安全性（ネットワーク・システ ム監査）チェックリスト【暫定版】

ネットワーク・システム監査／安全性／

※今回は、かなりシステムの専門知識が必要な内容なので暫定版です。順次改訂していきます。
 ネットワーク・システム監査のチェックリス ト作成第2弾です。参考書は引き続き「ここから始めるIT監査」（社団 法人日本内部監査協会編）を使います。

1. 管理体制
2. 安全性
3. 耐障害性
4. 経 済性

それでは、2．安全性のチェックリストを作成し ていきましょう。

  必要な統制

1. ネッ トワーク構成図
2. 電子署名の導入
3. データベースのモニタリング
4. ログ管理

  チェックリスト

    2．安全性

1. 不正アク セス防止
1. ファイアウォールやIDS/IPSなどの機器が適切に設置されているか
• ネットワーク構成図からファイアウォールやIDS/IPSの設置を確認
• ファイアウォール やIDS/IPSの管理画面で稼動を確認
2. サーバやネットワーク機器の設定が適切であることを確認しているか
• サーバーやネットワーク機器の設定方針を確認
• サー バーやネットワーク機器の設定方針と設定値のシステムアウトプットの整合性を確認
3. ウィルス対策ソフトが導入され、適 切に運用されているか
• ウィルス対策ソフトのインストール状況 を確認
• ウィルス対策ソフトの更新状況確認
2. 認証
1. 利用者の利用 場面に応じて、本人確認を確実にするための認証の仕組みが実施されているか（生体認証、多要素認証など）
• 認証の実装状況を確認
2. 否認を防止するための仕組みが実施されているか
• 信頼できる認証局による電子署名の実装状況を確認
3. 暗 号化
1. 機密度の高い情報については、充分な強度を有する方式により、暗号化されているか
• 機密度の高い情報の一覧が存在することを確認
• 機密度の高い情 報に対する暗号化の方式を確認
4. 完全性
1. アプリケーション側で、コントロール・ トータルチェックや限度チェック等を実施しているか
• データ ベースのモニタリング手法のマニュアルよりコントロール・トータルチェックや限度チェック等のモニタリング方法を確認
• モニタリングの実 施記録を確認
2. 電子署名を使って、改ざん防止を図っているか
• 電子署名の導入状況を確認
5. 監視
1. 認 証失敗などの異常やIDS/IPSからの警報を検知し、適切に対処しているか
• 警報の処理体制を確認
• 警報に対する処理記録を確認
2. 事後調査のため、発信元アド レス等を含む、必要十分な内容のログを取得し、分析しているか
• ロ グの取得・保管状況を確認
• ログの分析記録を確認
3. 機密情報を保護するため、メールフィルタリング等 の対策を実施しているか
• 社外への送信メールのフィルタリング 対策を確認
6. 対策の見直し
1. 脆弱性等に関する外部機関の最新情報を収集しているか
• 情報収集を行う外部機関のリストを確認
• 収集した情報の管理 状況を確認
2. ペネトレーションテスト、Webアプリケーション診断等を実施し、安全対策の有効性を確認しているか
• テスト項目を確認
• テスト実施記録を確認

花粉症対策

花粉症対策としてアレルシャットという薬を購入しました。
綿棒で鼻の中に塗るだけで驚くほど花粉症を防ぐことができます。
一昨年頃から利用しているのですがなかなか優れものです。

花粉を防ぐにはマスクもありますが、屋外でスポーツをする場合はマスクができません。
アレルシャットはそんな状況で威力を発揮します。
また、メガネをしている人にとってもマスクによるメガネの曇りから解放されます。
花粉症の内服薬とは違い、眠くもならない点も魅力です。

花粉症でお悩みの方は一度お試しあれ。

バッテリー交換完了

先日注文したThinkPadのバッテリーが送られてきたので、交換しました。
バッテリーの情報を比較すると、交換前はフル充電＆マックス・バッテリーライフ設定で１時間半ぐらいしか駆動できなかったのに、交換後は９０％充電＆マックス・パフォーマンスでも２時間以上駆動するようになりました。
これならモバイルシーンも少し現実的です。久しぶりにPCを持ち出してみたくなりました。

管理体制（ネットワーク・システム監査）チェックリスト

ネットワーク・システム監査／管理体制／

ネットワーク・システム監査のチェックリス ト作成第1弾です。参考書は引き続き「ここから始めるIT監査」（社団 法人日本内部監査協会編）を使います。

1. 管理体制
2. 安 全性
3. 耐障害性
4. 経済性

それでは、1．管理体制のチェックリストを作成し ていきましょう。

  必要な統制

1. システム部門の業務分担表
2. システム部門の職 務権限規程
3. ネットワークユーザー管理台帳
4. ネットワーク設計書
5. ネットワーク運用手順書
6. ネッ トワーク利用の研修

  チェックリスト

    １．管理体制

1. 責任と権限
1. 組織のネットワーク管理に係る情報を集約し、適切 に判断を下すネットワーク管理者が定められているか
• システム 部門の業務分担表からネットワーク管理者が定義されていることを確認
• 組織図上、ネットワーク管理者が情報を集約できる立場にあることを 確認
2. ネットワーク管理者の職務と権限が明確に定義されているか
• システム部門の業務分担表からネットワーク管理者の職務と権限が記載されていることを確認
3. ネッ トワーク管理者が職務として機能しているか
• システム部門の職 務権限規程からネットワーク管理者が集めるべき情報と下すべき判断項目を確認
• ネットワーク管理者に、把握している情報と判断結果を確認
2. 利 用者の範囲
1. ネットワーク利用者の範囲が明確に定義されているか
• ネットワークユーザー管理台帳の存在を確認
• ネットワークユーザー管理台帳と組織図・座席表 との整合性を確認
2. ネットワーク利用者の役割に応じて、区分して管理されているか
• ネットワークユーザー管理台帳にユーザー区分が記載されていることを確認
3. 構 成管理
1. ネットワーク構成図等を作成し、構成内容を把握しているか
• ネットワーク構成図の存在を確認
2. ネットワークが部門別等にセグメント分 割されているか
• ネットワーク設計書からセグメントポリシーを 確認
• ネットワーク構成図からセグメントの分割状況を確認
4. ネットワーク設計
1. ネッ トワーク設計に係る基準が明確に定義されているか
• ネットワー ク設計書に設計基準が記載されていることを確認
2. 基準にしたがって、ネットワークが設計されているか
• ネットワーク運用で使用しているネットワーク構成図とネットワークの設計基準 の整合性を確認
3. 拡張性、保守性を考慮しているか
• ネットワークの設計書に拡張性や保守性についての記載があることを確認
4. ネットワーク設計は 責任者によって承認されているか
• ネットワーク設計書の承認者 が責任者であることを確認
5. OS/アプリケーション
1. ネットワークで使用するOS やアプリケーションが明確に定義されているか
• ネットワーク設 計書に使用するOSやアプリケーションの一覧が存在することを確認
2. ネットワークでの使用を禁止するアプリケーション が明確に定義されているか
• ネットワーク設計書に使用を禁止す るアプリケーションの一覧が存在することを確認
3. 許可されないOSやアプリケーションの使用を検出する仕組みを備えて いるか
• IT資産管理ツール等の存在を確認
6. 運 用管理
1. ネットワークに係るハードウェア、ソフトウェアの導入、運用の手順が定義されているか（変更管理の手順を含む）
• ネットワーク運用手順書が存在することを確認
2. ネッ トワーク設定情報の設定、管理（バックアップ等を含む）の手順が定義されているか
• ネットワーク運用手順書にネットワーク設定情報の設定、管理の手順が定義されていることを確認
3. 他 組織との接続やリモートアクセスを承認する手順が定義されているか
• ネッ トワーク運用手順書に他組織との接続やリモートアクセスの承認手順が記載されていることを確認
4. ネットワークのアクセ ス状況を管理する手順が定義されているか
• ネットワーク運用手 順書にアクセス状況の管理手順が記載されていることを確認
5. ネットワークに異常が検知された場合の報告手順が定義され ているか
• ネットワーク運用手順書にネットワークの異常を報告 する手順が記載されていることを確認
7. ネットワークの見直し
1. ネットワークのトラ フィック状況など、見直しのための指標が定義されているか
• ネッ トワーク運用手順書に管理すべき指標が記載されていることを確認
2. 見直しのための指標データを定期的に取得し、検討し ているか
• 管理すべき指標の過去の状況資料を確認
8. 利 用教育
1. ネットワークを安全かつ効率的に利用するためのルールについて、教育・研修する仕組みが整備されているか
• ネットワーク利用の研修教材を確認
2. 定期 的に教育・研修が実施されているか
• ネットワーク利用の研修の 実施記録を確認

ネットワーク・システ ムの監査は他のIT監査と比較して、よりシステム色が強いと感じました。次回も引き続きネットワーク・システムの監査です。

導入・維持管理（事業継続管理の監査）チェックリスト

事業継続管理の監査／導入／
事業継続管理の監査／維持管理／

情報セキュリティの監査のチェックリス ト作成第3弾です。参考書は引き続き「ここから始めるIT監査」（社団 法人日本内部監査協会編）を使います。

3．事業継続管理の監査

1. 戦略策定
2. リスク評価
3. 導 入
4. 維持管理

そ れで は、3．導入と4．維持管理のチェックリストを作成していきましょう。

  必要な統制

1. BCM 委員会
2. 脆弱性リスト
3. コンティンジェンシープラン
4. BCM周知徹底計画
5. BCM関連 文書

  チェックリスト

    3．導入

1. BCM組織体制 の確立
1. 脅威発生に備え事前準備をするための通常時の組織体制が整備されているか
• 組織図からBCM委員会等が常設されていることを確認
2. 緊急時に情報の 共有、判断を行うための組織体制が整備されているか
• BCPに 緊急時の組織体制が定義されていることを確認
• 定義されている緊急時の組織体制が情報共有と判断に必要なメンバーで構成されていることを 確認
2. Availabilityの確保
1. リスク評価にて対応する必要があると判断 されたAvailabilityに関わる脆弱性に対して、確実に対応策がとられているか
• 対応する必要があるAvailabilityに関わる脆弱性のリストに対応策が記載されていることを確認
• 記 載された対応策が実在することを確認
3. Recoverabilityの確保
1. リス ク評価にて対応する必要があると判断されたRecoverabilityに関わる脆弱性に対して、確実に対応策がとられているか
• 対応する必要があるRecoverabilityに関わる脆弱性のリストに対応 策が記載されていることを確認
• 記載された対応策が実在することを確認
4. 緊急時対応の各種手順の策 定
1. 想定したリスク・シナリオを考慮し、脅威発生時に備えたコンティンジェンシープラン（初期対応手順書、暫定対応手順書、本格 対応手順書を含む）を整備しているか
• コンティンジェンシープ ランが存在し、初期対応手順書、暫定対応手順書、本格対応手順書が含まれていることを確認
5. BCM関連文書の周知徹 底
1. BCM関連文書（コンティンジェンシープラン等）の周知徹底施策が計画され、実施されているか。
• BCM周知徹底計画が存在し、実施されていることを確認
• 緊急 時に使用する文書が必要な者へ配布済みであることを確認

    

    4．維持管理

1. BCM関連文書の管理
1. 配布、保管、改訂等についてBCM関連文書の管理手順が 定められているか
• BCM関連文書に文書の管理手順が存在する ことを確認
2. 定められた管理手順にしたがい、BCM関連文書が管理されているか
• BCM関連文書に文書リストが存在することを確認
• 文 書リストの文書が最新の状態であることを確認
• 文書リストの文書がすぐに使用可能であることを確認
2. BCM 関連文書のテスト・訓練
1. BCM関連文書のテスト・訓練が計画され、実施されているか
• BCM関連文書の内容が機能することを確認するテストの計画書が存在することを 確認
• テスト結果のドキュメントを確認
2. BCM関連文書のテスト・訓練では、緊急時のBCM態勢が確 実に機能することや、緊急時に速やかに所定の手順が実行されることが確認されているか
• テスト結果から検証項目を確認
3. BCM態勢の見直し
1. テ スト・訓練の実施結果、内部監査の指摘事項、人事異動やシステム変更等を反映し、BCM態勢を定期的に見直しているか
• BCM関連文書の更新状況と態勢の整合性を確認
• BCMの更新 情報が周知されていることを確認

これで事業継続管理の監査は終了です。次回からはネットワー クシステムの監査に入ります。

IT Compliance Summit 2010 Winterに行ってきました。

本日開催のIT Compliance Summit 2010 Winterへ行ってきました。
仕事の都合で、最初と最後のセッションのみの参加となりましたがなかなか有意義でした。
会場は表参道駅直結の青山ダイヤモンドホールで、なんと、参加は無料です。
私が参加したのは以下のふたつのセッションです。簡単にポイントも書いておきます。

1. 『八田進二氏が金融庁・三井秀範開示課長に訊く！内部統制からIFRSへ～我が国の企業情報開示の課題と展望』（八田進二氏、三井秀範氏）
• 初年度の重要な欠陥は米国の16%に対して日本は2%だった。
• 先行した米国は文書化に偏重した。
• 日本では業務改善につながったとの声もある。
• IFRSの検討には当初から日本も参画している。
• IFRSに対応することで、別途米国会計基準への一致を行う必要がなくなったことに意義がある。
• IFRS対応について金融庁は柔軟な対応を考えている。
2. 経済危機で重要性が高まる内部監査の役割（島田裕次氏）
• 内部監査とは人の粗探しではない。
• リスクの根本は目的である。
• 予防型の内部監査が求めらる。
• チェックは内部監査ではない。
• 内部監査に不足しているのは工学的アプローチである。
• 内部監査は経営全体を見渡すことができる。
• 内部監査部門は定年間際の部署ではなく、若手人材が必要である。

このIT Compliance Summit 2010 Winterへ参加したことで欲しかった島田裕次氏の著書「内部監査入門」をいただくことができました。早速読みたいと思います。（もちろん、島田先生とは名刺交換をさせていただきました。）

体調不良でした

昨日から下痢と発熱で1日半ほど寝込んでいました。明日からブログを再開します。
医者にはノロウィルスかも知れないと言われましたが、ノロウィルスって有効な抗ウィルス薬がないんですね。