4.2システム監査とサービスマネジメント

情報セキュリティは「対策を導入して終わり」ではなく、その対策が実際に機能しているかを第三者が確認し、日々の運用でも継続的に維持することが求められます。ここでは評価の仕組みであるシステム監査と、運用を支えるサービスマネジメントの2本柱を学びます。

4.2.1システム監査の流れと内部統制

• システム監査＝独立した立場のシステム監査人が、情報システムに関わるリスク管理・内部統制が有効に機能しているかを、監査計画→予備調査→本調査→評価・結論→報告→フォローアップという流れで検証する活動。監査対象部門から独立していること(独立性)が信頼性の前提です。
• 内部統制＝経営者が自ら整備・運用する、業務の適正性を確保するための仕組み(職務分掌・承認プロセス・モニタリング等)。システム監査は内部統制が有効に機能しているかを外部(または独立した内部監査部門)からチェックする活動であり、内部統制そのものとは役割が異なります。

4.2.2ITILとSLA

• ITIL（Information Technology Infrastructure Library）＝ITサービスマネジメントのベストプラクティス集。サービスの企画から設計・移行・運用・改善までのライフサイクルを体系化し、安定したサービス提供のための共通の考え方・用語を提供します。
• SLA（Service Level Agreement、サービスレベル合意書）＝サービス提供者と利用者(または委託元)の間で、稼働率・応答時間・障害復旧時間などの品質水準を数値目標として合意した文書。委託先のセキュリティ管理水準を評価・担保する手段としても使われ、目標未達時の対応(ペナルティ・改善計画)まで含めて合意することが望ましいとされます。

4.2.3可用性管理・キャパシティ管理と証跡

• 可用性管理＝システムが必要なときに必要なだけ使える状態を維持するためのマネジメント(冗長化・障害監視・復旧手順の整備等)。キャパシティ管理＝将来の利用量の増加やピーク負荷を見越して、性能・容量を計画的に増強するマネジメント。容量不足による性能劣化や停止は可用性の低下に直結するため、両者は密接に関連します。
• 証跡（ログ）＝システムの操作・アクセス・処理の履歴を記録したもので、システム監査や内部統制の有効性を裏付ける客観的な根拠になります。証跡が改ざん・削除されると監査自体が成立しなくなるため、ログの完全性の保護(書き込み専用の保管・アクセス権の分離等)自体が重要な管理策として問われます。

中堅サービス業D社が、外部クラウド事業者に基幹システムの運用を委託しているケースで考えます。D社の内部監査部門は年次のシステム監査計画を策定し、まず予備調査として委託先の運用体制やアクセス権限の管理方法に関する資料を収集しました。続く本調査では、実際のアクセスログや変更管理記録を抽出し、承認されていない設定変更が行われていないかを確認します。この際、委託先が提示した証跡（ログ）が改ざんされていないことを裏付けるため、ログの保管方式(書き込み専用ストレージへの転送・管理者による削除権限の分離)についても確認しました。監査の結果、委託先のSLAで定められた稼働率99.9%を過去1年間下回った月が1回あり、原因を調べたところ、繁忙期のアクセス集中を見越したキャパシティ管理が不十分でサーバー資源が逼迫し、結果として可用性が低下していたことが判明しました。監査人はこれを指摘事項として報告書にまとめ、委託先に対して「アクセス集中時期を見越したキャパシティの事前増強」と「SLA未達時の改善計画の明文化」を求めるフォローアップを実施しました。この一連のプロセスは、D社自身の内部統制(委託先選定・契約審査の承認プロセス)が有効に機能しているかを、独立した監査人の立場から検証したものであり、内部統制そのものとシステム監査の役割の違いを示す好例です。

4.2.4この節のまとめ

• 内部統制＝経営者が整備・運用する仕組みそのもの。システム監査＝独立した監査人がその有効性を検証する活動
• SLA＝品質水準を数値目標として合意した文書。可用性管理とキャパシティ管理は密接に関連(容量不足→可用性低下)
• 証跡（ログ）の完全性保護は監査の信頼性を支える不可欠な管理策