変更要約: 初版
6.4関連法規とガイドライン
システム監査人が判断の拠りどころとする関連法規（個人情報保護法・不正アクセス禁止法）と、監査の枠組みを示すシステム監査基準・システム管理基準、統制評価の物差しとなる情報セキュリティ管理基準などの各種ガイドラインを、どの基準・法令に照らして不備を評価するかという監査の適用の視点で学びます。
システム監査は「監査人の主観」で良し悪しを決めるものではなく、明文化された法令・基準・ガイドラインという客観的な物差しに照らして、コントロールが十分かを評価します。システム監査人には、対象の情報システムやリスクに応じて、どの法令（個人情報保護法・不正アクセス禁止法など）・どの基準（システム監査基準・システム管理基準・情報セキュリティ管理基準）を評価の拠りどころとするかを選び、その規範に照らして不備を診断する判断が求められます。監査基準は「監査のやり方」を、管理基準や管理基準系のガイドラインは「被監査側が備えるべき統制の目安」を示すという役割の違いも押さえます。
6.4.1関連法規：個人情報保護法・不正アクセス禁止法
- 個人情報保護法＝個人情報を取り扱う事業者に、利用目的の特定・安全管理措置・第三者提供の制限・本人の権利対応などの義務を課す法律。個人データを扱うシステムの監査では、この法が求める安全管理措置（アクセス制御・暗号化・委託先監督・漏えい時対応）が整備・運用されているかが評価の物差しになる。監査人はこの法令要件に照らして不備を指摘する。
- 不正アクセス禁止法＝他人の識別符号（ID/パスワード）を無断で用いる行為や、セキュリティホールを突いて制限を免れアクセスする行為などを禁止・処罰する法律。監査では、こうした不正アクセスを防止・検知するコントロール（認証・アクセス制御・ログ監視）の整備状況を評価する拠りどころになる。法が禁じる行為を技術的・運用的に抑止できているかを診断する。
6.4.2システム監査基準・管理基準・情報セキュリティ管理基準
- システム監査基準＝システム監査をどう実施すべきか（監査人の姿勢・独立性・計画・実施・報告のやり方）を示す規範。監査の品質と客観性を担保する「監査する側」の拠りどころ。監査人自身の独立性・調書・報告の適否を測る物差しであって、被監査側の統制水準そのものを直接示すものではない。
- システム管理基準＝情報システムの企画・開発・運用・保守において組織が整備・運用すべきコントロールの目安を示す規範。監査人は、被監査側の統制がこの管理基準に照らして十分かを評価する。監査基準が「監査のやり方」なのに対し、管理基準は「被監査側が備えるべき統制の物差し」という役割の違いがある。
- 情報セキュリティ管理基準・各種ガイドライン＝情報セキュリティマネジメント（ISMS等の考え方）に基づく管理策の目安を体系化した規範で、セキュリティ領域の統制評価の物差しになる。ほかにも分野別のガイドライン（クラウド・個人情報・重要インフラ等）があり、監査人は対象システムのリスクと目的に最も適した基準・ガイドラインを選んで適用する。基準を取り違えると評価がずれるため、適用先の選定自体が監査の判断。
「個人情報保護法＝安全管理措置等の義務・個人データ系システム評価の物差し」「不正アクセス禁止法＝他人のID無断利用等を禁止・不正アクセス防止統制の拠りどころ」「システム監査基準＝監査のやり方（監査する側）」「システム管理基準＝被監査側が備えるべき統制の目安」「情報セキュリティ管理基準＝セキュリティ統制評価の物差し」が最頻出です。監査基準と管理基準の役割の違い、対象に適した基準を選ぶ視点が問われます。
6.4.3拠るべき法令・基準の選定判断
あるシステム監査人が、大量の顧客個人情報を扱うオンラインサービスの情報セキュリティ統制を監査するとします。何を物差しに不備を評価するかが問われます。まず、このシステムは個人データを取り扱うため、個人情報保護法が求める安全管理措置（アクセス制御・暗号化・委託先の監督・漏えい時の対応体制）が整備・運用されているかを、法令要件という客観的な物差しに照らして評価します——監査人の主観で「なんとなく不十分」と言うのではなく、法が求める水準に照らして不備を診断するのです。あわせて、外部からの不正ログインが重大リスクであることから、不正アクセス禁止法が禁じる「他人のID無断利用・制限を免れるアクセス」を防止・検知する認証・アクセス制御・ログ監視のコントロールが機能しているかを評価の拠りどころにします。次に基準の使い分けです。この監査を「どう実施するか」（監査人の独立性・調書・報告の適否）はシステム監査基準に従いますが、被監査側の情報システムが「備えるべき統制」を評価する物差しとしては、システム監査基準ではなく、セキュリティ管理策を体系化した情報セキュリティ管理基準（および必要に応じてシステム管理基準）を適用します。ここで「監査のやり方を示す監査基準」と「被監査側が備えるべき統制の目安を示す管理基準」を取り違えて、監査基準を統制水準の物差しに使ってしまうと評価がずれます。さらに、クラウド上でサービスを運用しているならクラウド向けのガイドラインを、といったように、対象システムのリスクと目的に最も適した基準・ガイドラインを選ぶこと自体が監査の判断です。このように「対象のリスクと扱うデータに応じて拠るべき法令（個人情報保護法・不正アクセス禁止法）と基準（監査のやり方はシステム監査基準／統制の目安は情報セキュリティ管理基準・システム管理基準）を選び、客観的な物差しに照らして不備を診断する」のが関連法規・ガイドライン適用の判断です。
| 規範 | 役割 | 監査での使い方 |
|---|---|---|
| 個人情報保護法 | 個人情報取扱いの義務・安全管理措置 | 個人データ系の統制評価の物差し |
| 不正アクセス禁止法 | 他人ID無断利用等を禁止 | 不正アクセス防止/検知統制の拠りどころ |
| システム監査基準 | 監査のやり方（監査する側） | 監査人の独立性・調書・報告の適否 |
| システム管理基準・情報セキュリティ管理基準 | 備えるべき統制の目安（被監査側） | 統制の整備・運用状況の物差し |
ひっかけ： 「システム監査基準は、被監査側が備えるべき統制水準そのものを示す物差しである」は誤りです——監査基準は監査のやり方（監査する側の姿勢・独立性・報告）を示す規範で、被監査側が備えるべき統制の目安はシステム管理基準・情報セキュリティ管理基準です。「不備の評価は監査人の主観で決めてよい」も誤りで、明文化された法令・基準という客観的な物差しに照らして診断します。「どのシステムでも常に同じ基準を機械的に当てればよい」も誤りで、対象のリスクと扱うデータに最も適した法令・基準・ガイドラインを選ぶこと自体が監査の判断です。
6.4.4この節のまとめ
- 個人情報保護法（安全管理措置等）と不正アクセス禁止法（他人ID無断利用の禁止）は、扱うデータとリスクに応じた統制評価の物差し
- システム監査基準＝監査のやり方（監査する側）／システム管理基準・情報セキュリティ管理基準＝被監査側が備えるべき統制の目安、と役割が異なる
- 不備は主観でなく明文化された法令・基準という客観的物差しに照らして診断し、対象のリスクに最も適した基準・ガイドラインを選ぶ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 大量の顧客個人情報を扱うシステムの情報セキュリティ統制を監査する。不備を評価する物差しとして最も適切なものはどれか。
Q2. システム監査基準とシステム管理基準の役割の違いについて、最も適切な説明はどれか。
Q3. ID/パスワードを無断で使ってシステムへ侵入する行為を防止・検知するコントロールの整備状況を監査で評価する際、拠りどころとして最も関連が深い法律はどれか。