5.3情報セキュリティと事業継続の統制

情報システムの機密性・完全性・可用性を守るセキュリティ統制と、災害・障害でも事業を止めない事業継続の統制は、監査人が「整備されているか」に加えて「実効性があるか」を厳しく評価する領域です。アクセス権が業務上の必要最小限に絞られているか、暗号やログ監視が形だけでなく機能しているか、そしてBCPが文書として存在するだけでなく訓練で実効性が検証されているかが問われます。監査人は、セキュリティ統制を予防・発見・是正の観点で捉え、可用性については復旧目標に照らして評価します。

5.3.1セキュリティ統制（アクセス管理・暗号・ログ監視）

• アクセス管理＝利用者に業務上必要な最小限の権限のみを付与する最小権限の原則に基づく予防統制。監査人は権限一覧と実際の業務内容を突合し、退職者や異動者の権限が残っていないか、特権IDが必要以上に配布されていないかを評価する。過剰な権限の放置は整備・運用いずれかの不備。
• 暗号＝保存データ・通信データの機密性を守る予防統制。監査人は暗号化の適用範囲・鍵管理（鍵の保管・更新・分掌）が適切かを評価する。ログ監視＝アクセスや操作の記録を取得・監視し、不正や異常を事後に検知する発見統制。ログを取得しているだけで誰も監視・分析していないなら、発見統制としては実質的に機能していない運用上の不備。

5.3.2事業継続（BCP・災害対策）の統制

• BCP（事業継続計画）＝災害・大規模障害でも重要業務を継続・早期復旧させるための計画。RTO（目標復旧時間）・RPO（目標復旧時点）を定め、代替設備・データ復旧手順・連絡体制を整備する。監査人は、計画が重要業務の優先度と復旧目標に整合しているかを評価する。
• BCP統制で監査人が最も重視するのは訓練による実効性の検証。計画書が精緻でも、実際に切替・復旧の訓練を行い、RTO/RPOを満たせることを確認していなければ、いざという時に機能しない。文書は整備されているが訓練実績が無い状態は、是正統制（発生した障害から復旧する統制）が実効性を欠く運用上の不備として指摘される。

あるシステム監査人が、金融機関の勘定系システムのセキュリティと事業継続の統制を評価しているとします。まずアクセス管理では、監査人は特権ID（システム管理者権限）の付与一覧を入手し、各IDの保有者の実際の業務と突合しました。すると、すでに別部門へ異動した元運用担当者の特権IDが無効化されずに残っていることが判明します。監査人はこれを、業務上不要な権限が放置された最小権限の原則からの逸脱＝運用上の不備と診断し、予防統制として異動・退職時の権限棚卸しと即時失効の手続の徹底を勧告します。次にログ監視について、監査人は「特権IDの操作ログは取得している」という説明の裏付けとしてログが実際に定期レビューされ、異常操作にアラートが上がる運用がされているかを確かめたところ、ログは蓄積されるだけで誰も分析していないことが分かりました。監査人はこれを、発見統制が実質的に機能していない運用上の不備として指摘し、定期的なログレビューと逸脱時のエスカレーションの仕組みを勧告します。最後にBCPでは、監査人はRTO（例：4時間以内に勘定系を復旧）を定めた立派な計画書を確認しましたが、過去2年間、実際の切替・復旧訓練が一度も実施されていないことを発見しました。監査人は、文書上の整備は妥当でも訓練でRTOを満たせることが検証されていない以上、是正統制としての実効性は担保されていない運用上の不備と診断し、定期的な復旧訓練の実施と、訓練で判明した課題のBCPへの反映を勧告します。このように、セキュリティと事業継続の統制評価では、規程・計画書の整備だけを見るのではなく、権限の突合・ログの実監視・訓練の実施という「実際に機能しているか」の証跡を確かめることが、監査人の判断の核になります。

5.3.3この節のまとめ

• アクセス管理は最小権限が基本で、監査人は権限一覧と実業務の突合で過剰権限・失効漏れを診断する
• ログ監視は取得だけでは不十分で、定期レビューと異常アラートの運用があって初めて発見統制として機能する
• BCPは文書整備だけでなく訓練でRTO/RPOの充足を検証していることを確かめ、未訓練は是正統制の運用上の不備とする