＜目次＞
#300円

1.めだか

2.投稿

3.本部報告

5.注目情報

めだか

(1)システム監査の曲り角

(2) SAAJの曲り角

①(協会にとっての)システム監査の再定義

②システム管理基準の改訂

③ITガバナンス国際基準(JIS38500)の国内普及への主導的取組み

第１９４回　月例研究会（２０１４年８月２０日開催）

【賞演者子】

【禁演標率】
〔はじめに〕　言葉の定義

1．特定個人情報保護評価とは

2．特定個人情報保護評価とPIA

3.特定個人情報保護評価方法と各種の標準

4.試行の実施

5.事前関査

6．特定個人情報保護評価におけるリスク対策の考え方

7． JIPDECで取り組んでいること

8.  民間におけるマイナンバーの利用とID連携トラストフレームワーク

図3 健康保険（医療）サービスの手続きの例

9.今後の服望

〔まとめ〕

【真真】

【記録者の補足と所感】

【参考情報】

【講演概要】

2.首都直下地震の想定の変更要点

3.首都直下地震の被害

(2)こうした被害はどんな様相を呈するでしょうか。

なお国土交通省は更にシビアな想定を置いています。

4.首都圏直下地震の政府被害想定を読み解く

5.バックアップシステムは稼働できるのか

Q2:ツイッターやSNSの有効性はどうか。

【出典】

【百疑】

【感想】

---
----------

2-2-2.個人情報の取得関係（法第17条〜第18条関連）
( 1 )適正取得（法第１７条関連）

(２)利用目的の通知又は公表（法第１８条第１項関連）

(３)直接書面等による取得（法第１８条第２項関連）

( 4 )利用目的の変更（法第１８条第３項関連）

(５)適用除外（法第１８条第４項関連）

( ii )当該個人情報取扱事業者の権利等を書するおそれ（法第１８条第４項第２号関連）

(iii)国の機関等への協力（法第１８条第４項第３号関連）

(iv)利用目的が自明（法第１８条第４項第４号関連）
法第１８条第４項第４号

北借越支部 「2014年度長野県例会報告」

◇研究報告
「外部委託先に対するシステム監査の課題について」

1はじめに
外部委託先のシステム監査について、最近起きた事件や、問題点等を考えながら、その課題について検討したい。なお、この発表は、私の個人的な見解である。 2スルガ銀行・日本IBM裁判システム業務委託契約は、請負契約であるか、準委任契約であるか、契約が破綻し委託者と受託者との間で裁判となった場合に問題となることが多い。最近は、委託したプロジェクトの段階により異なるとされ、請負と準委任の混合契約あるいは新しい無名契約とされている。この裁判は、スルガ銀行が、要件定義段階でのプロジェクト失敗について、契約不履行と不法行為の責任を主張したものである。これに対し、裁判所は、日本IBMのプロジェクトマネジメント義務違反による不法行為責任を認めたものである。また、契約の段階により、受託者のプロジェクトマネジメント義務と、委託者の協力義務の双方の責任の違いを認めている。両者とも最高裁に上告中なので法的な決着は付いていないが、プロジュクトの開始に当たり、契約者双方の責任と義務を明確にして始めることにより、紛争を予防する必要があることは確かである。この点について、システム監査はどう関与していくか課題である。
3クラウドの利用
クラウドの利用について、プライベートクラウドは、従来の外部委託と同様であると考えてよいとされる場合が多い。しかし、企業秘密との関係から、開示してもらえない情報は残る。立ち入り監査が可能であっても、システム監査は受託者の制限を受ける。一方、パプリッククラウドは、従来の委託先管理では困難で、顧客情報や、重要な企業機密には利用できないとか、撤退リスクがあるからコア事業に適用すべきでないといった意見が多いようである。しかし、それでは、パプリッククラウドは事実上利用できなくなる。セキュリティ上、譲れないものについて受託者の責任を明確にして第三者による保証を付けることにより、委託者の責任を軽減できないかと思う。なお、顧客への責任は、委託者に残ることには確かである。 4ベネッセ個人情報流出事件外部委託先の社員による犯罪を見ると、①直接の委託先より再委託先で発生している、②金銭目的で、顧客情報の流出が多い、③容疑者は高度情報技術者で、大きな権限を付与されていたという点に特徴があると思われる。ベネッセ事件では、USBメモリーへのデータ禁止設定のパソコンから、容疑者のスマートフォンヘデータのダウンロードが可能であることを偶然知ったことが犯行のきっかけであったと報道されている。iPhone、Android4.0以降のスマートフォンによるデータコピーが可能であったということが必ずしも周知されていなかった。しかし、容疑者は、データベースの情報流出防止プログラムを解除しているとも言われ、インターネット経由でも情報を窃取できたのではないかとも言われている。ログが保存されているだけで監視されていなかったことも問題と言われている。ログ監視によるアラート機能や、カメラによる監視が必要であったかもしれない。一番重要なことは権限管理である。容疑者は、請負契約の派遣社員であったと思われる。重要な仕事を派遣社員に任せていてよいのかという問題である。自社のデータセンターへの派遣社員について、自社の社員と同様な管理をしているから問題ないという意見があるが、むしろ一緒にいるから信頼し過ぎて管理がおろそかになる可能性がある。少なくとも待遇面は違う。外部委託管理という点から、難しい問題がある。 (注) 5システム監査における課題以上のような問題点を踏まえてシステム監査における課題を考えると、まず、入り口が重要と思われる。撤退リスクが大きいことから、遥定先の検討において、システム監査の関与が重要である。しかし、プレーキを踏む議論ばかりでなくアクセルを踏む議論もしないと企業競争に勝てないから、難しい判断となる。また、業務ソフトについては、バージョンアップにより、いつのまにかクラウド利用となるケースも増えている。外部委託先の把握が十分かという問題もあえ。さらに、重要なことは、外部委託先のシステム監査をどうやっていくかということである。企業秘密を理由に開示されないだけでなく、都合良い資料のみ提示されてもわからない場合もありうる。受託者が念入りに準備したコースに従って監査せざるを得ない場合もある。受託者との信頼関係の中で、本当に有効なシステム監査を実施することは、かなり大変なことである。委託先における犯罪が続くと、不正防止の観点を取り入れることへの要望が高まってくる。特に内部犯罪については、技術的な面と併せて、人的な側面も重視して検討する必要が出てくる。場合によっては、システム監査の領域を越えるかもしれない。さらに、セキュリティ環境の変化にも対応していかないといけない。 6まとめ様々な課題に対応するためには、システム監査の担当者の能力を向上させることが重要である。システム監査の外部委託も安易にしてしまうと、それができない。社内でノウハウを蓄積するとともに、専門職として社外との情報交換の場を持つことが必要かと思われる。 (注)データベース・セキュリティ・コンソーシアムのアンケート調査によると、データベースの管理・運用担当者1000人からの回答で、「将来データベースの情報をこっそり売却するかもしれない」かとの設問に「そう思う」3.6％、 「やや思う」7.1％であるという。 (www.db-security.org/20140910news.pdf)
◇意見交換

報告者(会員No.1281宮本茂明) 2014年度西日本支部合同研究会「ICTによる災害に強いしなやかな社会の実現とシステム監査の重要性」での北信越支部からの報告を検討するため，「コンティンジェンシープランの策定とそれに対する監査」というテーマで意見交換を行いました. 1. IPA「情報システム基盤の復旧に関する対策の調査報告書」最初に, IPA の「情報システム基盤の復旧に関する対策の調査報告書」の概要を紹介し,意見交換の糸口としました. IPA「情報システム基盤の復旧に関する対策の調査報告書」(2012年7月) http://www.ipa.go.jp/sec/softwareengineering/reports/20120725.html A東日本大震災を受け，情報システムの高回復力確保の重要性を再認識し，企業におけるITサービス継続計画(IT-BCP)策定の取り組み状況/個別対策の実施状況について,文献,アンケート,ヒアリング調査を実施ん東日本大震災の発生前後で、IT-BCPの策定に対する企業の認識は高まっていると言われているが， IT-BCPを実際に「策定済み」の企業は24.8%,「策定の予定なし」とする企業は27.4%であった. >　システムの目標復旧時間を６時間未満に設定していると回答した企業のうち約1/4 (24.4%)が,システムを元長化していない. (設定した時間内にシステムを復旧するための適切なシステム構成を採用していないといえる) ▷　技術的対策として,待機系システムの設置,バックアップサイトの設置などが重要.システム構築に関して,仮想化技術やクラウドサービス活用も有効.
2.意見交換
参加者によるテーマに関連し以下のような意見交換を行いました. ＜事業継続計画(BCP)とITサービス継続計画(IT-BCP) > ▷ IT-BCPは, BCPが前提. >　情報部門が中心となってIT-BCP策定するケースが多い．災害発生時の体制について，BCP体制との整合がとれておらず, IT-BCP対応とBCP対応で重なって役割を担う人がいて実行性に問題がでることがある. IT-BCP策定にあたっては,情報システムだけでなく, BCP全体の中で情報システムを考える必要がある. < IT-BCPとしてのクラウド利用> >　東日本大震災時に診療記録が医療機関から消滅し,クラウド化の重要性が表面化した.また、避難住民が流動的になることから、自治体の管理する住民データもクラウド化することが必要と考える.診療データや住民データのクラウド化には,個人情報の漏洩というセキュリティの問題と,緊急時にも利活用んできる可用性の確保という,二律背反にある課題の克服が必要になる.また,外字の取り扱いをどうするかといった問題が残っている. A首都圏での地震災害や東海～南海という極めて広域な範囲での津波を伴う地震災害を念頭に入れると,コンピュータ環境はAWSのようなクラウド環境にシフトさせるしか解決策はないようにも思える.その環境が海外に及ぶ場合には国内法が適用されないというような問題もある.んクラウド化すれば安全ということではなく、クラウドサービス拠点が被災し、サービス停止する可能性も検討しておく必要がある.クラウド化を進めるためには,システムをほとんど作り直す必要がある.また,クラウド化したシステムをどうシステムAテム監査していくかも重要となってくる. ＜電力/ネットワークの確保＞ >  オンプレミスのシステムでは,電源やネットワークの確保が必須.自家発電装置があっても燃料の確保,データセンターに出勤できる社員の確保がキーになってくる. ＜災害時におけるセキュリティ確保＞ >　農災時,免農構造を誇るデータセンターに地域住民が逃れてくるようなケースで,セキュリティ確保と被災者救援の両立という問題もある. ＜災害時におけるICT活用＞ ▷　地域防災面からみると,原子力災害発生時の「連絡体制の整備,緊急避難経路,道路の渋滞状況等の」情報利活用はICTの段階まで出来上がっていない現状にある. ＜中小製造業のBCP＞ >　中小製造業の事業継続計画を考えると,事業のIT依存度が高くないところでは, IT-BCPの優先度は高くない.被災時の製造設備復旧のための資金調達も大きな課題である. ＜金融機関の業務継続態勢整備＞ >　金融機関では,東日本大震災を踏まえた業務継続態勢整備に取り組んでおり,これに対応したシステム監査を実施している.業務継続態勢整備として「バックアップセンターの実効性向上」「通信手段の整備」「電力調達手段の整備」 A等の取り組みを行っている. ＜リスク評価の監査＞ ➤　BCP,IT-BCPにおいてリスク評価とそれに対する整備(対策内容)が,企業存続の観点から適切であるかどうかを監査することになる.リスク評価に絶対値というものはなく,事業特性や経営者の覚悟なども加味された会社側のリスク評価を監査人がどこまで評価するのか,することができるのか,監査人の力量が問われる. ＜システム監査によるITレジリエンス向上＞ ▷　システム監査で, ITレジリエンスをこれまでよりもワンランク上げる取り組みにつなげるようにできるとよい. 3.西日本支部合同研究会での北信越支部報告テーマ意見交換の結果，事業継続計画の課題については切り口が多岐にわたるため，報告テーマはスコープを絞って行うこととしました．北信越支部には金融機関のシステム監査に関係する会員が多いことからスコープを金融機関とし、支部会員から情報を収集し報告することになりました. •報告テーマ:「金融機関におけるコンティンジェンシープラン策定整備とそのシステム監査」 •報告者 :宮本茂明以上<目次>

1．はじめに
SAAJ中部/北信越支部、JISTA中部支部合同で実施しているセミナーも今年で3年目を迎えた。主催は持ち回りで今年はJISTA中部支部である。私はJISTA中部会員でもあり、セミナー事務局を務めさせていただいた。
2．合同セミナー(開催まで)
4月のJISTA例会で企業システム戦略研究会の青島弘幸さんに「危険予知訓練セミナー」の紹介をいただいた際に、合同セミナーのテーマとしてSAAJ、JISTA会員にぴったりと考え、講師を依頼した。結果、快く講師を引き受けてくださったので、以下のセミナー趣旨で受講者を募集した。 『昨今の不確実性の高いITプロジェクトを成功裡に進める上で、早い段階からリスク・アセスメント(抽出・分析・評価)した上で、適切な事前・事後対策をとるべく、リスク・マネジメントが重要です。しかし、先々を見通す危険予知能力が無ければ、効果的にリスクを抽出することが困難です。危険感度といっても良いでしょう。当セミナーは、産業界で事故防止対策として実践されている危険予知訓練を、ITプロジェクトに応用し、失敗事例から擬似的に失敗経験を積むことで危険感度を高め、危険予知能力の獲得を目指すものです。』結果、20名の応募があり、会員の興味の高さが伺えた。
3.合同セミナー(当日)
セミナーは9月6日(土)、7日(日)にハートフルスクエアG(岐阜市)で開催された。当日の概要は以下のとおり。 (1)オリエンテーション藤田JISTA中部支部長の挨拶、全員の自己紹介でセミナーが始まみ。 (2)講義危険予知訓練について以下を中心に約2時間講義をおこなった。 •ITプロジェクトと危険予知の重要性・危険予知訓練の実施方法(危険状況の把握、危険の分類、危険度の評価、回避策の検討)
(3)演習
4チームに分かれて問題演習を行った。「効果を測定し、経営貢献」をテーマに「稼動して1年経過した基幹業務システムについて、役員への報告会で情報システム部長が性能/機能面でのアピール、企画部長が確固たる経営基盤を確立することができたといったあいまいな報告をする」状況が提示され、「予知される危険および分類」「回避策」について回答をつくりあげ、発表した。 (4)チームディスカッション、発表各チームで危険予知訓練に関するテーマを決めてディスカッションした。各チームともに熱い議論が交わされていた。 Aチーム:システム監査/プロジェクト管理に危険予知の視点を取り入れる→危険予知の見える化が必要。具体例:危険感度の高い人を見える化、プロジェクトの危険感度を見える化（手戻り工数，残楽時間）、失敗経験を見える化（失敗振り返りの吸い上げ） Bチーム:リスク管理等における危険予知の活用リスクアセスメント（環境変化の把握からリスク洗い出し）における、危険予知スキルの必要性について。 Cチーム:システム監査の有効利用に関する危険予知事例の作成小売店のシステム保守業務を対象とした監査における危険予知事例作成。 Dチーム:プロジェクト管理等における危険予知の有効性をどう理解してもらうかプロジェクト管理において、なぜ危険と予知される項目の洗い出しをしないか。プロジェクトの危険予知が評価される仕掛けを経営者と顧客の立場に立って考える。各チームで3時間程ディスカッションし、結果を発表した。質疑、意見交換は予定時間を越える盛り上がりを見せた。 (5)懇親会危険予知や北信越/中部のご当地ネタ等で盛り上がった。 (6)鵜飼(オプションツアー)岐阜市の観光名物である鵜飼を才プションツアーとして設定。雨の心配もあったが、無事決行。風情のある鵜飼を間近で見ることができた。
4.さいごに
参加された方より以下の意見をいただいております。 •講義、演習だけではなく、危険予知をテーマとした議論と成果発表があったのが良かった•システム提案書の必須項目に「プロジェクト管理上のリスク分析」を追加したい。 •成果発表の中であがっていた発注者、受注者でリスクをシェアするリスクパートナーという考え方は目から鱗であった。 •セミナーで学んだ危険予知を既に自社の業務で実践している。また、北信越支部の梶川さんよりセミナー参加の報告をいただいたので引き続き紹介します。短い時間ではありましたが、会員の方には役に立つセミナーが開催できたのではないかと考えております。講師の青島さん、JISTA中部事務局のみなさん、参加いただいた会員の方にお礼申し上げます。引き続き会員の方のお役に立てるセミナー等イベントを実施していきたいと考えております。以上<目次>
中部/北借越支部　JISTA中部支部

会員番号0947梶川明美JISTA中部支部様のお世話により開催された「危険予知訓練セミナー」に参加させていただいた。
1．セミナーへの期待
東日本大震災の発生後、危機管理について考えることが格段に増えた。様々な事案発生時にあっても業務継続が可能なように取り組みを進めることは、システム部門として当然のことである。また、組織を構成するメンバーの安全をいかにして守るかということも大切であり、起こり得る危険とその結果の発現態様について想定し、日頃からシミュレーションしておくことが重要である。この「起こり得る危険とその結果の発現態様」を「あらかじめ想定しておく」というのは、とても難しいことだと思う。大地震発生時、普段はどっしりと鎮座している機器類が突如凶器のごとく動き出す、暗闇で空調パッケージの配管が破れて大量の水が噴き出す、バッテリーが破損して希硫酸が流れ出すなど、非常時に起こり得ることに想いが至らなければメンバーを守れないのではないか。一方メンバーは、起こり得る事象をあらかじめ教えられていれば足りるのかというとそうでもなく、自ら気付いて判断し、自分と仲間の身を守る能力が身に付いていないと十分でないのではないか。そんなことを考えていた時に「危険予知訓練セミナー」の案内があって、これぞ求めるものだと思い、参加させていただくことにした。
2.セミナー内容
先々を見通す危険予知能力が不十分であると、効果的にリスクを抽出することが困難である。 100の失敗事例から疑似的に失敗経験を積むことで危険感度を高め、想定外を減らすためのより高度な危険予知能力を獲得できる。これが危険予知の考え方のよりどころであり、賄に落ちて共感できた。予知した危険状況を様々な観点で分類することは、目から鱗であった。認識的リスク、人的リスク、技術的リスク、組織的リスクなど、分類することで、他の危険予知に取り組んだ場合により多くの気づきを得ることができそうである。分類を完全に頭に入れておくと、危機的状況の中にあっても、素早い状況分析と判断ができると思う。プロジェクト管理の目標達成では、単に人が減らせたということだけでは固定費(人件費)の削減にならない。別の付加価値の高い仕事に余剰人員を移動するということでなければならない。一般的であいまいな表現から、さらに踏み込んで誰が見ても明瞭な効果を出さなければトップを納得させられないのだと理解した。トップが求めているものはこれだったのだと、改めて気づかせていただいた。プロジェクト管理だけでなく、今後直面する様々な事柄に、より良く対応できるよう鍛錬したい。
3.満飼体験
１日目のセミナー終了後の夜、隣県にいながら体験したことのなかった長良川鵜飼に連れて行っていただいた。午前中早い時間に岐阜に到着し、博物館で鵜飼の歴史などについて基礎知識を入れていたことも幸いし、手配してくださった貸し切りの屋形船を操る船頭さん達のお話しは大変楽しく、等火の暖かさが伝わる至近距離で幻想的な鵜飼を体験することができた。
4.その他
支部等行事への参加により、出席される会員の皆様からいつも刺激を受けている。また、自らの姿勢のありようについて謙虚に振り返ることのできる良い機会となっている。茶晴らしい企画でお世話してくださった中部支部の皆様に、深く感謝申し上げます。どうもありがとうございました。以上
支部報告
システム監査体験セミナー（実践編） 1.セミナー名称.. 2.開催日時2 0 1 4年8月3 0日（土） ～ 8月3 1日（日） .. 3.開催場所大阪大学中之島センター　講義室２０１ ..
4.開催概要
近畿支部では、2014年8月30日(土)、31日(日)大阪大学中之島センターを会場として、システム監査体験セミナー (実践編)を開催しました。受講者は７名、２つの監査チームを編成しての実施となりました。 １日目は13時から19時、2日目は10時から17時までの2日間コースで実施しました。IT系の建設業や情報通信サービス業などを手掛ける企業を事例とし、「情報システムの現場業務に対する適合度」について外部監査を行い、監査報告では課題および課題解決に向けた方向性を示すという流れでロールプレイを交えながら実施しました。
(1)講義&トップインタビュー
最初にコース内容およびシステム監査の実施手順について説明。監査対象企業であるg社の組織の確認をはじめ、社内の情報システム概要や「基幹システムの概要と関連業務の流れ」や「ICT中期計画」等について確認した。その後、受講者はチーム作業を開始し、トップインタビューの準備に入りました。 (2)予備調査&監査個別計画作成トップインタビューでは、インタビューの目的を的確に伝え、g社が外部監査を依頼した目的のヒアリング、g社の事業展開や外部環境変化、情報システムの役割と今後の期待などについて詳細なヒアリングが実施された。また、従業員アンケートによる情報システムの現場業務への適合度に関する調査結果も踏まえて予備調査の準備が進められました。情報システム本部長と営業部長向けに20分のインタビューを実施し、その結果を踏まえて監査個別計画書の作成を行い、チームごとに内容を発表していただき1日目のカリキュラムは終了しました。 (3)本調査&監査報告2日目は、本セミナーのメインとなる本調査を実施しました。受講者は準備した質問項目に従って、監査対象企業のSIサービス事業等を担当するSEおよびSEマネージャに対する30分間のインタビューを実施しました。トップインタビューおよび予備調査で得た内容から検討された質問内容はよく練られており、短い時間の中で簡潔・的確なインタビューが実施されていました。本調査実施後は、本調査のまとめと監査報告書作成、そして最終的には今回の監査依頼者であるg社の経営者を含めた被監査部門への監査報告会を行いました。被監査部門からの質問に対して、これまでの議論を重ねた内容を背景に適切な回答で対応されていました。最後に、講師から監査報告書の紹介や解説と受講者との意見交換などを行い一連のカリキュラムは終了となりました。
5．受講者の皆様の感想
受講された皆様からは、以下のようなお声をいただきました。 •机上の勉強を実践で体験できた点において期待通りでした。一方で、事前の知識のレベルが想像以上に高く(講義がほぼ無く)ロープレが開始されました。チームメンバーに恵まれて助かりました。 •チーム作業で、考え方•まとめ方などの手順等が学べて良かったです。 •大変学ぶところの多いセミナーでした。システム業務、システム監査ともに未経験で、事前配布資料を見た時はいったいどうなるのか・・・と心配でしたが、当日は講師の方々、チームメンバーの皆様のおかげで、調査フェーズ、報告書フェーズともやりとげることができました。 •わからないながら、グループの方に助けられて、報告書ができて良かったです。 •2日間盛り沢山の内容であっという間でした。良い研修でした。感謝です。 •テーマが監査として取組むには難しかったと考える。こういうケースで学ぶことも必要であると考えるが、よりベーシックな、基本的なシステム監査について学んだ上でというステップが適切かと思います。
6.感想
今回の監査は、企業合併や事業多角化を進めるｇ社における現行システムの現場のニーズへの適合性や経営戦略・情報戦略との適合性について診断するという、新システムの企画・計画段階での監査であり、難易度も高く監査人には高い質問力を問われる監査であったと思います。監査チームの皆様は限られた時間ではありましたが、議論を尽くして一連の監査手続きに臨んでもらいました。受講者の皆様、本当にお疲れ様でした。以　上<目次> 2014.10
支部報告【　近畿支部　第１４８回定例研究会　】
会員番号 2083竹下健一（近畿支部） 1.テーマ2.講師ソフトウェア著作権研究プロジェクト中間報告3.開催日時2014年9月19日（金）  18：30～20：30 4.開催場所大阪大学中之島センター　２階　講義室２０１
5.講演概要
講演1　「情報通信技術関係者が知るべき著作権の基礎」
ICT (情報通信技術)が一般社会や企業のなかで深化し、ソフトウェアや情報システムの著作権に関連するコンプライアンス問題は深刻な事態になってきている。近年、ソフトウェアの不正コピーや他人の著作物の無断HP掲載、ソフトウェア開発委託と保守問題など、ICTに関連した事件や訴訟が多発している。このような状況の下で、昨年度より始まった「ソフトウェア著作権研究プロジェクト」の中間報告に併せて、その前提知識としてシステム監査人（広く情報通信に携わる技術者)が知るべき著作権の基礎について説明された。講演は、「知的財産権と著作権」、「著作物と著作権」、「著作者の権利」など、著作権に関わる一通りの基礎知識を詳しくご解説された後、システム監査を行うにあたってのソフトウェアの著作権に関わることの説明があった。
( 1 )プログラムの著作権
•著作権法は1985年に大きく改正され、プログラムが著作権で保護されるようになった。 (1)プログラムを著作物として明文化。 ②著作者には、一身専属性である著作者人格権が付与されることになった。著作者人格権には、公表権、氏名表示権、同一性保持権がある。 ③プログラムの創作年月日の登録制ができた。 •「法人等の発意に基づきその法人等の業務に従事する者が職務上作成するプログラムの著作者」を原則として人(法人著作、職務著作)とした。 •ソフトウェアのバージョンアップ、プログラムバグ(間違いや誤り)等によりプログラムの変更や改変が必要となる。著作権法第20条第2項第3号ではプログラムに対する特例として、「特定の電子計算機においては利用し得ないプログラムの著作物を当該電子計算機において利用し得るようにするため」の必要な改変と「電子計算機においてより効果的に利用し得るようにするため」の必要な改変については同一性保持権の侵害にならないとした。
(2)データベースの著作権
•データベースに関する著作権改正は1986年に一部実施され、1987年1月1日に施行された。 •改正法では、データベースを「論文、数値、図形その他の情報の集合物であって、それらの情報を、電子計算機を用いて検索できるように体系的に構成したものをいう」と定義するとともに、編集著作物とは別に、「データベースでその情報の選択又は体系的な構成によって創作性を有するもの」は、著作物として保護されることになった。
(３)プログラム著作物の登録
•1985年の著作権法の一部改正で、プログラムの著作物の創作年月日の登録制度が設けられた。 •著作権や著作隣接権の譲渡、担保権の設定、出版権の設定には登録をしなければ第三者に対抗することはできない。しかし、現実には、著作権の登録なしに当事者間において、著作権等の譲渡、移転等が行われているわけであり、第三者との関係で対抗要件として登録しておかなければならない。 •登録できるものとしては次のとおりである。①実名の登録、②第一発行年月日の登録、③創作年月日の登録、④著作権・著作隣接権等の移転等の登録、⑤出版権の設定等の登録。
講演２　「ソフトウェア著作権監査のための各種ツールの提案」
ソフトウェア著作権研究プロジェクトでは、まずソフトウェア著作権をタイプ別に分類し「ソフトウェア著作権チェックリスト」としてまとめた。そして、管理に不可欠な「ソフトウェア管理台帳」の標準化作業を行うとともに、被監査企業の管理水準の目安となる「ソフトウェア著作権管理の成熟度モデル」を作成した。プロジェクトの成果物として、これらのツールの概要の説明をうけた。
( 1 )プロジェクト発足の経緯と活動状況
•プロジェクト期間 2013年4月〜2015年3月(2年間)。 •コンプライアンスのシステム監査(CP研)の成果を受け、分野別により深い研究の必要性を認識。 •「ソフトウェア著作権」を対象に選んだ理由は、①昔(1970年)から存在し頻繁に改正がある、②どの企業(業種)でも共通して問題になる、③違反には刑事罰がありリスクが高い、④内容が複雑で共同研究に適している。 ・成果物として以下の3点を作成している。 ①「システム監査チェックリスト(ソフトウェア著作権)」 ②「ソフトウェア管理台帳」 ③「ソフトウェア著作権管理の成熟度モデル」
(2)システム監査チェックリスト（ソフトウェア著作権）
•ソフトウェア著作権に関する注意事項を導入形態別(譲渡契約、ライセンス契約など8形態)に分類。 ・特に、委託開発を中心に検討している。 •今年度後半は、｢監査の進め方｣に関する注意事項をまとめる。
(3)ソフトウェア管理台帳
•SAMユーザーズガイドにおける台帳の項目をたたき台とし、必要な項目を追加している。 •SAMユーザーズガイドは購入を対象としているので、委託開発の場合に必要な項目を検討する。 •関連台帳について−委託開発の場合、「ライセンス管理台帳」は分けなくても良い。 -委託開発、購入ともに、「関連部材台帳」はソフトウェア管理台帳の該当欄で管理可能である。
( 4 )ソフトウェア著作権管理の成熟モデル
•ソフトウェア著作権の管理レベルを0～5の6段階に分類(表現はSAMユーザーズガイドに合わせた)。管理レベル0 ：管理が存在しない段階管理レベル１ ：初期・場当たり的な段階管理レベル2  ：反復可能な段階管理レベル3 ：定義されている段階管理レベル4 ：管理されている段階管理レベル5 ：最適されている段階•それぞれの段階において可能な監査の種類を提示した。 •予備調査の段階で管理レベルについての評価を行う必要がある。
6.所惑
最初に松田先生から著作権の基礎内容の解説とソフトウェア著作権におけるポイントを説明されたことで、前提の知識の整理ができ、ソフトウェア著作権研究プロジェクトの中間報告を聴講することができた。研究プロジェクトの成果物である「システム監査チェックリスト(ソフトウェア著作権)」、ソフトウェア管理台帳、ソフトウェア著作権管理の成熟モデルはいずれもシステム監査の現場で実用的に使えるものと感じた。今後さらにプラッシュアップして完成を目指してもらいたい。以上<目次>
注目情報（2014. 09～2014. 10）※各サイトのデータやコンテンツは個別に利用条件を確認してください。
■㈱ベネッセコーポレーション　事故調査委員会報告書の公表(2014/9/25)
(閑ベネッセホールディングスは、閑ベネッセコーポレーションのお客様情報の漏えいに関して、「個人情報漏えい事故調査委員会」を設置し、事実調査、原因究明および再発防止策の策定に取り組んできたが、このほど報告書を公表した。 PDFは以下のサイトから。 http://blog.benesse.ne.jp/bh/ja/news/m/2014/09/25/docs/20140925%E3%83%AA%E3%83%AA%E3%83%BC%E3% 82%B9.pdf? ga=1.239883456.2135372866.1413294240経済産業省が、(株)ベネッセコーポレーションに対して個人情報保護法に基づく勧告を行いました。 (2014/09/26) http://www.meti.go.jp/press/2014/09/20140926002/20140926002.html <目次>

協会からのおしらせ【年会費納付時期について】

会員各位会員番号 1760斎藤由紀子（事務局長）昨年までは、1月1日付で当該年度（1月～12月）の年会費を請求していましたが、2014年7月10日理事会にて、 「会員規程」が改定されたことに伴い、今回、次年度年会費の請求書を、2014年12月1日付で発送いたしますので、ご準備のほどよろしくお願い致します。 【改定後の規程】第３条（会費） :会員は、当該年度（1月～12月）の年会費を、請求書に記載された期日までに支払わなければならない。いったん支払われた会費は返却しない。
【2015年度会費請求の内容】
＜金額＞正会員個人:2015年度会費￥10,000一(消費税非課税)正会員団体:2015年度会費￥10,000.- ～ ￥100,000.- （消費税非課税） ＜払込期限＞2014年2月末日ただし、正会員団体に限り、事業年度予算等の事情による、「納付期限延長願い」をご提出いただくことで納入期限の延長が可能です。お申し出先: http://www.saaj.or.jp/toiawase/index.html （事務局） ＜振込先＞郵便振替口座:00110-5-352357   （請求書発送時に振込依頼書を同封します）加入者名:日本システム監査人協会事務局銀行振込口座:みずほ銀行八重洲口支店(普通) 2258882口座人名:特定非営利活動法人日本システム監査人協会トクヒ)ニホンシステムカンサニンキヨウカイ※銀行振込の際は、≪会員№≫4桁の数字を氏名の前に付けて下さいますようお願い致します。 (会員番号が付けられない場合は、メールで振込内容をお知らせください。) 【2014年度以前の会費未納の場合】一部の会員の方について、2014年度の会費のお支払が未だ確認できません。2014年12月31日までに納付が確認できない場合は、除名処分となりますので、至急お手続きいただきますようお願い致します。
【ご寄附のお願い】
協会では、運営基盤のより一層の改善を図りたく、一口3,000円のご寄附をお願い申し上げます。 ＜寄附金額＞￥3,000/一口     ご寄附は、何口でも承ります。 ＜振込先＞ご寄附は、協会会費に合算して、会費振込先にお振込みください。 ＜東京都への個人情報の提供＞法令に基づき、寄附者名簿（氏名、ご住所）を、所轄庁の東京都へ報告致します。何卒ご了承賜りますようお願い致します。 (事務局) ＜ご帝附についてのお問合せ＞ : http://www.saaj.or.jp/toiawase/index.html 2014.10

新たに会員になられた方々へ
新しく会員になられたみなさま、当協会はみなさまを熱烈歓迎しております。先月に引き続き、協会の活用方法や各種活動に参加される方法などの一端をご案内します。 •協会活動全般がご覧いただけます。 http://www.saaj.or.jp/index.html •会員規程にも目を通しておいてください。 http://www.saaj.or.jp/gaiyo/kaiin_kitei.pdf •皆様の情報の変更方法です。 http://www.saaj.or.jp/members/henkou.html •会員割引や各種ご案内、優遇などがあります。 http://www.saaj.or.jp/nyukai/index.htmlセミナーやイベント等の開催の都度ご案内しているものもあります。各支部・各部会・各研究会等の活動です。  http://www.saaj.or.jp/shibu/index.html皆様の積極的なご参加をお待ちしております。門戸は広く、見学も大歓迎です。皆様からのご意見などの投稿を募集しております。ペンネームによる「めだか」や実名投稿があります。多くの方から投稿いただいておりますが、さらに活発な利用をお願いします。この会報の「会報編集部からのお知らせ」をご覧ください。 /4/7/ •協会出版物が会員割引価格で購入できます。 http://www.saaj.or.jp/shuppan/index.htmlシステム監査の現場などで広く用いられています。セミナー等のお知らせです。 http://www.saaj.or.jp/kenkyu/index.html例えば月例研究会は毎月100名以上参加の活況です。過去履歴もご覧になれます。 •公認システム監査人へのSTEP-UPを支援します。 「公認システム監査人」と「システム監査人補」で構成されています。監査実務の習得支援や継続教育メニューも豊富です。 CSAサイトで詳細確認ができます。 http://www.saaj.or.jp/csa/index.html •PDF会報と電子版会報があります。 (http://www.saaj.or.jp/members/kaihou_dl.html)電子版では記事への意見、感想、コメントを投稿できます。会報利用方法もご案内しています。 http://www.saaj.or.jp/members/kaihouinfo.pdf •右ページをご覧ください。 http://www.saaj.or.jp/toiawase/index.html各サイトに連絡先がある場合はそちらでも問い合わせができます。 <目次>
2014.10
会報編集部からのお知らせ
1.会報テーマについて2.会報記事への直接投稿(コメント)の方法3.投稿記事募集
□■ 1.会報テーマについて
2014年度の年間テーマは、「○○○のためのシステム監査」とし、四半期ごとに「○○○のための」について具体的なテーマを設定して、システム監査に関する皆様からのご意見ご提案を募集しています。これまで2月号から4月号までが「公(おおやけ)のためのシステム監査」、5月号から7月号までが「情報化社会のためのシステム監査」、８月号から１０月号までが「次世代のためのシステム監査」をテーマとし、様々なご意見ご提案をいただきました。ありがとうございました。 11月号から1月号までの3か月は、「情報システム部門のためのシステム監査」をテーマとすることとしました。情報システム部門を取り巻く方々に向けてのシステム監査について、皆様からの幅広いご意見をお待ちしています。会報テーマは、皆様のご投稿記事づくりの一助に、また、ご意見やコメントを活発にするねらいです。会報テーマ以外の皆様任意のテーマももちろん大歓迎です。皆様のご意見を是非お寄せ下さい。
□■ 2.会報の記事に直接コメントを投稿できます。
会報の記事は、 1)PDFファイルの全体を、URL（ http://www.skansanin.com/saaj/ ）ヘアクセスして、画面で見る2) PDFファイルを印刷して、職場の会議室で、また、かばんにいれて電車のなかで見る3)会報URL ( http://www.skansanin.com/saaj/ )の個別記事を、画面で見るなど、環境により、様々な利用方法をされていらっしゃるようです。もっと突っ込んだ、便利な利用法はご存知でしょうか。気にいった記事があったら、直接、その場所にコメントを記入できます。著者、投稿者と意見交換できます。コメント記入、投稿は、気になった記事の下部コメント欄に直接入力し、投稿ボランをクリックするだけです。動画でも紹介しますので、参考にしてください。 ( http://www.skansanin.com/saaj/の記事、「コメントを投稿される方へ」）
□■ 3.会員の皆様からの投稿を募集しております。
分類は次の通りです。 1.めだか（Wordの投稿用デンプレート(毎月メール配信)を利用してください) 2.会員投稿3.会報投稿論文（論文投稿規程があります）会報記事は、次号会報募集の案内の時から、締め切り日の間にご投稿ください。システム監査にとどまらず、情報社会の健全な発展を応援できるような内容であれば歓迎します。ただし、投稿された記事については、表現の訂正や削除を求め、又は採用しないことがあります。また、編集担当の判断で字体やレイアウトなどの変更をさせていただくことがあります。次の投稿用アドレスに、次号会報募集案内メールに添付されるフォーマット(Word)を用いて、下記アドレスまで、メール添付でお送りください。投稿用アドレス:saajeditor ☆ saaj.jp （☆は投稿時には＠に変換してください）バックナンバーは、会報サイトからダウンロードできます(電子版ではカテゴリー別にも検索できますので、ご投稿記事づくりのご参考にもなります)。会報編集部では、電子書籍、電子出版、ネット集客、ネット販売など、電子化を背景にしたビジネス形態とシステム監査手法について研修会、ワークショップを計画しています。研修の詳細は後日案内します。
会員限定記事
【本部・理事会議事録】(当協会ホームページ会員サイトから閲覧ください。パスワードが必要です) === ■発行:  NPO法人日本システム監査人協会会報編集部〒103-0025東京都中央区日本橋茅場町2－8－8共同ビル6F ■ご質問は、下記のお問い合わせフォームよりお願いします。 【お問い合わせ】 http://www.saaj.or.jp/toiawase/ ■会報は会員への連絡事項を含みますので、会員期間中の会員へ自動配布されます。会員でない方は、購読申請・解除フォームに申請することで送付停止できます。 【送付停止】 http://www.skansanin.com/saaj/ Copyright(C)2014、NPO法人日本システム監査人協会掲載記事の転載は自由ですが、内容は改変せず、出典を明記していただくようお願いします。
■■■SAAJ会報担当一
編集委員：藤澤博、安部晃生、久保木孝明、越野雅晴、桜井由美子、中山孝明、藤野明夫編集支援：仲厚吉（会長）投稿用アドレス: saajeditor ☆ saaj.jp (☆は投稿時には＠に変換してください)