながる可能性にも気がつきはじめた。従来のビジネスでは、拠点に人や設備などの資源を集約し、集中的に管理することで効率化を図ってきた。オフィスワークをテレワークに移行すれば、そのような高コストな都心のオフィスは不要となる。すなわちテレワークとは、人や設備の資源を、物理的に集約された拠点型オフィスから、在宅やモバイルに分散し、ITの仕組みで仮想的に集約したオフィス環境とも言える。く総務省　令和２年通信利用動向調査より＞図表３－１　テレワークの導入状況BCPを検討する場合は、従来の拠点型オフィスを前提としていた。すなわち、拠点が災害によりダメージを受け、拠点に人を参集し、拠点の設備を復旧し、拠点の機能を回復させることが目標となっていた。しかしテレワークによって、資源（人・設備など）が広域エリアに多数分散する仮想的なオフィス環境を前提とした場合、BCP策定にあたっては次のような違いに留意する必要がある。
前述してきたサプライチェーンを参考に、テレワークを取り巻く一般的な環境を、「情報のサプライチェーン（供給連鎖）」として置き換えてみると次のような構造になる。 ＜テレワーク環境における情報のサプライチェーンイメージ＞オフィスワークの大部分が在宅に移行されている場合、拠点が大きな被害を受けた場合でも、テレワークが有効に機能していれば事業継続出来る可能性はある。しかし上記のように、テレワーク側（在宅）固有の脆弱性もある。また在宅の環境が無事でも、上図の情報の連鎖が一部でも切れていると仮想的なオフィス環境は機能できない。このように、テレワーク環境を前提としたBCPを構築する場合は、サプライチェーンのモデルと同様に、自社内（拠点側）のプロセスやリソースにかかわるリスク対策はもちろん、テレワーク環境が依存しているテレワーク側（在宅）、そして途中の通信経路（プロバイダー）などのリソースも考慮に入れる必要がある。
( 2 )テレワークリスクに対する予防策および対応策の例
以下では、テレワーク環境における「情報のサプライチェーン」をモデルとして、BCPにおけるリスクと対策を抽出してみた。

(３)その他テレワークにおけるBCPで留意すべき点
前述してきたように、テレワーク環境を前提としたBCPを構築する場合、拠点側（会社）、テレワーク側(在宅)、通信経路（プロバイダ）など複数の要素を検討する必要がある。さらにセキュリティの問題、それらを運用管理するマネジメントの問題、教育訓練の課題も含め、次の様な留意点が考えられる。災害等発生時に資源が限られることが想定される場合、見直した参集基準に従って資源を配分する計.画を検討すること（VPNライセンスの割当ての考え方、電源のVPNルーターへの優先的供給など)。災害等発生時の情報セキュリティ維持のための計画に、テレワーク固有の情報セキュリティの視点が.含まれているか確認すること（フリーWi-Fi等の代替手段の利用可否等、セキュリティ要件に関する方針（レベルの維持や緩和など）の検討など）。コストを考えすぎて同時接続VPNライセンスが少なく、その結果、アクセス集中が起こりVPN回線.ダウンを引き起こす可能性があるため、VPNライセンスや回線の設計を充分に考慮する。接続拠点が複数あるが災害などの場合に常時接続拠点が接続できず、クライアントでのVPN回線切替.方法がわからない等、接続できない事象に備えて演習または、自動的に変更されるようにしておく。各場所（在宅）で停電が起こる可能性があるので、その場合に備えておく。 .テレワーカーの居住地域ごとの被災状況における対応基準をまとめておく（居住自治体の基準に則.る)。テレワーカーの遵守すべきセキュリティ基準をまとめておく（災害時における対処方法などを考慮)。 . .避難指示が出た場合に備えた、会社支給のパソコンの取り扱いについて事前にルールを定めておく。
まとめ
サプライチェーンにおけるBCPを検討する場合は、自社のみの対策では不十分であり、川上企業、川下企業との協力連携が不可欠となる。昨今は大手企業が、下請け企業にBCPの策定を促す場合もある。また自社の被災状況によって早急な復旧が難しい場合は、サプライチェーンを維持するために協力会社へ業務を委託することも考えられる。これは、依頼先と普段からの信頼関係がないと難しい。なぜなら同業者は、平時においては競争関係にあるからだ。さらには、自社の近接するサプライチェーンだけ復旧しても、大きなサプライチェーンの流れの中で、どこかが切断された状況では、正常な操業は難しい。このように、サプライチェーンにおけるBCPは、簡単に解決出来る問題ではなく、実現するには課題が多いテーマと言える。テレワークにおけるBCPを検討する場合は、多数に分散したテレワーカーとIT、そして経路をどのようにBCPの中で取り扱うかが問題となる。特に在宅の環境に会社が何処まで関与できるかが難しい。PC端末は会社から供給できるとしても、自宅の電源、通信回線、プロバイダーなどは、本来家庭のリソースであり、テレワークは、それを借用して成り立っている。予防策や対策もそのことを念頭に検討しなければならない。テレワークといえど、様々な準備や規則の整備などが必要なため、出来るところから開始し、マネジメントとしてもISO22301と同様にPDCAにて一定期間（最低でも１年に１回）で見直すことが重要である。以上
＜目次＞
2021.07

§1.はじめに
先月号では、某大手都市銀行の頭取が、本年2月から4度発生したATMシステムのトラブルの責任を取って辞任に追い込まれたことを取り上げたが、今度は大手電機メーカーの社長が、35年に亘る鉄道用鉄道車両向け空調装置などの検査不正問題の責任を取って辞任に追い込まれた。後者では「組織的な不正」を認めてお. アナニックス依る高度情報処理有資格者の優遇の消滅は決して無縁ではないと思われる。以前から指摘している通り、信義則を軽視する21世紀初頭の「新自由主義的政策」と「第一次ゆとり教育」による日本人の劣化は非常に深刻である。我々は、コロナ禍の克服とともに、これらの爪痕の克服が急務である。
§2.新型コロナと癌治療と「研究開発費の一律費用処理」問題
7月2日、寄生虫薬であるイベルメクチンの新型コロナへの臨床実験が開始されることが報じられた(→文献[7])。イベルメクチンとカモスタットとクラリスロマイシンの3種混合投与により、大きな効果があるとの報告もある（イベルメクチン単独では有効濃度に到達しないことが多いらしい）。また、国内の大手製薬メーカーが、年内に国産のワクチンを6000万人分提供予定と発表した(→文献[8])。 ★国内でもワクチンや治療薬の開発が軌道に乗ってきたが諸外国に比べて１年以上遅れている。最大のネックは、2006年の会計基準の改悪である「研究開発費の一律費用処理」である。研究開発をすればするほど赤字となるのに、法人税法上T損金控除」されない。つまり、研究開発費は「罰金」・「課徵金」・「接待交際費」と同じ扱いとなっているのである。これはG7で唯一の狂態である。この異常な制度は、直ちに是正する必要がある。
§3.順列・組合せ・確率・統計再入門(6)

(3.10) (4) (全体の数) = 12C4 = 12!／4!(12－4)! = 12!／4!8! (条件に合う場合の数) = (赤色からの選択の数)×(白色からの選択の数)×(青色からの選択の数) =3C1×4C1×5C2=3×4×(5・4/2)よって、(求める確率) =(3×4×5・4/2)／(12!／4!8!)=8／33 (3.11) (3.12) ★参考書等には「連続的に(途中で戻さないで)取り出すならば順列、同時に取り出すならば組合せ」と書いてある。しかし、確率は一致している。これが顕きの元になっている。次回、その意味について深く考える。
§4.補足：我が国の数学教育の課題
我が国の産業競争力の回復のためには、「第一次ゆとり教育」の克服は勿論のこと、新教科「理数探求」の充実が極めて重要である。今回は、これまで高校・大学の数学で軽視されていた具体的な回転行列を取り上げホ[1] ３次元空間におけるRodriguesの回転公式（詳細は、文献[1,2]を参照）まず、3次元空間における、与えられた回転軸単位ベクトルすと回転角θ(rad)に対する回転行列の公式を示す。この公式はRodriguesの回転公式と呼ばれることが多いが、GibbsやGaussの発見との説もある。
Yı Y2
P1 P2 P3
Y V2 Ys
···(4.1.2)左が列ベクトル・右が行ベクトル〉 = ( p x ） p であり、これは、 a の回転軸に並行な成分であり、回転によって不変な部分である。 X ) xは、 xの回転軸に垂直な成分である。また、 p × (  χ   -  [p p] [p. p] xである。走た. (4.1.2)を変形すると{ }}ﾃ= q i  q  +∞∞∞∞∞∞ - q i  q + sinθ [p ×(す- ৌ p] (4.1.2a)ここで、回転行列をＭとすると、次のようになる。
X 1 X 2 = X 3
X 2 Xg X 1
cos 6
X1 X 2 a; b; a; b; a, b, a 2 b 3 a3 b2 •••(4.1.4)ベクトル: a2 a
0こで0 0 (4.1.3) a 2 b 2 ag bi ag bi a3 b3 cos θ一般に、Aはその転置行列　A'　を用いて、次のように、「対称部分」と「反対称部分」に分解することができるので、 A' + A -  A'ん4 = ···(4.1.5) (Mの反対称成分)
また、trM = 3cosθ+(1-cosθ)(p 1 +p 2 +p 3 2 ) = 3cosθ+(1-cosθ) =2cosθ+1  ★以上のことを用いて、以下の回転行列の回転軸と回転角を求める。 ...(4.1.7)
2
trM=
2 ···(4.1.8)
•••(4.1.9)
ここで、( Mの反対称成分)/sinθ＝Ｎとおくと、trＮ＝detＮ＝0また、p 1 ² + p 2 ² + p 3 ² = 1より、 N ³ = − N
[2] Rodriguesの回転公式の４次元への拡張（詳細は、文献[3,4,5,6]を参照)近年、スーパー・コンピュータや材料工学・結晶工学において4次元の幾何学やトポロジ一が重視されるようになりつある。4次元以上の空間では、外積代数(Grassmann代数)の積: āλʁの考え方が非常に重要である。外積代数はベクトルの外積の一般化であり、A^B= − B^A, A^A=0が成り立つ。 4次元においては、”回転軸”も2次元であり、回転軸平面と呼ばれ、回転軸6次元ベクトルが重要である。すとすは、互いに直交する、回転軸平面の単位ベクトルである。 P1 P2 l I P 4
回転軸6次元ベクトル：
e 1へe 2
P3 91 ) e 1
- P3 92 )
ここで、(4.2.1)及び(4.2.2)より、
Y3回転軸6次元ペクトル：す= す^ す, 回転角をθ(rad)とする。なお、そつの座標方向の規定ベクトルを含す。概要略号するとき、 -E2AE3AE4=E1, Te1AE3AE4=E2, Te1Ae2Ae4=e3, e1Ke2Ke3=e4である。
- p2 •••(4.1.6) P2   91   ) P4 91 ) e,
91 d2 9s日本システム監査人協会　会報•••(4.2.1)
< e3
q e2 + P3 Y1 X 1 Y2 Y3 Y4
るつのP1
の外積P2 d2 X 1 91 < P3
< 93 X3
P4 94にも奇妙さ= ( φ・ α ) φ、奇妙さ= ( φ・ α )さでありこれは、๋の回転軸平面に並行な成分であり回転による不変な部分。き– @ p さ– @ q さは、さの回転軸平面に垂直な成分であり、さ∧ さ∧ (さ– @ p さ– @ q さ)= @ ∧さ∧さここで、(4.2.7)を変形するとy = tpp  x +coso ( x - tpp  x - tpp  x )  +sino( p ^  q ^  q ) x +cosθ ( x - [p.p] x - [q.q. x ) +sinθ( p ∧ q ∧( a - q p  a - q q  a ) = [p. p]逆に与えられた回転行列をＭとすると、
また、trM = 4cosθ+(1-cosθ)(p₁²+p₂²+p₃²) +(1-cosθ)(q₁²+q₂²+q₃²+q₄²) ···(4.2.9) = 4cosθ+2(1−cosθ) =2cosθ+2ここで、(Mの反対称成分)/sinθ＝Ｎとおくと、trN = 0 …(4.2.10) n₁₂∩₃₄－∩₁₃∩₂₄＋∩₁₄∩₂₃＝(a₁b₂－a₂b₁)(a₃b₄－a₄b₃)－(a₁b₃－a₃b₂)＋(a₁b₄－a₄b₁)(a₂b₃－a₃b₂)＝0より、 detN =   (n12n34 - n13n24 + n14n23)  2 = 0 …(4.2.11) ···(4.2.12)また、 n 12n34 - n 13n24 + n 14n23 = 0とn 122 + n 132 + n 142 + n 232 + n 242 + n 342 = 1より、 n 3 = − n ★外積代数の考え方は、多重積分のJacobianの符号問題を解決するものであり、n次正方行列に対して対角化/三角化行列を自動的に求めるアルゴリズムを与えるものもあり、大学教育でも積極的に取り上げるべきである(文献[1])。また、(4.2.6),(4.2.7),(4,2,7a),(4.2.8)は一般のn次元に拡張が可能である(文献[3]を参照)。 ★以上のことを用いて、純粋数学者の金字塔の2つであるGalois理論の根幹である「5次交代群は単純群である」(⇔[A 5 ,A 5 ] =A 5 )のVisualな証明(正四面体の4次元版である正五胞体を5次元空間で表示)、及び、「6次対称群の自明でない外部自己同型写像の存在」のVisualな証明を与えることができる。 (詳細は文献[3]を参照)なお、正多面体は、3次元では正4,6,8,12,20面体の5種類、4次元では正5,8,16,24,120,600胞体の6種類であるのに対し、5次元以上では正n+1,2n,2 n胞体に限られる。非常に不思議である。 ※以上述べたことは筆者の私見であり、いかなる団体をも代表するものではありません。また、法令の適用・会計基準の適用等、医学的所見及び判断については、必ず、御自身でご担当の法律専門家・会計士・医師その他の専門家の方々への御確認・照会をお願いします。 <参考文献> [1]「軽減税率」田淵隆明が語る、IFRS&連結会計〔I〕〔II〕: "In Varietate Concordia", EUの知恵に学べIFRSでは何故そう考えるのか?Ver7 (2021/03/08及び2021/03/15) [2] 「軽減税率」田淵隆明が語る、「インコタームズと連結上の照合・相殺消去」再考(2021/03/01) [3]「軽減税率」田淵隆明が語る、IFRS&連結会計〔正〕 (近刊) [4] [5] 「四次元の幾何学」 (プレアデス出版,島田義弘) [6]「高次元図形サイエンス」(京都大学学術出版会,宮崎興二・石井源久・山口哲) [7] https://news.yahoo.co.jp/articles/608f346cc02a99b5b89a1acb382fdf38582b3624 [8] https://news.yahoo.co.jp/articles/f9e9d8496a89443f285cd0322bf38af81caca4ff <目次>
2021.7本部報告【第258回月例研究会　講演録】会員番号 1200豊田諭(月例研究会) 【講師】有限責任あずさ監査法人　ＩＴ監査部パートナー山口達也（やまぐちたつや）氏【日時・場所】2021年6月21日（月）18:30  −  20:30、オンライン（Zoomウェビナー） 【テーマ】「ISMAP制度の概要と活用」 【要旨】 2020年6月に公表され、実質的な運用が2021年度から開始となったISMAP制度について、これまでの制度発足時からの変更等も踏まえた概要を解説するとともに、直接的な関係者である政府機関やクラウドサービスプロバイダーはもとより、公表されたISMAPクラウドサービスリストを民間や地方公共団体等では、どのように活用できる可能性があるかについて解説します。
【講演録】
1．ISMAPの概要
( 1 )政府におけるクラウド関連を巡る動向政府情報システムには、米国政府「クラウド・ファースト」と同様、「クラウド・バイ・デフォルト原則」、すなわちクラウドサービスの利用を第一候補として検討を行うものとする基本方針がある。このため、クラウドサービスの安全性確保の観点から統一的な安全性評価の必要があり、クラウドサービスを調達する際はISMAPに登録されたサービスから調達することを原則とし、2020年度内の制度利用開始となった。 ISMAPは、調達から運用までカバーする、技術変化を見据える、運用における実効性を確保する、民間が評価結果を活用することも視野に入れる、の４つの視点を踏まえたフレームワークに基づいて制度化された。 （２）制度の概要ISMAPは、「政府情報システムのためのセキュリティ評価制度（Information system Security Management and Assessment Program)」の通称であり、政府機関等が調達するクラウドサービスの安全性を情報セキュリティ監査結果に基づき確認する制度。監査機関は、クラウドサービス事業者（CSP : Cloud Service Provider）から提供される、個別のクラウドサービスに関する仕様を記述した「言明書」の内容について監査基準等に準拠して手続を実施し、その結果を事実に即して「実施結果報告書」としてCSPに提供する。CSPは、監査機関からISMAPに準拠した評価を受けた結果を政府に提出して審査に合格することが、政府機関へのクラウドサービスの入札条件となる。 ISMAPについてはIPAのISMAPポータルサイトから参照できる。 ISMAP監査は「言明書」に書かれていることが事実と相違ないかを確認した結果のみを「実施結果報告書」としてサービス単位にCSPに提供するものであり、管理の仕方が良いかどうかの判断や、クラウドサービスに対する保証はしていないことが、ISMAP監査の特質となる。 ( 3 )スケジュールと今後の展開ISMAPは国が制定する初のセキュリティ評価制度であり、DX推進の現実解としてクラウドサービス利用が進展することでISMAP利用拡大が予想される。現在の評価基準（レベル2）より高い機密性・可用性が求められる領域対応のレベル3、より簡易に登録できるレベル1の設定が検討される予定があると言われている。
2．ISMAP管理基準について
( 1 )  ISMAP制度に関わる規程の概要ISMAPに関する規程類として、9つの方針・規程・規則等の文書が公表されている。 （２）ISMAP管理基準の構成・他基準との関係ISMAP管理基準は、ガバナンス・マネジメント・管理策の3基準からなり、それぞれ経営陣・管理者・業務実施者に対する要求事項が明文化されている。ガバナンス基準は、セキュリティガバナンスで経営陣が実施すべき事項について、ISO27014（情報セキュリティガバナンス）から監査実施可能性の観点で再構成されたもの。マネジメント基準は、管理者層のセキュリティ内部統制の実施事項について、ISO27001（情報セキュリティマネジメントシステム）から情報セキュリティマネジメントの基準を定めたもの。管理策基準は、リスク対応方針に従って管理策を選択する際に選択肢を与えるものであり、ISO27002（情報セキュリティ管理策の実践のための規範）と、ISO27017（クラウドサービスのための情報セキュリティ管理策の実践の規範）をベースとして、米国SP800-53の内容を一部追加したもの。管理策は統制目標に基づく1075項目の詳細管理策に分かれており、CSPのリスク判断により選択する。標準監査手続きは詳細管理策ごとに決められており、その評価は整備状況評価と運用状況評価の2段階だが、整備状況評価には実装状況の確認（1件サンプルチェック）までが含まれている。
３．外部委託先管理としてのISMAPサービス登録リストの利用
( 1 )クラウドサービスベンダーにおける外部委託先管理の現状と課題現状は、ITに係る外部委託は多重委託構造（再委託）にある、開発・運用など自社で経験ある業務は外部委託先でのリスクが想定できるがサイバーセキュリティは委託先でのリスクを想定しにくい、クラウドサービスではクラウドサービスの多重委託構造により全体を把握するのが難しい、各社守秘義務保持を理由として情報開示が限定的なため直接的な確認が困難である、クラウドサービスはサービスとして提供されるためハードウェア更新など運用状況が随時変化する場合が多い、などの課題がある。このため、クラウドサービスに係る外部委託先管理には、委託先管理の対象の網羅性確保、監査証跡の十分性確保、従来利用しているガイドライン・監査手法では対応が難しいなどの監査手法の課題がある。委託元企業としても、監査実施側の課題により、直接的な監査の実施は困難であり、実態としては、各種認証制度や第三者評価を活用した監査の実施が現実的な対応になると思われる。 ( 2 ) ISMAPクラウドサービスリストで確認できること、できないことセキュリティに関する認証制度にはISMAP以外にも、保証報告書（SOC2レポート）、クラウド情報セキュリティ監査制度（CSマーク)、ISMSクラウドセキュリティ認証などがある。 ISMAPは独立した評価制度として位置付けられており、これらの認証を得ていてもISMAP評価の一部省略とはならない。各評価制度では監査人が評価対象となる内部統制を評価しているが、ISMAPでは「言明書」に記載していないことについては評価していない。 ISMAPでは「言明対象範囲」と「基本言明要件のうち実施している統制目的の管理策」を公表している。これは、CSPが自らのリスク判断で統制目標を達成するために必要と選択した項目が必要十分であることを監査人が監査し、ISMAP運営委員会が認証したものが公表されていることになる。 ( 3 )  ITガバナンスにおけるサービス登録リストの利用国際基準ISO27017等でもクラウドサービスベンダーの実施する内部監査の利用、独立した監査人による監査の利用が挙げられており、CSPに対する外部委託先管理の実効性のある監査手段として、第三者評価の活用は避けられず、第三者評価で大丈夫とするのが現実的といえる。ただし、DXの推進によってセキュリティ方針がビジネス戦略の重要テーマとなってきていることから、自社の考えるセキュリティ項目が制度によって認められているか、そもそもクラウド利用してよい業務なのか、自社における確認項目と評価制度の管理基準を比較して自社で確認したいレベルが実施されていなければ自社で行うことができるか、等が利用側のポイントとなる。
【所感】
ISMAP制度の概要と、その中でもISMAP管理基準と標準監査手続について、分かり易く説明していただき、更に、外部委託先管理としてISMAPを利用する際のポイントについて、詳しく説明していただいた。 ISMAPは、CSA（公認システム監査人）が監査機関の監査実施者の資格要件に加えられた国の制度であり、これがデファクトスタンダードとなって、今後民間企業に「ISMAPクラウドサービスリスト」が幅広く利用され、それに伴ってCSAの資格が広く浸透することを期待したい。各社のリスク認識・評価による判断でリスク管理策を選択することがISMAPの考え方の前提にあり、ガバナンス・マネジメント態勢が整っていなければまともなリスク認識・判断はできないので、ISMAPでは、ガバナンス・マネジメント態勢が整備されていることを前提に管理策を選定することを想定している、とのご説明があり、先ずは利用側のITガバナンス・セキュリティガバナンス・マネジメント態勢を監査することが重要ではないかと感じた。また、民間でもクラウドサービスの外部委託は増えているが、これを監査するには、現実的には、各種認証制度や第三者評価を活用した監査をすることとなる、とのご説明を受けて、これからは従来とシステム監査のやり方が変わるのではないかと思えて、将にシステム監査が置かれた環境が音を立てて動いている、時代の変化の中にいることを改めて感じた研究会となった。以　上

■「ゼロトラストの現状調査と事例分析に関する調査報告書」の公表について
2021年6月30日
金融庁では、これまで官民が一体となって金融分野のサイバーセキュリティ強化に取り組んで参りました。こうした中、サイバー攻撃は引き続き複雑化・巧妙化しており、更なるサイバーセキュリティ強化に取り組んでいく必要があるところです。デジタライゼーションの進展に伴い、金融機関においても、クラウドの利用や外部委託先とのデータ連携等が進み、従来の境界防御ではなく、侵入されることを前提としたセキュリティ対策が注目されています。ゼロトラストとは、こうしたデジタル化を踏まえ、ネットワークの内外にかかわらず、従業員の端末通信や情報資産へのアクセス等についても常に監視することでセキュリティを確保する考え方です。この度、金融機関によるセキュリティ対策の促進及びモニタリングの参考等に活用するため、ゼロトラストの現状と事例分析に関する調査について、PwCあらた有限責任監査法人に委託し、報告書として取りまとめました。報告書については、別添PDFをご覧ください。ゼロトラストの現状調査と事例分析に関する調査報告書https://www.fsa.go.jp/common/about/research/20210630/zerotrust.pdf ＜目次＞ 2021.07
2021.07
, ,新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。協会の活用方法や各種活動に参加される方法などの一端をご案内します。 ・ホームページでは協会活動全般をご案内https://www.saaj.or.jp/index.html ・会員規程https://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf •会員情報の変更方法https://www.saaj.or.jp/members/henkou.html ・セミナーやイベント等の会員割引や優遇https://www.saaj.or.jp/nyukai/index.html公認システム監査人制度における、会員割引制度など。 •各支部・各部会・各研究会等の活動。  https://www.saaj.or.jp/shibu/index.html皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。皆様からのご意見などの投稿を募集。ペンネームによる「めだか」や実名投稿には多くの方から投稿いただいております。この会報の「会報編集部からのお知らせ」をご覧ください。 • 「発注者のプロジェクトマネジメントと監査」 ６か月で構築する個人情報保護マネジメントシステム」 「情報システム監査実践マニュアル」などの協会出版物が会員割引価格で購入できます。 https://www.saaj.or.jp/shuppan/index.html ・月例研究会など、セミナー等のお知らせhttps://www.saaj.or.jp/kenkyu/index.html月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。 •公認システム監査人へのSTEP-UPを支援します。 「公認システム監査人」と「システム監査人補」で構成されています。監査実務の習得支援や継続教育メニューも豊富です。 CSAサイトで詳細確認ができます。 https://www.saaj.or.jp/csa/index.html •過去の会報を公開https://www.saaj.jp/03Kaiho/0305kaihoIndex.html会報に対するご意見は、下記のお問合せページをご利用ください。 •お問い合わせページをご利用ください。  https://www.saaj.or.jp/toiawase/index.html各サイトに連絡先がある場合はそちらでも問い合わせができます。
2021.07
【会報編集部からのお知らせ】
1．会報テーマについて2．会報バックナンバーについて３．会員の皆様からの投稿を募集しております□■ 1.会報テーマについて2021年の会報年間テーマは「時代の変化とシステム監査」です。 [ニューノーマル] 「IoT、AI、デジタル化」 「DX」 「SDG s 」 「ESG」 「コーポレートガバナンスコード」など、システム監査が置かれた環境が音を立てて動いている。また、システム監査の領域が広がる中、進化の階段の一つ上の段に上がった、次の時代になった、という意味も踏まえて本テーマとして設定しております。会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。 □ ■　2．会報のバックナンバーについて協会設立からの会報第１号からのバックナンバーをダウンロードできます。 https://www.saaj.jp/03Kaiho/0305kaihoIndex.html
□ ■ ３．会員の皆様からの投稿を募集しております。
募集記事は次の通りです。

■投稿について
・投稿締切：15日 (発行日：25日) ・投稿用フォーマット　※毎月メール配信を利用してください。 ・投稿先：　saajeditor@saaj.jp　宛メール添付ファイル・投稿メールには、以下を記載してください。会員番号> >氏名>メールアドレス>連絡が取れる電話番号・めだか、記名投稿には、会員のほか、非会員CSA/ASA、およびSAAJ関連団体の会員の方も投稿できます。 ✓　会員以外の方は、会員番号に代えて、CSA/ASA番号、もしくは団体名を表記ください。
■注意事項
・原稿の主題は、定款に記載された協会活動の目的に沿った内容にして下さい。 •特定非営利活動促進法第２条第２項の規定に反する内容（宗教の教義を広める、政治上の主義を推進・支持、又は反対する、公職にある者又は政党を推薦・支持、又は反対するなど）は、ご遠廊下さい。 ・原稿の掲載、不掲載については会報部会が総合的に判断します。 ・なお会報部会より、表現の訂正を求め、見直しを依頼することがあります。また内容の趣旨を変えずに、字体やレイアウトなどの変更をさせていただくことがあります。お問い合わせ先：      saajeditor@saaj.jp 2021.07
会員限定記事
【本部・理事会議事録】（会員サイトから閲覧ください。会員パスワードが必要です） https://www.saaj.or.jp/members_site/KaiinStartログインID（8桁）は、年会費請求書に記載しています。 === ■発行：認定NPO法人  日本システム監査人協会  会報編集部〒103-0025　東京都中央区日本橋茅場町２－８－８共同ビル６F ■ご質問は、下記のお問い合わせフォームよりお願いします。 【お問い合わせ】　http://www.saaj.or.jp/toiawase/ ■会報は、会員宛の連絡事項を記載し登録メールアドレス宛に配信します。登録メールアドレス等を変更された場合は、会員サイトより訂正してください。 https://www.saaj.or.jp/members_site/KaiinStart掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。 ■ ■ ■ ＳＡＡＪ会報担当編集委員：竹原豊和、安部晃生、越野雅晴、坂本誠、豊田諭、福田敏博、柳田正、山口達也編集支援：会長、各副会長、各支部長投稿用アドレス： saajeditor ☆ saaj.jp （☆は投稿時には@に変換してください） Copyright(C)1997-2021、認定NPO法人日本システム監査人協会＜目次＞