【46-03】緊急掲載：いわゆる日本版SOX法の実施基準
（公開草案）にみる情報セキュリティ対策のポイント

昨年11月22日、金融庁企業会計審議会内部統制部会より、「財務報告に係る内部統制の評価及び監査に関する実施基準（公開草案） 」（以下、実施基準案）が公表されました(*1)。この実施基準案は88ページにわたり、財務報告にかかる内部統制については「基本的枠組み」「評価および報告」「監査」の3つの項目で構成されています。特徴的なのは、現代企業においては『業務内容がITに大きく依存』しており、『組織内外のITに対し適切に対応することが、内部統制の目的を達成するために不可欠』とされた点でしょう。そのため、実施基準案の約6分の1 が、IT関係の内容となっています。
今回は実施基準案の内容を検証しつつ、特に情報セキュリティ対策について考えてみたいと思います。

(*1) 本記事が掲載される際には、既に実施基準が決定されている可能性がございますので、最新情報については、金融庁 のサイトをご確認下さい。

1. 実施基準案の内容
2. IT統制における情報セキュリティ対策
3. HPソリューション

1. 実施基準案の内容

実施基準案は前述の通り、企業における「内部統制の基本的枠組み」、経営者向けともいえる「評価および報告」、主に監査人向けの「監査」の3部構成となっています。

まず、「内部統制の基本的枠組み」では、内部統制の基本的要素として、(1)統制環境(2)リスクの評価と対応(3)統制活動(4)情報と伝達(5)モニタリング（監視活動）(6)IT（情報技術）への対応の6つを上げ、それぞれの構築ポイント16項目を列記しています。
特に、(6)のITへの対応については、「IT環境への対応」と「IT統制」について明記されており、IT統制については更に、全般統制と業務処理統制について具体的に触れられています。

また、「評価および報告」と「監査」では、金融商品取引法が求める財務報告の適正性確保に内容が限定されており、前者では、財務報告に係る全社的な内部統制に関する42の評価項目が例示されています。加えて、IT統制の評価についても具体的に記されています。
一方後者は、監査人が行うべき監査の評価内容、実施内容について説明されており、ここでも、IT統制について内部統制評価のポイントが例示されています。

≫ 各項目におけるIT統制のポイント (PDF 14KB)

2. IT統制における情報セキュリティ対策

さて、ここで、情報セキュリティに注目して、実施基準案の例から、いくつかの対策を考えてみたいと思います。
実施基準案の基本的枠組みでは、全般統制を整備するための具体例として、次の2つを挙げています。

(1)において、COBIT 4.0ではシステム開発の統制目標を規定しています。たとえば、アプリケーションセキュリティとアベイラビリティを定めた項目では、データ分類、組織の情報セキュリティ体制、リスクに対応してアプリケーションセキュリティとアベイラビリティを計画しなければならないとしています。また、システム変更についても統制目標が細かく示されています。
(2)については、主にアクセス管理についての統制目標が規定されています。特に、アイデンティティ管理(以下、ID管理)を定めた項目では、次の5つの統制目標をあげています（和訳は、日本ネットワークセキュリティ協会ワークグルーブによります）。

このように、COBIT統制目標を検証してみると、基準案の「アクセス管理等」と記されている点は単にアクセス管理だけを指しているのではなく、IDやパスワードといったID管理も包含して内部統制整備で検討すべきといえるでしょう。また、職務の分離のように、組織の体制や業務プロセスに関する整備作業も必要ですし、システムのみならず、物理的なアクセス制限など広義のアクセス管理といったことも考慮するのが望ましいでしょう。

3. HPのソリューション

セキュリティの一分野であったID管理ですが、以上のように、この実施基準案に示される金融商品取引法（財務報告にかかわる内部統制）の観点からも、早急に企業として実装する準備を進める必要があります。

HPでは、実施基準（案）に基づく内部統制整備を支援するソリューションをご提供しています。HPのソリューションによって、お客様の内部統制整備とIT統制における効率改善、最適化を実現できます。

〈基本計画〉

• 内部統制強化基本構想策定支援サービス

• 内部統制文書化支援サービス
• 統制文書管理システム構築
• 業務プロセス統制強化サービス
• IT全般統制アセスメントサービス

• 業務プロセス改革、業務処理統制支援サービス
• ERP統制要件設計支援サービス
• ID管理製品と導入支援サービス
• ITサービス管理製品と導入支援サービス

• 業務処理統制支援サービス
• IT全般統制モニタリング製品と導入支援サービス
• ILM製品と導入支援サービス

• HP OpenView Select Identity
• HP OpenView Select Access
• HP OpenView Select Audit
• HP OpenVIew Service Desk
• HP OpenView Compliance Manager

HP OpenView では、以上の製品群および他のHP OpenVIew 製品により、IT基盤としてのハードウェア、ソフトウェア、ネットワーク、アプリケーションサーバ、業務アプリケーション、Webポータルに加え、さらに、企業間取引（B2B）の情報アクセスをも網羅して、企業の成長と変化に対応できる柔軟性とスケーラビリティをあわせ持つアダプティブ・インフラストラクチャ実現を支援します。
また、特にＩＴ基盤においてはHP OpenViewによるID管理ソリューションが、各企業に適合したID管理機能をCOSOやCOBITに照らし合わせ、一連の管理サイクルをモデル化・自動化することで、効率的なID監査を実現、ITのリスクマネジメントにお役立ていただけます。　COSO、COBIT、ITILといった基準に対応しているほか、自社の基準に合わせた設定もできます。米国SOX法に対応した全般統制報告書支援製品である「HP OpenView Compliance Manager」との連携も可能です。

なお、HP教育サービスでは、「COBIT® Foundationコース」があらたに開設されました。あわせてご参照ください。

注記：本稿が作成されたのは、2006年12月20日です。パブリックコメントを受けての実施基準最終決定以前のものです。