セキュリティ監査人に必須の実施・報告ガイドライン：情報セキュリティマネジメントシステム基礎講座（8）

　「第7回 期待が高まる『情報セキュリティ監査制度』」では、「情報セキュリティ監査制度」は「情報セキュリティ管理基準」と「情報セキュリティ監査基準」の2つの基準で構成されていることがお分かりいただけたと思う。前回は情報セキュリティ管理基準について説明したが、今回はもう一方の情報セキュリティ監査基準とそれに関連するガイドラインやモデルについて紹介する。

情報セキュリティ監査基準と関連文章

　まずは、情報セキュリティ監査基準と関連するガイドラインやモデルを表1に示す。

　これらは、監査の際に監査を行う主体が従うべき行為規範を中心に、監査の実施や監査結果の報告のためのガイドラインなどである。

情報セキュリティ監査基準とは

　情報セキュリティ監査基準は、監査を行う主体が従うべき行為規範を示したもので、特徴としては、

が挙げられている。ここでいう、多様な主体とは、監査法人、情報セキュリティ関連のシステム構築などを行うベンダ（情報セキュリティベンダ）、一般のシステム構築を行うベンダ、システムの監視サービスなどを行っている情報セキュリティ専門企業、システム監査企業などを指してはいるが、何も外部の主体と限定されるものではなく、内部監査を実施する主体にも共通して利用できるように留意しながら作成されている。

　また、情報セキュリティ監査基準は、情報セキュリティ監査の目的として、

の3点を挙げている。情報セキュリティ監査の主たる目的は、組織や企業におけるリスクマネジメントに対する保証や助言を行うことであり、単なるコントロールの実装をチェックするのではないことが強調されている。

　この情報セキュリティ監査基準は、さらに3つの基準で構成されており、それらの基準名と概要は下記の表2のようになっている。

　従って、表1と表2を1つの図に示すと以下のような構成になる（図1）。

図1 情報セキュリティ監査基準の構成

情報セキュリティ監査を行うために要求される「一般基準」

　一般基準とは、監査人としての適格性および監査業務上の順守事項を規定しているもので、以下の5項目からなっている。実効あるセキュリティ監査を行うため、監査人には、幅広い知識、能力が必要とされている。

1.目的、権限と責任

2.独立性、客観性と職業倫理

3.専門能力

4.業務上の義務

5.品質管理

　では、上記の「3.専門能力」に求められる知識および技能とは、いかなるものであろうか？ 知識としては、大きく分けると情報セキュリティマネジメントシステム（ISMS）の計画、開発、運用に関する知識（「第6回 情報セキュリティ監査の重要性」参照）と情報セキュリティ監査の実施に当たっての関連知識が求められることになるであろう。具体的には、以下の知識が想定される。

　また、技能では、情報セキュリティ監査に関する能力が要求される。

　この技能に関する詳細は、次の「実施基準」および「報告基準」を参照すると理解しやすい。

情報セキュリティ監査人に必須の「実施基準」

　実施基準とは、監査計画の立案および監査手続の適用方法など、監査実施上の枠組みを規定しており、以下の4項目からなっている。先に触れた情報セキュリティ監査人に必ず要求される技能である。

1.監査計画の立案

2.監査の実施

3.監査業務の体制

4.ほかの専門職の利用

　では、上記の「1. 監査計画の立案」では、どのような計画を立案する必要があるのであろうか？ 基本的には、情報セキュリティ監査人は、監査基本計画、監査実施計画の立案をしなければならない。詳細は次回の「実施基準ガイドライン」で触れるが、おのおのの計画では、以下の事項に留意して、計画書を作成する必要がある。

　また、監査計画立案における監査対象のリスクアセスメントの実施もこれらの立案を明確にするうえで重要である。監査計画立案段階におけるリスクアセスメントは、重要な監査対象の戦略的決定にとって有益であるばかりでなく、リスクアセスメントの結果を実施すべき監査手続に反映させることによって全体としてメリハリのある監査が期待でき、もって監査目的を有効かつ効率的に達成することにつながるからである。

　上記の「2. 監査の実施」における「2.1 監査証拠の入手と評価」は、どのように実施するのであろうか？ まず、監査証拠とは、そのときの状況に応じて最も適切な監査手続を適用した結果から得られたものでなければならない。それらの監査証拠とは、以下の方法を通じて入手される。

　次に、情報セキュリティ監査人は、入手した監査証拠の必要性と十分性の判断に当たって、被監査側から提出された資料、監査人自ら入手した資料、監査人自ら行ったテスト結果などを総合的に勘案して、相互に矛盾があるか否か、異常性を示す兆候があるか否かを評価しなければならない。

　その際、情報セキュリティ監査人が入手した監査証拠の評価に当たっては、リスクアセスメントの結果との関連付けが考慮されなければならない。なぜなら被監査側が現に採用しているコントロールが適切であるか否かの判断は、リスクに応じたものでなければならないからだ。

　「2.2 監査調書の作成と保存」では、情報セキュリティ監査人が実施した監査手続の結果と、監査手続に関連して入手した資料などは監査の結論に至った経過が分かるように監査調書として作成される。この監査調書は、情報セキュリティ監査終了後も相当の期間、整理保存しておく必要がある。監査調書には被監査側の機密事項が含まれていることもあり、情報漏えいや紛失などを考慮し、適切に保管しなければならない。

　上記の実施基準に基づいて実施された情報セキュリティ監査は、その結果を適切に報告されなければならない。報告に関しては、次の報告基準に監査報告書の記載方式が規定されている。

情報セキュリティ監査人に必須のもう1つの技能「報告基準」

　報告基準とは、監査報告にかかわる留意事項と監査報告書の記載方式を規定しており、以下の5項目からなっている。この報告に関する能力も、先に触れた情報セキュリティ監査人に必ず要求される技能である。

　上記の「3. 監査報告書の記載事項」には、どのような項目があるのであろうか？「報告基準ガイドライン」では、記載事項は、以下のような区分によって構成されるとしている。

　情報セキュリティ監査報告書は、内部利用であっても、外部に開示されることを前提に作成される場合であっても、基本的には、以下の記載区分によって構成される。

　監査報告の明瞭性という観点から、これらの区分に従って記載するものとする。導入、概要、意見の3つの記載区分は、情報セキュリティ監査の目的または実施形態を問わず、必ず設けなければならないことに留意する。また、この報告基準ガイドラインには、保証型の監査報告書（保証報告書という）が作成される場合と、助言型の監査報告書（助言報告書という）が作成される場合を想定したひな型が用意されているので、参考にするとよい。

　次回は、「実施基準ガイドライン」について紹介し、情報セキュリティ監査の実施手順などを説明する。