第4章 · 関連分野と法務·v1.0.0·更新 2026/7/9·読了目安 約13分
変更要約: 初版
4.2システム監査とサービスマネジメント
この節の要点
独立した第三者が情報システムを評価するシステム監査の流れと内部統制との関係、ITサービスの継続的な運用を支えるITILとSLA（サービスレベル合意書）、システムを止めない可用性管理と将来の負荷に備えるキャパシティ管理、そして監査の根拠となる証跡（ログ）の扱いを学びます。
情報セキュリティは「対策を導入して終わり」ではなく、その対策が実際に機能しているかを第三者が確認し、日々の運用でも継続的に維持することが求められます。ここでは評価の仕組みであるシステム監査と、運用を支えるサービスマネジメントの2本柱を学びます。
4.2.1システム監査の流れと内部統制
- システム監査＝独立した立場のシステム監査人が、情報システムに関わるリスク管理・内部統制が有効に機能しているかを、監査計画→予備調査→本調査→評価・結論→報告→フォローアップという流れで検証する活動。監査対象部門から独立していること(独立性)が信頼性の前提です。
- 内部統制＝経営者が自ら整備・運用する、業務の適正性を確保するための仕組み(職務分掌・承認プロセス・モニタリング等)。システム監査は内部統制が有効に機能しているかを外部(または独立した内部監査部門)からチェックする活動であり、内部統制そのものとは役割が異なります。
4.2.2ITILとSLA
- ITIL（Information Technology Infrastructure Library）＝ITサービスマネジメントのベストプラクティス集。サービスの企画から設計・移行・運用・改善までのライフサイクルを体系化し、安定したサービス提供のための共通の考え方・用語を提供します。
- SLA（Service Level Agreement、サービスレベル合意書）＝サービス提供者と利用者(または委託元)の間で、稼働率・応答時間・障害復旧時間などの品質水準を数値目標として合意した文書。委託先のセキュリティ管理水準を評価・担保する手段としても使われ、目標未達時の対応(ペナルティ・改善計画)まで含めて合意することが望ましいとされます。