[1] 投資対効果を検証する責任部署がシステムオーナとして明確に登録されていること (37/40)
正解。8/8点。
[2] ユーザニーズを調査する費用 (15/15)
微妙。3/9点。模範解答は「ユーザ部門の教育費用」となっているが、本文に書かれているわけではなく一般論でそう答えている。
[3] 対象となるシステムの主管部署の責任において費用が見積もられていることを確認する (39/45)
微妙。2/9点。システムの仕様上、費用を入力しないと登録することができないという内容が模範解答になっている。
[4] 各ゲートでの審査の基準がシステムオーナに周知されていること (29/30)
まあ正解。7/8点。
[5] 各プロジェクトがプロジェクト計画時に設定した、投資による効果が得られるまでの期間 (40/40)
まあ正解。7/8点。ただし、「〜こと」で答えるのが望ましいように見えた。
[6] システムオーナとは無関係の投資委員会が審査を実施していること (30/30)
まあ正解。7/8。また一般論。多少特殊な一般論でも救ってくれたりするのだろうか。自己採点は68%で、感覚的にも及第点は取れている気がする。一般論で答える問題が多いから、各問題の「〜について」の部分を見に行って、これは一般論でわかりそうだというのが多い問いを選ぼう。
| R | 内部不正による情報漏えい |
| C |
|
| A |
|
第1章 情報システムの概要、並びに内部不正が発生した場合の影響
1-1 情報システムの概要
私が携わった組織は衣料品の通信販売サイトを運営するA社であり、A社の顧客管理システムに関する内部不正対策の監査を行った。A社は運営するサイトで顧客の氏名や住所を含む個人情報を扱っており、その情報を顧客管理システムに登録することで、商品の発送や販売戦略の立案などに役立てている。
顧客管理システムの特徴としては、まず「大量の個人情報が登録されている」という点が挙げられる。加えて、顧客管理システムでは顧客が購入した商品の履歴をも管理しており、売れ筋の商品の把握や顧客ごとのお気に入り商品なども確認できる。このように「顧客別の購買情報が登録されている」という点も顧客管理システムの特徴といえる。
1-2 内部不正が発生した場合の影響
内部不正により顧客管理システムの情報が漏えいした場合、A社は重大な損害を被ることになる。「大量の個人情報が蓄積されている」という観点からは、顧客の氏名や住所、クレジットカードの番号が流出し、顧客の個人情報が第三者によって不正に利用されると同時に、A社の社会的信用が失墜するといった事態が発生することが考えられる。
「顧客別の購買情報が登録されている」という観点からは、どの商品がよく売られているかといった売上に関する情報が流出し、個人情報の流出と同様に組織の社会的信用が失墜するだけでなく、競合他社にA社の営業機密が知られ、A社の競争力低下にもつながりかねない。
第2章 内部不正の特徴を踏まえた留意点、並びに内部不正の技術的対策の実施状況を確認するための監査手続
2-1 内部不正の特徴を踏まえた留意点
個人情報が流出することによってクレジットカード情報の不正利用からA社の社会的信用の失墜まで様々なリスクが想定されることを踏まえると、A社は個人情報を可能な限り限定された範囲にしか利用させないようにすべきだと考えられる。しかし「個人情報は各種業務の遂行に必要である」ため、利用可能な範囲を限定しすぎると、在庫不足や発送ミスなどのトラブルが発生することに留意しなければならない。
顧客の購買情報が流出することによって社会的信用の失墜に加えて競争力の低下というリスクも懸念されることから、A社は顧客の購買情報を外部に持ち出しさせないための取り組みをより強化すべきだと考えられる。ここで留意すべき点は、顧客の購買情報は売上分析や在庫管理に必要であり、個人情報の場合と比べて「幅広い範囲の従業員が閲覧する」ということである。
2-2 内部不正の技術的対策の実施状況を確認するための監査手続
「個人情報は各種作業の遂行に必要である」という留意点を踏まえ、個人情報のどの項目がどの従業員に対して利用可能な状態になっているかを確認する。このとき実際に顧客管理システムにおけるアクセス権の設定画面を見て権限の付与状況をまとめた文書を監査証拠として残す。さらに実際に個人情報を業務に利用する従業員に対してヒアリングを行い、その結果を監査証拠とし、業務上必要な個人情報が過不足なく公開されていることも確認する。
顧客別の購買情報は「幅広い範囲の従業員が閲覧する」という留意点に関しては、アクセス権では情報漏えいの対策として不十分であるから、購買情報を含むデータに対してパスワードロックがかけられていること、及びそのデータの閲覧に利用するPCのディスクが暗号化されていることを確認する。監査証拠としては実際にデータの閲覧に利用するPCでパスワードロックやディスクの暗号化の措置が講じられていることを確かめ、その結果を文書にまとめる。
第3章 内部不正の特徴を踏まえた留意点、並びに内部不正の組織的対策の実施状況を確認するための監査手続
3-1 内部不正の特徴を踏まえた留意点
技術的対策だけでは内部不正を完全には防止できないと考えられる。なぜならば、大量の個人情報が蓄積されているという観点で考えると、必要最限の個人情報は特定の従業員に公開されているため、その「従業員の意志によっては報漏えいが発生する」可能性がある。
同様に「顧客別の購買情報が登録されている」という観点でも従業員の意志次第で情報を流出させることは可能である。さらに、より幅広い従業員が利用することから、「従業員がA社の規程を詳しく知らない」ことが原因で、結果的に情報の不正な持ち出しにつながりかねないことに留意する必要がある。
3-2 内部不正の組織的対策の実施状況を確認するための監査手続
「従業員の意志によっては情報漏えいが発生する」という留意点を踏まえると、A社は情報の扱い方に関するルールを社内規程のなかで明確に定め、その規程の内容を従業員に周知する必要があるといえる。そこで、社内規程それ自体と規程に関する研修の実施記録を監査証拠として、規程で個人情報の扱いに関するルールや注意事項が定められていること、並びにその内容が研修によって教育されていることを確認する。なお、規程の内容を確認するに当たっては、情報セキュリティに関する法令が改定される度に規程が更新され、法令に準拠した内容になっていることも確かめる。
「従業員がA社の規程を詳しく知らない」ことを踏まえると、A社は研修を通じて規程の内容を周知することも重要であるが、加えて従業員が情報を不正に持ち出そうとしない環境を整備することも同様に重要である。たとえば顧客別の購買情報を閲覧する際は特定のIDとを利用させることとし、そのPCが設置されている部屋のようすは常時監視カメラで記録するといった対策が考えられる。監査では、A社がどのように情報の不正な持ち出しを防止しているかをヒアリングのうえ、その防止を証明するデータなどを監査証拠として対策の実施状況を確認する。たとえば監視カメラを設置している場合、その監視カメラの録画記録がひとつの監査証拠になるといえる。