5.3情報セキュリティと事業継続の統制

情報システムの機密性・完全性・可用性を守るセキュリティ統制と、災害・障害でも事業を止めない事業継続の統制は、監査人が「整備されているか」に加えて「実効性があるか」を厳しく評価する領域です。アクセス権が業務上の必要最小限に絞られているか、暗号やログ監視が形だけでなく機能しているか、そしてBCPが文書として存在するだけでなく訓練で実効性が検証されているかが問われます。監査人は、セキュリティ統制を予防・発見・是正の観点で捉え、可用性については復旧目標に照らして評価します。

5.3.1セキュリティ統制（アクセス管理・暗号・ログ監視）

• アクセス管理＝利用者に業務上必要な最小限の権限のみを付与する最小権限の原則に基づく予防統制。監査人は権限一覧と実際の業務内容を突合し、退職者や異動者の権限が残っていないか、特権IDが必要以上に配布されていないかを評価する。過剰な権限の放置は整備・運用いずれかの不備。
• 暗号＝保存データ・通信データの機密性を守る予防統制。監査人は暗号化の適用範囲・鍵管理（鍵の保管・更新・分掌）が適切かを評価する。ログ監視＝アクセスや操作の記録を取得・監視し、不正や異常を事後に検知する発見統制。ログを取得しているだけで誰も監視・分析していないなら、発見統制としては実質的に機能していない運用上の不備。

5.3.2事業継続（BCP・災害対策）の統制

• BCP（事業継続計画）＝災害・大規模障害でも重要業務を継続・早期復旧させるための計画。RTO（目標復旧時間）・RPO（目標復旧時点）を定め、代替設備・データ復旧手順・連絡体制を整備する。監査人は、計画が重要業務の優先度と復旧目標に整合しているかを評価する。
• BCP統制で監査人が最も重視するのは訓練による実効性の検証。計画書が精緻でも、実際に切替・復旧の訓練を行い、RTO/RPOを満たせることを確認していなければ、いざという時に機能しない。文書は整備されているが訓練実績が無い状態は、是正統制（発生した障害から復旧する統制）が実効性を欠く運用上の不備として指摘される。