変更要約: 初版
3.5システム監査と法務
被監査部門から独立した立場で行うシステム監査（独立性・監査手続・監査証跡）、業務プロセスの適正性を確保する内部統制、そして不正アクセス禁止法・個人情報保護法・サイバーセキュリティ基本法・刑法（不正指令電磁的記録に関する罪）などの関連法規を学びます。
技術的な対策がどれほど整っていても、それが第三者の目で客観的に検証されなければ、経営層や取引先はその有効性を信頼できません。また、セキュリティ担当者自身の行為（診断・調査等）も、法律の枠内で行わなければ、たとえ善意であっても罰せられる可能性があります。この節では、監査という「検証の仕組み」と、情報セキュリティ実務に関わる主要な法律を学び、ある行為が法的にどう扱われるか、監査でどう指摘されるかを判断する力を養います。
3.5.1システム監査（独立性・監査手続・監査証跡）
- システム監査＝情報システムに関するリスクのコントロール（管理策）が適切に整備・運用されているかを、専門知識を持つ者が客観的な立場で検証・評価する活動。独立性（被監査部門から独立した立場であること）が確保されていなければ、監査の客観性・信頼性が損なわれる。
- 監査は一般に監査手続（監査計画の策定、資料閲覧・関係者へのヒアリング・現地調査等の実施、証拠の収集・評価、監査報告書の作成）に沿って進める。監査人は自らの判断の根拠となった記録（監査証跡、ログや実施記録等）を適切に保存し、後から第三者が検証できるようにする必要がある。
3.5.2内部統制
- 内部統制＝業務が適正かつ効率的に遂行されるよう、組織内に組み込まれたプロセス・体制（職務分掌、承認プロセス、モニタリング等）の総称。情報システムにおける内部統制の有効性を評価する活動の一部が、IT統制を対象とするシステム監査と重なる。
- システム監査人は、経営者が構築した内部統制のIT統制部分（アクセス権限管理・変更管理・バックアップ運用等）が実際に機能しているかを検証する役割を担う。「内部統制を構築する」のは経営者の責任、「その有効性を検証する」のが監査人の役割という役割分担を混同しないこと。
「システム監査＝独立性が命。監査人は監査対象部門から独立していなければならない」「内部統制の構築は経営者の責任、有効性の検証は監査人の役割」が最頻出です。「監査対象システムの開発チームに所属する担当者がそのシステムを監査してよいか」といった、独立性を欠く体制の問題点を指摘させる出題に注意しましょう。
あるシステム監査人が、A社の顧客管理システムを対象に監査を行うことになったとします。まず着任前の確認として、この監査人が過去にそのシステムの要件定義や設計に開発担当者として関与していたことが判明しました。この場合、たとえ監査人が高い専門知識を持っていても、自分が設計に関与したシステムを自分で評価することになり、独立性が損なわれるため、この監査人を別の担当者に交代するか、少なくとも利害関係を監査報告書に明記する必要があります。監査を実際に開始すると、監査人は監査手続に沿って、アクセス権限台帳の閲覧、担当者へのヒアリング、実際のアクセスログの確認を行います。ここで、ある退職済み従業員のアカウントが退職後3か月経っても無効化されていなかったことが判明したとします。この事実だけでは「なぜ無効化されなかったのか」の原因は分かりませんが、監査人はアカウント無効化の運用手順（実施手順）が存在するか、存在するなら遵守されていたかを検証し、手順自体が存在しない場合は「アカウント管理に関する内部統制の不備」として、手順は存在するが遵守されていなかった場合は「運用の逸脱」として、それぞれ異なる観点で指摘事項を記載します。さらに、この指摘の根拠となったアクセス権限台帳の閲覧記録やヒアリングメモは監査証跡として保存し、後日A社の経営層や外部の関係者から「なぜその結論に至ったのか」を問われた際に、根拠を遡って提示できるようにしておく必要があります。このように、システム監査は「問題を見つけて指摘する」だけでなく、指摘の根拠を独立性のある立場で体系的に積み上げ、検証可能な形で残すプロセスです。
| 概念 | 要点 |
|---|---|
| 独立性 | 監査人は被監査部門から独立していなければ客観性が損なわれる |
| 監査手続 | 計画→資料閲覧/ヒアリング/現地調査→証拠収集評価→報告書作成 |
| 監査証跡 | 判断の根拠となった記録。後日第三者が検証できる形で保存する |
| 内部統制 | 構築は経営者の責任、有効性検証は監査人の役割 |
3.5.3関連法規（不正アクセス禁止法・個人情報保護法・サイバーセキュリティ基本法・刑法）
- 不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）＝他人のID・パスワードを無断で使ってアクセス制御機能を回避する行為（不正アクセス行為）や、そのような行為を助長する目的でID・パスワードを提供する行為等を禁止する。業務上の正当な権限に基づくペネトレーションテストは、依頼元から適切な許可を得て実施する限り、この法律が想定する違法な不正アクセスには該当しない。
- 個人情報保護法＝個人情報を取り扱う事業者に対し、利用目的の特定・適正な取得・安全管理措置・第三者提供の制限等を義務付ける法律。情報セキュリティ担当者としては、個人データの漏えい等が発生した場合の個人情報保護委員会への報告義務・本人への通知義務が実務上重要になる。
- サイバーセキュリティ基本法＝国全体のサイバーセキュリティ政策の基本理念や、国・地方公共団体・重要社会基盤事業者等の責務を定める法律で、NISC（内閣サイバーセキュリティセンター）の設置根拠にもなっている。個々の技術的行為を直接規制するものではなく、政策・体制の枠組みを定める性格を持つ点に注意。
- 刑法（不正指令電磁的記録に関する罪）＝正当な理由なく、コンピュータウイルス等の不正な指令を与えるプログラムを作成・提供・供用・取得・保管する行為を処罰する規定（いわゆるウイルス作成罪）。マルウェア解析・研究目的での検体の保管であっても、正当な理由が認められる体制・管理下で行うことが求められる。
ひっかけ： 「依頼元の許可なくシステムに侵入テストを行っても、セキュリティ向上が目的なら不正アクセス禁止法違反にならない」は誤りです——目的が善意であっても、正当な権限（許可）がなければ不正アクセス行為に該当し得ます。また「サイバーセキュリティ基本法は個々の不正アクセス行為を直接処罰する法律である」も誤り＝この法律は政策・責務の枠組みを定めるもので、個別の行為の処罰は不正アクセス禁止法や刑法が担います。
3.5.4この節のまとめ
- システム監査は独立性が命。監査手続に沿って進め、判断根拠は監査証跡として検証可能な形で残す
- 内部統制の構築は経営者の責任、有効性の検証は監査人の役割という役割分担を混同しない
- 不正アクセス禁止法は目的の善意を問わず許可の有無で判断、個人情報保護法は漏えい時の報告・通知義務、サイバーセキュリティ基本法は政策の枠組み、刑法はウイルス作成罪等を規定
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるシステム監査人が、監査対象の顧客管理システムについて、過去に自らが要件定義・設計に開発担当者として関与していたことが判明した。この状況への対応として最も妥当なものはどれか。
Q2. ある事業者が、委託先のセキュリティ研究者に依頼元からの適切な許可を得た上で、自社システムへのペネトレーションテストを実施させた。この行為に関する記述として最も適切なものはどれか。
Q3. ある企業で、退職済み従業員のアカウントが退職後3か月経過しても無効化されていなかったことが監査で判明した。監査人がこの事実を指摘事項として記載する際に、まず確認すべきこととして最も妥当なものはどれか。