【情報セキュリティマネジメント試験】対策用学習メモ 2

情報セキュリティ監査基準

• 監査人が実際に行うべき内容をまとめたもの
• 監査判断の尺度には原則「情報セキュリティ管理基準」を用いる
• 組織の情報セキュリティ対策を第三者が評価するための基準
• 適切に整備されているか
• 適切に運用されているか
• リスクが高い部分を重点的に見る
• 企業が「ISMS構築基準(JIS Q 27001)」を作成、監査基準で第三者が評価

情報セキュリティ管理基準

• 組織が情報セキュリティマネジメント体制を構築するための推奨事例をまとめたもの

システム監査（情報システム監査）

• 情報システムが適切に管理され、安全で効率的に運用されているかを第三者が評価する活動
  • 有効性（目的が達成されているか）
  • 効率性（無駄なく運用されているか）
  • 信頼性（正確に処理されているか）

システム監査のプロセス

• 監査計画の立案
  • 監査対象・範囲など決定
  • リスク高い箇所から先に監査(リスクベースドアプローチ（RBA）)
• 予備調査
• 本調査
  • 監査証拠（Audit Evidence）の収集
  • 監査証拠は「十分性」「適切性」が重要キーワード
• 評価・結論作成
  • システム監査報告書
    • 指摘事項：リスク、その重要性、根拠
    • 改善勧告：指摘事項に対する対策、重要度、緊急性、誰が担当するか
• 監査報告
  • 「助言」はするが「業務指示」や「実行」はしない
• フォローアップ（改善指導）
  • 改善するための計画、実施状況の確認

システム監査の技法

技法	内容
ウォークスルー	業務の流れを実際に追いながら確認
CAAT（キャット）	コンピュータを活用した監査技法
インタビュー	関係者への聞き取り
文書レビュー	規程・ログ・記録などの確認
実査	在庫や機器を現物確認

内部統制

• 企業の業務が適切・効率的に行われ、法令違反や不正を防ぐための仕組みのこと

要素	内容（SG向けに要点化）
① 統制環境	経営者の姿勢、企業文化、倫理観。内部統制の土台。
② リスク評価	業務リスクを識別・分析し、対応策を決める。
③ 統制活動	経営者の命令・指示を確実に実行するために定める方針や手続き。
④ 情報と伝達	必要な情報を適切に収集・共有する仕組み。
⑤ モニタリング（監視）	内部統制が有効に運用されているか継続的に評価。
⑥ ITへの対応（IT統制）	ITシステムを使う場合の統制。IT全般統制＋IT業務処理統制。

IT統制

ITの統制目標	説明
有効性及び効率性	情報が業務に対して効果的、効率的に提供されていること
準拠性	情報が関連する法令や会計基準、社内規則等に合致して処理されていること
信頼性	情報が組織の意思・意図に沿って承認され、漏れなく正確に記録・処理されること（正当性、完全性、正確性）
可用性	情報が必要とされるときに利用可能であること
機密性	情報が正当な権限を有する者以外に利用されないように保護されていること

AI社会原則

• 日本政府（内閣府）が示した AIを社会で安全・公正に利用するための原則

原則名	ポイント（試験向け要約）
人間中心	AIは人間の尊厳・権利を尊重
教育・リテラシー	AIを使う側の能力向上
プライバシー保護	個人情報の適切な取り扱い
セキュリティ確保	サイバー攻撃・悪用の防止、堅牢性
公共競争確保	独占、不正競争の防止
公平性・説明責任・透明性	AI利用状況、判断根拠の説明
イノベーション促進	国際化、多様化、官民連携、人材流動性の確保

BSC, EVA, NPV, ROI

指標	説明	重要ポイント	計算の有無
BSC(Balanced Scorecard Card)	戦略を4つの視点から評価	財務・顧客・内部プロセス・学習成長	計算なし
EVA(Economic Value Added)	資本コストを考慮した利益	営業利益－資本コスト	あり（簡単）
NPV(Net Present Value)	将来価値を現在価値に割り引く	NPV > 0 で投資実行	あり
ROI(Return On Investment)	投資の効率を表す	時間価値を考慮しない点が弱み	あり

ゼロ知識証明

• 秘密そのものを明かさずに、「知っていること」だけを証明する方式

不正のトライアングル

不正の要因となるもの

• 機械：不正行為を行える状況
• 動機：処遇への不満、金銭的困窮
• 正当化：自分勝手な理由付け

CVSS(共通脆弱性評価システム)

• ソフトウェアやシステムの脆弱性の深刻度を数値（0.0〜10.0）で評価する共通指標

指標	内容
基本評価基準（Base）	脆弱性そのものの性質、機密性・完全性・可用性に対する影響を評価
現状評価基準（Temporal）	攻撃コードや修正状況、脆弱性の現在の深刻度
環境評価基準（Environmental）	最終的な脆弱性深刻度、利用環境含む

ISMAP

• 政府が求めるセキュリティ要求を満たしたクラウドサービス(IaaS, PaaS, SaaS)を第三者が評価登録できる制度
• ガバナンス基準、管理策基準、マネジメント基準で構成されている

CRYPTREC(暗号技術調査評価委員会)

• CRYPTREC暗号リスト(総務省と経済産業省が安全性を認めた暗号技術のリスト)を公開している