処理の完全性の原則と基準の表の基準1.3

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は処理の完全性の原則と基準の表の基準1.3です。

Criteria 1.3

基準 1.3Responsibility and accountability for the entity’s system processing integrity and related system security policies, and changes, updates, and exceptions to those policies, are assigned.

システム処理の完全性と関連するシステムセキュリティーポリシーと変更、更新、ポリシーの例外に対する責務と説明責任が割り当てられる。

Illustrative Controls

統制の実例
Management has assigned responsibilities for the implementation of the entity’s processing integrity and related security policies to the chief information officer (CIO). Others on the executive committee assist in the review, update, and approval of the policies as outlined in the executive committee handbook.

経営者は、最高情報責任者（ＣＩＯ）への処理の完全性と関連するセキュリティポリシーについて、実装の責任を割り当てられる。役員会の別の者はレビューや更新やポリシーの改善を役員会ハンドブックに則り、支援する。
Ownership and custody of significant information resources (for example, data, programs, and transactions) and responsibility for establishing and maintaining system processing integrity and related security over such resources is defined.

重要な情報源（例：データ、プログラム、取引）の所有と監護とそれらのリソースに関するシステム処理の完全性と関連するセキュリティの確立と維持の責任が定義されている。

処理の完全性の原則と基準の表の基準1.2

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は処理の完全性の原則と基準の表の基準1.2です。

Criteria 1.2
基準 1.2The entity’s system processing integrity and related security policies include, but may not be limited to, the following matters:
システム処 理の完全性と関連するセキュリティポリシーは以下の事柄を含む（しかし限定されるわけではない）：
a. Identification and documentation of the system processing integrity and related security requirements of authorized users.
a. システム処理の完全性と関連するセキュリティの権限のあるユーザーからの要求に対する識別と文書化
b. Allowing access, the nature of that access, and who authorizes such access.
b. アクセスの許可、アクセスの種類、誰がそのようなアクセスを認めるのか
c. Preventing unauthorized access.
c. 権限のないアクセスの防御
d. The procedures to add new users, modify the access levels of existing users, and remove users who no longer need access.
d. 新規ユーザーを追加する、既存ユーザーのアクセスレベルを変更する、もはやアクセスする必要のないユーザーを削除する手順
e. Assignment of responsibility and accountability for system　processing integrity and related security.
e. システム処理の完全性と関連するセキュリティーへの責務と説明責任の割り当て
f. Assignment of responsibility and accountability for system changes and maintenance.
f. システム変更と保守の責務と説明責任の割り当て
g. Testing, evaluating, and authorizing system components before implementation.
g. システムコンポーネントの実装前のテスト、評価、承認
h. Addressing how complaints and requests relating to system processing integrity and related security issues are resolved.
h. どのようにシステム処理の完全性と関連するセキュリティ事項に対する不平や要望が解決されるかの取り組み
i. The procedures to handle errors and omissions and other system processing integrity and related security breaches and other incidents.
i. エラーと怠慢と他のシステム処理の完全性と関連するセキュリティ侵害と事件を取り扱う手順

j. Provision for allocation for training and other resources to support its system processing integrity and related system security policies.

j. 訓練とシステム処理の完全性と関連するシステムセキュリティーポリシーをサポートする他の資源の割り当ての供給

k. Provision for the handling of exceptions and situations not specifically addressed in its system processing integrity and related system security policies.

k. 例外およびシステム処理の完全性と関連するシステムセキュリティポリシーには具体的に述べられていない状況の取り扱いの供給
l. Provision for the identification of, and consistency with, applicable laws and regulations, defined commitments, service-level agreements, and other contracts.

l. 適用される法令と規則、定義された約束、サービスレベル合意、その他契約との一致と一貫性

Illustrative Controls

統制の実例
Management has assigned responsibilities for the implementation of the entity’s processing integrity and related security policies to the chief information officer (CIO). Others on the executive committee assist in the review, update, and approval of the policies as outlined in the executive committee handbook.

経営者は処理 の完全性と関連するセキュリティポリシーの実装の責任を最高情報責任者（ＣＩＯ）へ割り当てる。他の経営委員会のメンバーはレビューや更新、ポリシーの承認について経営委員会ハンドブックに則り支援す る。

Ownership and custody of significant information resources (for example, data, programs, and transactions) and responsibility for establishing and maintaining system processing integrity and related security over such resources is defined.

重要な情報源（例：データ、プログラム、取引）の所有と監護とそれらのリソースに関するシステム処理の完全性と関連す るセキュリティの確立と維持の責任が定義されている。
The entity’s documented processing integrity and related security policies contain the elements set out in criterion 1.2.文書化された処理の完全性と関連す るセキュリティポリシーは基準1.2で設定された要素を含む。

処理の完全性の原則と基準の表 基準1.0、1.1

Processing Integrity Principle and Criteria Table
処理の完全性の原則と基準の表
.24 System processing is complete, accurate, timely, and authorized.
.24 システム処理は完全で、正確で、適時で、許可されている。

Criteria 1.0
Policies: The entity defines and documents its policies for the processing integrity of its system.
基準 1.0
ポリシー：システムの処理の完全性のポリシーを定義し、文書化する。

Criteria 1.1
The entity’s processing integrity and related security policies are established and periodically reviewed and approved by a designated individual or group.
基 準 1.1
処理の完全性と関連するセキュリティーと関連するセキュリティ ポリシーが存在し、定期的に決められた個人またはグループによって確認され、承認される。

Illustrative Controls
統制の実例
The entity’s documented systems development and acquisition process includes procedures to identify and document authorized users of the system and their processing integrity and related security requirements.
User requirements are documented in service-level agreements or other documents.
文書化されたシステムの開発と獲得手順には、承認されたシステムのユーザーと 彼らの処理の完全性および関連するセキュリティ要求を特定し記録する手順が含まれる。
ユーザーからの要求はサービスレベル合意または他の文書に記 載される。
The security officer reviews security policies annually and submits proposed changes as needed for approval by the information technology (IT) standards committee.
セキュリティ執行役員 はセキュリティポリシーを年次に確認し、情報技術（IT）標準委員会が同意した変更案を提示する。

Processing Integrity Principle and Criteria .23

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回はProcessing Integrity Principle and Criteriaの.23 です。

.23 Processing integrity differs from data integrity. Processing integrity does not automatically imply that the information stored by the system is complete, accurate, current, and authorized. If a system processes information inputs from sources outside of the system’s boundaries, an entity can establish only limited controls over the completeness, accuracy, authorization, and timeliness of the information submitted for processing. Errors that may have been introduced into the information and the control procedures at external sites are typically beyond the entity’s control. When the information source is explicitly excluded from the description of the system that defines the engagement, it is important to describe that exclusion in the system description. In other situations, the data source may be an inherent part of the system being examined, and controls over the completeness, accuracy, authorization, and timeliness of information submitted for processing would be included in the scope of the system as described.　

.23　処理の完全性 はデーターの完全性と異なる。処理の完全性はシステムに保存された情報が完全であり、正確であり、最新であり、正規であることを自動的に意味しない。 あるシステムがシステムの境界外からの入力情報を処理する場合、処理に送られる情報の完全性、正確性、承認、適時性について限定的な統制のみとなる。情報や統制手続 に外部サイトから取り入れられ るエラーは典型的に統制外となる。
情報源が明確に、契約を定義したシステムの説明か ら除外されている場合、システムの説明に除外されていることを記述することが重要である。別の状況では、データー源は検討されているシステムの固有部分で あり、処理に送られた情報の完全性、正確性、承認、適時性についての統制は記述されたシステムの範囲に含まれるであろう。

Processing Integrity Principle and Criteria .22

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回はProcessing Integrity Principle and Criteriaの.22 です。

.22 The risks associated with processing integrity are that the party initiating the transaction will not have the transaction completed or the service provided correctly, and in accordance with the desired or specified request. Without appropriate processing integrity controls, the buyer may not receive the goods or services ordered, receive more than requested, or receive the wrong goods or services altogether. However, if appropriate processing integrity controls exist and are operational within the system, the buyer can be reasonably assured that the correct goods and services in the correct quantity at the correct price are received when promised. Processing integrity addresses all of the system components including procedures to initiate, record, process, and report the information, product, or service that is the subject of the engagement. The nature of data input in e-commerce systems typically involves the user entering data directly over Web-enabled input screens or forms, whereas in other systems, the nature of data input can vary significantly. Because of this difference in data input processes, the nature of controls over the completeness and accuracy of data input in e-commerce systems may be somewhat different than for other systems. The illustrative controls outlined in the following table identify some of these differences.

.22 処理の完全性に関するリスクとは、取引を開始した当事者が完全な取引を保持できない、または、正しくサービスが提供されない、そして欲求または特定の要求 の基づいていることである。適切な処理の完全性の統制なしでは、買い手は注文した商品やサー ビスを受け取ることができなかったり、要求より多いまたは不良な商品やサービスを受け取ることになるかも知れない。しかしながら、もし適切な処理の完全性 が存在し、システムで運用されていれば、買い手は約定すると正しい商品とサービスを適切な量の適切な価格で受け取ることを合理的に保証される。処理の完全性とは全てのシステムコ ンポーネントが関与の対象となる情報・製品・サービスの開始・記録・過程・報告手順を含むことを言う。ｅコマースシステムで入力されたデーターの性質は、典型的に、ユーザーがＷｅｂ対応の画面またはフォームで直接入力した データーを意味し、一方、他のシステムでは入力データーの性質は大幅に異なる。データー入力過程の違いによってｅコマースシステムでのデーター入力の完全 性と正確性の統制は他のシステムとは何か異なるかもしれない。統制の実例の概要の以下の表はこれらの差異を識別する。

Processing Integrity Principle and Criteria .21

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回はProcessing Integrity Principle and Criteriaの.21 です。

Processing Integrity Principle and Criteria
処理の完全 性の原則と基準

.21 The processing integrity principle refers to the completeness, accuracy, timeliness, and authorization of system processing. Processing integrity exists if a system performs its intended function in an unimpaired manner, free from unauthorized or inadvertent manipulation. Completeness generally indicates that all transactions and services are processed or performed without exception, and that transactions and services are not processed more than once. Accuracy includes assurances that key information associated with the submitted transaction will remain accurate throughout the processing of the transaction and the transaction or services are processed or performed as intended. The timeliness of the provision of services or the delivery of goods is addressed in the context of commitments made for such delivery. Authorization includes assurances that processing is performed in accordance with the required approvals and privileges defined by policies governing system processing.
.21 処理の完全性の原則と基準は完全性、正確性、適時性そしてシステム処理の権限について言及する。処理の完全性は、システムが意図した機能で動作し、不正または不注意な操作がなければ存在する。完全さは一般的に全ての取引とサービスが例外なく処理または動作されていることを示し、取引とサービスは2回以上処理さ れずに動作することを示す。正確性は、送信された取引に関連づけられた重要情報が取引の処理中正 確であることと取引またはサービスが意図した処理または動作をすることの保証を含む。サービスの提供または商品の配達の適時性は提供のためになされた約束の状況によって説明される。
承認は、処理が求められる承認とシステ ム処理を統括するポリシーにより定義された権限に基づき動作することの保証を含む。

基準 4.3

引き続 き、Trust Services Principles, Criteria and Illustrations for Security, Availability, Processing Integrity, Confidentiality, and Privacy (Including WebTrust® and SysTrust®)の勝手訳です。今回は可用性の原則と基準の表の基準 4.3です。

Criteria 4.3
Environmental and technological changes are monitored and their effect on system availability and security is assessed on a timely basis.
基準 4.3
環境と技術的な変更は監視され、それらのシステムの可用性とセキュリティへの影響は適時に評 価されている。
Illustrative Controls
統制の実例
The entity’s data center facilities include climate and environmental monitoring devices. Deviations from optimal performance ranges are escalated and resolved.データセンター施設には気候と環境の監視装置が含まれる。最適なパフォーマンスの範囲からの逸脱は上申され解決され る。
Senior management, as part of its annual IT planning process, considers developments in technology and the impact of applicable laws or regulations on the entity’s availability and related security policies.上級管理者は、年度IT計画策定過程の一部として、技術開発と適用される法令や 可用性の規則、関連するセキュリティポリシーへの影響を考慮する。
The entity’s customer service group monitors the impact of emerging technologies, customer requirements, and competitive activities.
顧 客サービスグループは新たな技術や顧客の要求、競合の活動の影響を監視する。