システム監査とは何か、
セキュリティと個人情報保護など、
筆者が考えていることを述べています

コンピュータシステムは、企業や公共自治体、その他社会のあらゆる構成要素の活動において、今や必要不可欠のものであり、コンピュータシステムなしでは経理や給与計算といった事務処理はもとより、工場の操業も、原材料や製品の物流や商流も、建築物・設備の建設も、すべての事業活動に大きな支障が出るであろう。かつて、コンピュータが出現し、民生用に利用されるまでは、会計帳簿の転記作業は手作業で行われ、給与計算もそろばんなどで計算されて来た。しかし、今でもそのようなことをしている事業体は、皆無に等しく、コンピュータシステムは事業活動や我々の生活に幅広く浸透するとともに、その利用は高度化している。
筆者が鉄鋼メーカーに入社したのは、今から23年前であるが、その当時はオンライン・リアルタイム処理は余りなく、データシートに書き込んだデータをバッチ的に処理する、しかもバッチ処理のタイミングは1日に数回と限定されているなど、利用の仕方にも制約があった。また、汎用機といわれる大型コンピュータはあったが、専用端末から利用する形態で、端末機も大部屋の職場に数台、パソコンもあるにはあったが広い製鉄所に何台といった具合であった。社内の会議召集など、連絡手段は電話や社内発信文書の紙メールの送付により行われ、OA化は1980年代の大分後になってから一種の流行になったが、ワープロでの文書作成レベルに留まっていた。
今は、汎用機の性能も大幅にアップしたが、オンライン・リアルタイムの処理形態が増え、その利用の仕方も専用端末からではなく、1人1台割り当てられたパソコンからWebの画面から利用するという形になって来ている。各職場の利用者は、Webのポータル画面から業務を行うとともに、連絡事項等はWebやグループウエアの画面の掲示板やE-Mailで知ることができる。このように、コンピュータの利用形態が変わり、利用範囲も広く、かつ利用内容が高度化してきている。
かつて言われた「高度情報化社会」は、その言葉が言われてきた時期においては予想だにしなかった、携帯電話でのユビキタス文化を生み出し、ファームバンキング、電子決済といったマネーの電子化やインターネットの普及など、日常生活の隅々において、情報化の恩恵を我々は享受している。
そういう社会において、一方ではコンピュータシステムの利用が広範囲かつ高度になっている「高度情報化」であるがゆえに、弊害もいろいろ出てくる。コンピュータの処理能力が余り高くなかった時期には、扱うデータ量も現在より少なく、対象となる業務領域も限定されており、問題はあっても実務部門の一領域で局所的に発生し、解決方法も比較的明確になりやすかった。現在は、コンピュータシステムの対象領域が広く、対象データも膨大であって、コンピュータシステムの問題の影響も大きくなりがちで、解決方法も難しくなることが多い。例えば、現在自社の販売管理システムは、商社とコンピュータシステムが接続され、顧客からの注文情報は商社経由でリアルタイムに伝送されて、そのデータをもとに、注文情報に製品仕様を付加、マスター等で製造可否を判定後、製造可の場合は工場生産のリードタイムが計算されて、受注検討が行われるとともに、商社へ納期回答情報がこれもリアルタイムに伝送され、受注決定後は工場への製造指図が作られるとする。もし、自社の注文システムに異常があって製造可否判定が正しく実行されないまま、仕様上本来受注できない注文を受注してしまった場合、工場への製造指図の誤発行など、工場側の生産管理システムへアブノーマルな情報が入力されるだけでなく、商社への誤った回答により、顧客にも迷惑をかけることになる。このように、コンピュータシステム同士の連携が密になり、処理がリアルタイム化されているほど、何らかの歯止めを設けないと、誤った情報が引き起こす問題が大きくなり、影響が深刻になる。
前置きが長くなったが、システム監査は、そのようなコンピュータシステムの問題の発生を抑止し、正しくコンピュータシステムを構築運用することに存在意義がある。システム監査とは、コンピュータシステム関連の業務を監査し、システムが正しく働いているかという信頼性、障害等の脅威に対する安全性、リソースを無駄に使用することなく、タイムリーに結果を出力するという効率性等を評価、コンピュータシステムの活用を促進すると同時に、その弊害を除去して前述したような問題発生を防止するものである。
システム監査委員会によって1977年に発表された『システム監査体制確立への道』で、システム監査とは、以下のように定義されている。「システム監査とは、監査対象から独立した客観的な立場で、コンピュータを中心とする情報処理システムを総合的に点検・評価し、関係者に助言・勧告することをいい、その有効利用の促進と弊害の除去とを同時に追求して、システムの健全化をはかるものである」
この定義は、システム監査の意義と目的を簡潔に示している。
2004年10月8日に改訂されたシステム監査基準では、システム監査の目的として、「システム監査の目的は、組織体の情報システムにまつわるリスクに対するコントロールがリスクアセスメントに基づいて適切に整備・運用されているかを独立かつ専門的な立場のシステム監査人が検証又は評価することによって、保証を与えあるいは助言を行い、もってITガバナンスの実現に寄与することにある。」と定義され、情報システムに関するリスクに対するコントールというポイントが強調されている。

上記のように定義されるシステム監査は、企業等において内部監査の一環として行われる場合が多い。とはいえ、その企業等の求めに応じて監査法人などが外部監査として行う例も最近は出てきている。企業等の内部においてシステム監査を行う者はシステム監査人であるが、内部監査部門にコンピュータシステムに通じた者を配置して行っている場合が多い。重要なのは、システム監査は経営者が積極的に推進すべき企業の内部的課題について、システム監査人がシステム部門とは独立し、客観的な立場で課題推進を支援するということである。

監査の実施基準は「システム監査基準」では､以下のように定義されている。
「１．監査計画の立案
システム監査人は、実施するシステム監査の目的を有効かつ効率的に達成するために、監査手続の内容、時期及び範囲等について、適切な監査計画を立案しなければならない。監査計画は、事情に応じて適時に修正できるように弾力的に運用しなければならない。
２．監査の手順
システム監査は、監査計画に基づき、予備調査、本調査及び評価・結論の手順により実施しなければならない。
３．監査の実施
3.1 監査証拠の入手と評価
システム監査人は適切かつ慎重に監査手続を実施し、保証又は助言についての監査結果を裏付けるのに十分かつ適切な監査証拠を入手し、評価しなければならない。
3.2 監査調書の作成と保存
システム監査人は、実施した監査手続の結果とその関連資料を、監査調書として作成しなければならない。監査調書は、監査結果の裏付けとなるため、監査の結論に至った過程がわかるように秩序整然と記録し、適切な方法によって保存しなければならない。
４．監査業務の体制
システム監査人は、システム監査の目的が有効かつ効率的に達成されるように、適切な監査体制を整え、監査計画の立案から監査報告書の提出及び改善指導（フォローアップ）までの監査業務の全体を管理しなければならない。
５．他の専門職の利用
システム監査人は、システム監査の目的達成上、必要かつ適切と判断される場合には、他の専門職による支援を考慮しなければならない。他の専門職による支援を仰ぐ場合であっても、利用の範囲、方法、及び結果の判断等は、システム監査人の責任において行われなければならない。
６．情報セキュリティ監査
情報セキュリティ監査については、原則として、情報セキュリティ管理基準を活用することが望ましい。」

このようなシステム監査の対象になるのは、コンピュータシステムの企画から構築、運用保守にいたる全サイクル、すなわちシステムのライフサイクル全般である。運用しているシステムを監査し、問題提起しても、その改修で出来る範囲は限定されるが、構築中のシステムであれば、システムの欠陥の是正はより柔軟にできるはずである。企画段階のシステムであれば、開発の手戻りもなく、監査で指摘した観点でシステムが構築されるのである。そのように、システムのライフサイクルの上流工程でのシステム監査が有効である。
その対象業務から見たシステム監査のポイントは、以下のようになる。

＜システム企画段階＞
開発しようとするコンピュータシステムの意義目的が経営方針と合っているか
コンピュータシステム構築による投資効果はどうか
同様に採算性はどうか
以上を経営層と直結した委員会方式などによって監査する

＜システム構築段階＞
開発中のコンピュータシステムについて、監査証跡が組み込まれるように、運用段階での監査が容易になるようにする　
上記と共に、開発業務自体が、定められた開発標準に基づいて適正に実施されているかをプロジェクトマネジメントの観点で監査する

＜システム運用段階＞
現に運用されているコンピュータシステムについて、運用性・安全性・効率性などの観点で幅広い着眼点での監査をおこなう
日本情報処理協会の報告書「システム監査実施への道標」によれば、運用段階での監査対象は概略以下の通りである

・入力プロセス（ユーザーの画面操作等によるデータ入力、その他）
・オペレーション（入力データをもとにした処理の実行など）
・出力プロセス（処理結果の画面、帳票、外部ファイル等への出力）
・セキュリティ（ユーザ認証やアクセス権限など）
・外注管理（ＳＥプログラマなどの外注管理）
・人事管理（社員ＳＥなどの労務人事管理）

このように、システム運用プロセスの構成要素を細かく網羅的に監査していくことになるが、一度に監査できずに分割して監査することも多いであろう。

さて、コンピュータシステムの機能上の重要なチェックポイントとしては、以下の項目があげられる
(1)コントロール
ハード、ソフトのコントロールなどコントロールは様々あるが、システムの信頼性という意味で正しく所期の目的通りにシステムが動作するようにコントロールされていなければならない。例えば、ジョブの先行後続関係（ジョブ制御の順序）が正しくコントロールされていなければ、検収の締切りの前に該当支払情報ゼロで銀行に支払データを送付してしまうような事態も起こる。法令や社会の標準に準拠し、適正に処理するためには、企業全体としてはコーポレイトガバナンスときかせるということになるが、コンピュータシステムにおいてはコントロールをきかせることになる。
(2)セキュリティ
人事・給与情報だけでなく、企業等の活動のあらゆる面でセキュリティは重要であり、対外的な業務をする場合には特に注意が必要である。最近のようなインターネット社会では、悪意あるハッカーやウイルス等の脅威もさることながら、過失なシステムの不具合で、企業の機密情報が漏洩することもありうる。ネットワークでのデータ送受信など一般化している今日、こうした問題での影響ははかりしれないものがある。
(3)個人情報保護
最近は2003年5月30日に公布された個人情報保護法などもあって関心が高まっているが、そもそも憲法で定められた基本的人権に関わるものだけに扱いは慎重にしなければならない。入力、処理、出力の何れのプロセスでも問題が発生しうるし、ネットワークが広範に使用されている現在にあっては、特に注意が必要である。

ここでは、セキュリティについて、以下少し詳しく述べていく。セキュリティといっても、その脅威の対象とどのように組み込むかをよく検討していく必要がある。
脅威とは、コンピュータシステム自体については、アクセス制御の不備によるアクセス権限のない人間の入力、データベース等に保管されたデータの破壊、出力データのアクセス権限のない人間への開示、外部への漏洩がある。また、ネットワークを通じた悪意のある第三者の侵入による機密漏洩、データ改竄やコンピュータウイルスへの感染、災害（地震、火災など）、犯罪による物理破壊、従業員等によるデータ持出しなども考えられる。
セキュリティ対策は、そうした脅威を踏まえてシステムの各プロセスに組み込んでいく必要がある。
アクセス権限にまつわる脅威については、利用部署や利用者個人毎にコンピュータシステムの利用権限を定義し、所定の利用者コードとパスワードで認証するとともに表示するメニューを制御する、データベースのテーブルまたはデータ項目にアクセス権限を設定し、非定型の検索ツールにおいてもアクセス権限を組み込んでおくというのが一般的な方法である。コンピュータルームへの入退出管理（カード等）、侵入防止のための物理的措置や災害対策として地震時のコンピュータの転倒防止、火災に備えたハロゲンガス消化設備の設置、無停電電源装置や自家発電設備の設置などの対策も必要である。
最近のネットワーク化、インターネットの普及による不特定なハッカー等の脅威については、ネットワークを対外部分と内部LAN環境をファイアウォールで区分する、伝送データの暗号化を行うなどの措置を講じるとともに、ネットワーク監視、メールのフィルタリングを行うことも必要であろう。外部からの脅威だけを意識するだけでなく、内部から社外等に発信される情報に、不用意に機密事項が含まれていないかチェックすることも必要である。
このような情報セキュリティの監査について、「情報セキュリティ監査制度」が最近作られている。それは、監査主体である「情報セキュリティ監査企業台帳」登録事業者が、監査を受ける企業等に対し、「情報セキュリティ管理基準」と「情報セキュリティ監査基準」に基づいて監査を行い、企業等に対して保証ないし助言を行い、これを監査報告書にまとめるものである。2004年改訂のシステム監査基準のなかでも、情報セキュリティについては標記制度を用いることが望ましいと述べられているなど、システム監査との兼合いについて整理されていく途上にある。

セキュリティについては、個人情報保護との関連も考える必要がある。企業等が扱う機密情報のなかには、個人情報にあたるものも多い。
前述のように、個人情報保護法が2003年5月30日に公布された。
この個人情報保護法の目的は、「個人情報の適正な取り扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにする」ことと、「個人情報を取り扱う事業者の順守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」ということである。
個人情報の漏洩や不正利用がネットワーク社会の影の部分でクローズアップされている現在、個人情報保護法では、個人情報の利用と保護のバランスを取り、利用目的には特に制限を設けず、原則として同意は必要なく、保護については、利用目的の通知・公表、セキュリティの確保、第三者提供の制限、本人関与・苦情処理を定めている。
その個人情報とは：
�@生存する個人に関する情報
�A特定の個人を識別できるもの(他の情報と照合することによって識別できる場合を含む)
個人データとは：個人情報データベース等を構成する個人情報
個人情報データベース等とは：
�@検索することができるように体系的に構成したもの
�A自動処理(コンピュータ処理)されたもの
�Bマニュアル処理(政令で定める処理)されたもの
�C一定件数以上(政令で定める)の個人データの集合
個人情報取扱事業者とは：�@個人情報データベース等を事業の用に供している者
�A次を除外する 国の機関、地方公共団体、独立行政法人、特殊法人、政令で定める小規模事業者等
よって、一般の大企業は、個人情報データベースを事業として扱っていなくても、最低従業員の人事情報等、個人情報を保持、管理しているのであるから、個人情報取扱事業者にあたる。
保有個人データとは：一定期間以上(政令で定める)保有している個人データ　である。
個人情報取扱事業者の義務としては、個人情報保護法において、
個人情報に関して：
�@利用目的の特定、利用目的による制限(15 条、16 条)
�A適正な取得、取得に際しての利用目的の通知等(17 条、18 条)
�B苦情の処理(36 条)
個人情報データベース等に関して：
�@データ内容の正確性の確保(19 条)
�A安全管理措置(20 条)
�B従業者・委託先の監督(21 条、22 条)
�C第三者提供の制限(23 条)
�D保有個人データ事項の公表等(24 条)
�E開示、訂正等、利用停止等(25 〜27 条)
�F理由の説明(28 条)
�G開示手続、手数料(29 条、30 条)　の規定がある。
この個人情報取扱事業者は例えば商品を販売した顧客の情報を適正に扱い、機密情報として保護するだけでなく、その企業等の従業員の個人情報もまた同様に保護する必要がある。
システム監査人の役割の一つとして、個人情報取扱事業者である企業において、適正に個人情報が扱われ、機密が保持されているか監査するということが、今後とも重要になって来るであろう。

『システム監査の基礎知識』鳥居壮行（1985）日本生産性本部
1996年改訂「システム監査基準」
2004年改訂「システム監査基準」全文紹介
「システム管理基準」