基準 1.2

今回は、「安全性の原則と基準の表」の1.0 システムの方針を定義し文書化するの勝手訳その２です。
 

Criteria 1.2
The entity’s security policies include, but may not be limited to,
the following matters:
a. Identification and documentation of the security requirements of authorized users.
b. Allowing access, the nature of that access, and who authorizes such access.
c. Preventing unauthorized access.
d. The procedures to add new users, modify the access levels of existing  users, and remove users who no longer need access.
e. Assignment of responsibility and accountability for system security.
f. Assignment of responsibility and accountability for system changes and maintenance.
g. Testing, evaluating, and authorizing system components before implementation.
h. Addressing how complaints and requests relating to security issues are resolved.
i. The procedures to handle security breaches and other incidents.
j. Provision for allocation for training and other resources to support its system security policies.
k. Provision for the handling of exceptions and situations not specifically addressed in its system security policies.
l. Provision for the identification of, and consistency with, applicable
laws and regulations, defined commitments, service-level agreements, and other contracts.
基準 1.2
セキュリティーポリシーは以下のものを含 むがそれらに限定されるものではない：
ａ．承認されたユーザーのセキュリティ要件の確認と記録
ｂ．アクセス許可、アクセスの性質、そして、誰がそのようなアクセスを 認めたか
ｃ．未承 認のアクセスを防ぐ
ｄ．新規にユーザーとして加わる手続、既存ユーザーのアクセスレベルの変更、そして、もはやアクセスの必要のないユー ザーの削除
ｅ．システムのセキュリティの責務と説明責任の割り当て
ｆ．システムの変更と維持の責務と説明責任の割り当て
ｇ．実装前のシステムコンポーネントの試験、評価、そして認証
ｈ． どのようにしてセキュリティに関する不平と要求が解決されたかの説明
ｉ．セキュリティ違反や他の事件を取り扱う手順
ｊ．システムセキュリティポリシーをサポートする訓練とリソースの割り当ての提供ｋ．例外やシステムセキュリティポリシーに特に述べられていないことについての取扱いの提供
ｌ．適用される法律や規則、確約、サービスレベルに関する合意、その他契約に対する一致や一貫性の提供

Illustrative Controls
The entity’s documented security policies contain the elements set
out in criterion 1.2.
統制の実例
文書化されたセキュリティポリシーは基準1.2のからの要素一式を含む

…基準の方が統制の実例よりも細かい気がします。

基準 1.1

今回は、「安全性の原則と基準の表」の1.0 システムの方針を定義し文書化するの勝手訳その１です。

1.0 Policies: The entity defines and documents its policies for the security of its system.
1.0 ポリシー：システムの方針を定義し文書化する

Criteria 1.1
The entity’s security policies are established and periodically reviewed
and approved by a designated individual or group.
基準 1.1
セキュリティーポリシーは決められた個人またはグループによって定期的にレビューされ改善される。

Illustrative Controls (fn 4)
(fn 4) Illustrative controls are presented as examples only. It is the practitioner’s responsibility to identify and document the policies, procedures, and controls actually in place at the entity under examination.
The entity’s documented systems development and acquisition process
includes procedures to identify and document authorized users of the system and their security requirements.
User requirements are documented in service-level agreements or other documents.
The security officer reviews security policies annually and submits proposed changes for approval by the information technology (IT) standards committee.

統制の実例 (fn 4)
(fn 4) 統制の実例は例示のみとして提示される。実際に試用するポリシーや手続そして統制を特定し文書化することは実務家の責任である。
ドキュメ ント化されたシステム開発と取得のプロセスには、システムとそれらの安全性の要求事項について承認されたユーザーであることを特定し記録する手続を含む。
ユーザーの要求事項はいくつかのサービルレベル合意書または他の文書に記録される。
セキュリティーオフィサーは毎年セキュリ ティーポリシーをレビューし、情報技術（IT）標準委員会による改善のための変更提案を提示する。

このように、基準と統制の実例が対になって解説されていきます。

ポーターの一般戦略

※先週末から事情により投稿できない状況でした。本日より再開します。

久しぶりにCIA試験PartIV関連のことを書きます。

戦略的マネジメントの競争戦略 としてポーターの一般戦略というものがあります。これは試験対策的には完全に理解し、暗記していなければならないものです。簡単に解説してみましょう。

ポー ターの一般戦略では

• 「競争の優位性の源泉」と「競争の範囲」を軸に戦略を整理する。
• 競争の優位性には、自社の 製品やサービスが差別化できる（高くても売れる）かコストリーダーシップをとれる（誰よりも安く売れる）かの2点がある。
• 競争の範囲に は市場全体を狙うのかニッチ市場をねらうの2点がある。

これらを組み合わせると下図のようになります。

広
↑
市＿コストリーダーシップ＿＿＿＿差 別化
場
の
広
さ＿コスト集中化＿＿＿＿＿＿差別化集中化
↓
狭
＿＿＿＿低←－－－コスト－－－→高

それぞれの特徴は、以下のとおりです。

1. コ ストリーダーシップ戦略：低コスト・大量生産
2. 差別化戦略：こだわり・高級ブランドなど
3. コスト集中化戦略：若年層向 け・低価格
4. 差別化集中化戦略：地域限定・富裕層向け

３と４は集中化戦略としてまとめるケースもあります。とても ベーシックなフレームワークなので確実に理解しておきましょう。

Security Principle and Criteria

引き続き、勝手訳です。後半は表の内容に入るため、順序が若干変わります。

Security Principle and Criteria（安全性の原則と基準）

• .16 The security principle refers to the protection of the system components from unauthorized access, both logical and physical. In e-commerce and other systems, the respective parties wish to ensure that information provided is available only to those individuals who need access to complete the transaction or services, or follow up on questions or issues that may arise. Information provided through these systems is susceptible to unauthorized access during transmission and while it is stored on the other party’s systems. Limiting access to the system components helps prevent potential abuse of system components, theft of resources, misuse of software, and improper access to, use, alteration, destruction, or disclosure of information. Key elements for the protection of system components include permitting authorized access and preventing unauthorized access to those components.
• .16 安全性の原則は、論理的と物理的な未承認のアクセスからのシステムコンポーネントの防御について言及している。Eコマースやそれ以外のシステムにおいて、 各当事者は、取引やサービスを完了するためにアクセスする必要がある個人または発生するであろう質問や不明点のフォローアップにだけ情報提供を有効にしたい。これらのシステムを介して提供される情報は、伝送中または別のシステムに格納されている間に不正にアクセスされやすい。システムコンポーネントへのア クセスを限定することは　システムコンポーネントの潜在的な悪用や資源の窃用、ソフトウェアの誤用、そして使用・改変・破壊・情報暴露のための不正アクセ スを防ぐことに役立つ。システムコンポーネントの保護の主な要素は承認されたアクセスを許可することと未承認のアクセスを防ぐことが含まれる。

Security Principle and Criteria Table（安全性の原則と基準の表）

• .17 The system is protected against unauthorized access (both physical and logical).
• .17 システムは未承認のアクセス（物理的・論理的）から保護されている

※以下、項 目数の多い表であるため後日整理します。（今回は表中のポリシーのみ抜粋）

• 1.0 Policies: The entity defines and documents its policies for the security of its system.
• 1.0 ポリシー：システムの方針を定義し文書化する
• 2.0 Communications: The entity communicates its defined system security policies to authorized users.
• 2.0 伝達：定義されたシステム安全性方針を承認されたユーザーへ伝達する
• 3.0 Procedures: The entity uses procedures to achieve its documented system security objectives in accordance with its defined policies.
• 3.0 手順：定義され たポリシーに基づいて、その文書化されたシステムの安全性目標を達成するために手順を利用する
• 4.0 Monitoring: The entity monitors the system and takes action to maintain compliance with its defined system security policies.
• 4.0 監視：システムを監視し、行動することで定義された安全性方針を守ることを維持する。

今回のポイントは、

• シ ステムの保護にはアクセスの限定が必要である。
• 安全性の原則と基準にはポリシー、伝達、手順、監視の観点がある

だ と思われます。

Principles and Criteria

引き続き、勝手訳です。今回からPrinciples and Criteriaの章に入ります。

Principles and Criteria（原則と基準）

• .14 The Trust Services Principles and Criteria are presented in a two-column format. The first column identifies the criteria for each principle—the attributes that the entity must meet to be able to demonstrate that it has achieved the principle. The second column provides illustrative controls. These are examples of controls that the entity might have in place to meet the criteria. Alternative and/or additional controls can also be used. Illustrative controls are presented as examples only. It is the practitioner’s responsibility to identify and document the policies, procedures, and controls actually in place at the entity under examination.
• .14 信用提供の原則と基準は2列の書式で呈示されている。1列目は原則に対する基準を特定する。－それは原則の達成を示すことが可能であることを満たす属性で ある。2列目は統制の実例を提供する。これらは基準に合致する代わりに持っても良い統制の例である。相互に、そして／または、追加的な統制を使うことも可能である。統制の実例は文書で示された方針や手続、そして、実地評価である。

• .15 As discussed earlier, in certain e-commerce environments, the terms and conditions, including the rights, responsibilities, and commitments of both parties, are implicit in the user’s completion of a transaction on the Web site. To meet the underlying intent of the “Communications” category of the criteria in such circumstances, the policies and processes required by each of the “Communications” criteria should be disclosed on the entity’s Web site. Examples of such disclosures for each of the Trust Services principles are contained in Appendix A [paragraph .42].
• .15 先に議論されたように、特定のEコマースの環境においては、権利や責任そして両者の約束を含む条件が、ユーザーのWebサイトでの取引の完了にて黙示され ている。そのような環境の基準である"コミュニケーション"分野での基本目的に見合うために、"コミュニケーション"基準により要求される方針と手順は、Webサイトにて開示されるべきである。信用提供の原則ごとのそのような開示例は付録A（42節）に収録されている。

今回の ポイントは、

• 原則に対して基準があり、基準に対して実例がある。
• 実例に従うことにより基準は満たされる。
• EコマースのWebサイトでは"コミュニケーション"の基準により要求される方針と手順が開示されるべきである。

だと思われます。

Trust Services—Offerings of SysTrust and WebTrust

Trust Services—Offerings of SysTrust and WebTrust（信用提供－SysTrustとWebTrustの提供）

• .12 SysTrust and WebTrust are two specific services developed by the AICPA that are based on the Trust Services Principles and Criteria. The Trust Services Principles and Criteria may, however, be used to offer services other than SysTrust and WebTrust.
• .12 SysTrustとWebTrustはAICPAによって開発された二つの具体的なサービスである。それは信用提供の原則と基準に基づいている。しかしな がら、信用提供の原則と基準は、SysTrustとWebTrust以外のサービスの提供に用いられるかもしれない。

• .13 When a practitioner intends to provide assurance from SysTrust or WebTrust engagements, he or she needs to also follow the performance and reporting standards set forth in Chapter 1, “Attest Engagements,” of SSAE No. 10, Attestation Standards: Revision and Recodification (AICPA, Professional Standards, vol.1, AT sec. 101), as amended. In order to issue SysTrust or WebTrust reports, CPA firms must be licensed by the AICPA.
• .13 実務家がSysTrustとWebTrust契約から保証を提供しようとする際、彼または彼女は、第1節で打ち出されているパフォーマンスと報告の標準 と、立証契約の標準の声明（SSAE）No.10の"立証契約”と立証標準：改正版である「改訂と再編」（AICPA、専門家の標準 vol.1、AT ｓｅｃ. 101）にも従う必要がある。SysTrustとWebTrustの報告書を発行するために、公認会計士法人はAICPAに認可されなければならない。

今 回のポイントは、

• 信用提供の原則と基準はSysTrustとWebTrust以外にも利用される。
• 保証業務を 行うにはパフォーマンスと報告の標準と、立証契約の標準にも従う必要がある。
• SysTrustとWebTrustの報告書を発行する公 認会計士法人はAICPAの認可が必要である。

Foundation for Trust Services—Trust Services Principles and Criteria

引き続き、勝手訳です。

Foundation for Trust Services—Trust Services Principles and Criteria（信用提供の基礎—信用提供の原則と基準）

• .09 The Trust Services Principles and Criteria set forth herein are organized into four broad areas:
• a. Policies. The entity has defined and documented its policies(fn 1) relevant to the particular principle.
• b. Communications. The entity has communicated its defined policies to authorized users.
• c. Procedures. The entity uses procedures to achieve its objectives in accordance with its defined policies.
• d. Monitoring. The entity monitors the system and takes action to maintain compliance with its defined policies.
• fn 1 As noted in paragraph .07, the term policies refers to written statements which communicate management's intent, objectives, requirements, responsibilities, and/or standards for a particular subject. Some policies may be explicitly described as such, being contained in policy manuals or similarly labeled documents. However, some policies may be contained in documents without such explicit labeling, including for example, notices or reports to employees or outside parties.
• .09 信用提供の原則と基準は以下の4つに体系化される。
• a. 方針。特定の原則に関連したその方針（fn 1）が定義され記述される。
• b. 伝達。定義された方針が許可された利用者へ伝達される。
• c. 手続。定義された方針に従い目的を達成するために手続が使われる。
• d. 監視。システムを監視し、その定義された方針により法を守ることを維持する行動をとる。
• fn 1 .07節に書かれているように、「方針」という用語は記述された声明のことである。声明とは経営者の意思や目的や要求や責任、または／あるいは特定の課題 に対する標準の伝達である。いくつかの方針は明確に、方針マニュアルや同様に標識した文書として記述されているものに含ま れ るかもしれない。しかしならが、いくつかの方針はそのような明確な標識されていない、例えば、注意や従業員または外部への報告に含まれるかもしれない。

• .10 A two-column format has been used to present and discuss the criteria. The first column presents the criteria—the attributes that the entity must meet to be able to demonstrate that it has achieved the principle. The second column provides illustrative controls. These are examples of controls that the entity might have in place to conform to the criteria. Alternative and additional controls may also be appropriate. In addition, examples of system descriptions for both e-commerce and non-e-commerce systems are included in Appendix A [paragraph .42] and Appendix B [paragraph .43], respectively, and Appendix A [paragraph .42] also includes sample disclosures for e-commerce systems.
• .10 基準を示し議論するために2列の書式が使用されてきた。1列目は基準を表す。－それは原則を達成するに合致する属性である。2列目は統制の実例を提供す る。これらは基準の代わりに従うべき統制の例である。相互のそして付加的な統制も該当する。加えて、ｅコマースとｅコマース以外の両方のシステム記述の実 例は付録Ａ（42節）と付録Ｂ（43節）それぞれに、そして付録Ａ（42節）はｅコマースシステムの開示例も含む。

• .11 The following principles and related criteria have been developed by the AICPA/CICA for use by practitioners in the performance of Trust Services engagements such as SysTrust and WebTrust.
• a. Security. The system (fn 2) is protected against unauthorized access (both physical and logical).
• b. Availability. The system is available for operation and use as committed or agreed.
• c. Processing integrity. System processing is complete, accurate, timely, and authorized.
• d. Confidentiality. Information designated as confidential is protected as committed or agreed.
• e. Privacy. Personal information (fn 3) is collected, used, retained, and disclosed in conformity with the commitments in the entity’s privacy notice and with criteria set forth in Generally Accepted Privacy Principles issued by the AICPA/CICA (found in Appendix D [paragraph .45]).
• fn 2 A system consists of five key components organized to achieve a specified objective. The five components are categorized as follows:
  (a) infrastructure (facilities, equipment, and networks), (b) software (systems, applications, and utilities), (c) people (developers,
  operators, users, and managers), (d) procedures (automated and manual), and (e) data (transaction streams, files, databases, and tables).
• fn 3 Personal information is information that is, or can be, about or related to an identifiable individual.
• .11 以下の原則と関連する基準は、AICPA/CICAによって、実務家がＳｙｓＴｒｕｓｔとＷｅｂＴｒｕｓｔといった信用提供契約で活躍する際に利用される ために開発された。
• a. 安全性。システム(fn 2)は未承認のアクセス（物理的論理的の双方）に対して守られている。
• b. 可用性。システムは約束または合意された操作し利用することができる。
• c. 処理の完全性。システムの処理は完全であり、正確であり、適時であり、承認されている。
• d. 機密性。情報は約束または合意されたとおりに機密が保護されていることを示されている。
• 秘匿。個人情報(fn 3)は対象の秘匿注意事項と一般に受け入れられ従うべきAICPA/CICA の秘匿原則(付録D [45節])の約束と一致して、収集され、利用され、保持され、そして開示される。
• fn 2 システムは特定の目的を達成するために組織された5つのキーコンポーネントから成る。5つのコンポーネントは以下のように分類される。(a)インフラ（事 務所設備、機器、そしてネットワーク）、(b)ソフトウェア（システム、アプリケーション、そしてユーティリティ）、(c)人（開発者、オペレーター、 ユーザー、そして監督者）、(d)手続（自動と手動）(e)データ（取引の流れファイル、データベース、そしてテーブル)
• fn 3 個人情報とは個人を特定するまたは個人の特定に関連する（あるいは、するこ とが可能な）情報である。

相変わらず、日本語にしても難解ですが、ポイントは、

• 信 用提供の原則は「方針」、「伝達」、「手続」、「監視」の４つである。
• 基準は実例とセットである。
• 信用提供の原則に 関連した基準には「システムの安全性」、「システムの可用性」、「情報の機密性」、「個人情報の秘匿」がある。

だと思われます。