読み込み中...
読み込み中...
AI生成の参考答案（架空）
IPA公式の合格答案ではありません。論述構成を学ぶために過去問AIが生成した架空の参考例で、合格を保証するものではありません。論述の骨格・業種事例の参考としてご活用ください。
近年、組織はSaaS／IaaS／PaaSなど多様なクラウドサービスを業務に活用しており、自組織の境界を越えた情報資産の取扱いが常態化している。クラウドサービスの利用は俊敏性・柔軟性・コスト最適化に資する一方で、責任分界の不明確化、設定ミスによる情報漏えい、サブプロセッサ連鎖の不可視化、サービス停止リスクなど、新たな統制課題を生じさせる。
業種を選択してください
私が携わったシステム監査の対象は、自動車部品メーカA社の本社及び国内3工場・海外2工場における、IoT／クラウドサービス利用全般である。A社は売上高約1,200億円、従業員数約2,800名を擁するグローバル企業であり、私はA社内部監査部に所属するシステム監査人として本監査の主任を担った。 A社のクラウド利用は、過去3年で急速に拡大しており、その背景にはDX推進による生産性向上とサプライチェーン最適化への強い経営コミットメントがあった。代表的なサービスとして、(1)製造現場のIoTデータ収集SaaS、(2)製品ライフサイクル管理（PLM）／CADクラウド、(3)サプライヤとの電子データ交換（EDI）／ポータル、(4)顧客関係管理（CRM）SaaS、(5)勤怠管理SaaS等、合計14サービスが基幹業務で稼働していた。さらに深刻な問題として、各工場が独自に契約しているIoTゲートウェイ用SaaSが約20件存在し、これらは情報システム部門の把握外のシャドーITとして運用されており、統制上の大きな懸念となっていた。 監査の背景として、3つの重要な動機があった。第1に、主要な欧州顧客からの監査において、CO2排出量や人権デューデリジェンスに関するデータ提供が義務化され、SaaS経由で取り扱うデータのガバナンス体制が急遽、経営課題として浮上した。特に、EUの企業持続可能性報告指令（CSRD）への対応が喫緊の課題となっていた。第2に、海外工場におけるクラウドアクセスが日本本社のセキュリティ規程外で運用されていた事象が監査委員会で指摘され、グローバルな情報セキュリティ統制の脆弱性が露呈した。第3に、IoTデータの中にはA社の競争力の源泉である製造ノウハウや知的財産が含まれており、サプライヤやクラウド事業者経由での情報漏えいリスクが経営層の強い懸念となっていた。これは、日本の不正競争防止法に基づく営業秘密保護の観点からも極めて重要であった。 私はこれらの背景を踏まえ、IoT／クラウド利用のガバナンス全般を網羅的に監査対象と設定し、特にリスクの高い領域に焦点を当てる方針を立てた。
リスクアセスメントは次の3工程で実施した。第1工程で利用実態を可視化するため、情報システム部門の契約台帳、経費精算データ、そしてネットワークログの3つのソースを突合し、利用サービス計34件（うち工場独自契約20件）を特定した。この際、情報システム部門が把握していないシャドーITの多さに驚き、監査の重要性を再認識した。**一つ目の困難**として、各工場の独自契約サービスに関する情報収集が難航した。工場側は「生産効率向上に必要なもの」として情報開示に抵抗を示したため、**対応**として、情報システム部門長と協力し、経営層からの「全クラウドサービス利用状況の可視化」という指示を背景に、各工場長に監査への協力を要請する公式文書を発行し、データ提供を促した。これにより、約2週間の遅延はあったものの、全サービス情報の収集に成功した。 第2工程では、リスク評価軸として「機密性」「可用性」「完全性」「規制対応（特にEU一般データ保護規則GDPRやCSRD）」「海外データ移転リスク（データ主権やクロスボーダーデータ転送規制）」を設定し、各サービスを5段階でスコアリングした。この評価軸は、経営層へのヒアリングと、日本情報システム監査協会（JASA）のシステム監査基準を参考に策定した。第3工程で、スコア上位8サービスを重点監査対象と決定した。これにより、限られた監査リソースを最もリスクの高い領域に集中投下することが可能となった。 特定した重点監査項目は、(a)IoTデータ収集SaaSにおける製造ノウハウの保護状況（特にアクセス制御と暗号化）、(b)海外工場のクラウドアクセスにおける日本本社セキュリティ規程との整合性、(c)シャドーIoTゲートウェイの統制不備（契約管理とセキュリティ設定）、(d)欧州企業持続可能性報告指令（CSRD）対応データの真正性確保（データリネージと改ざん防止）の4点である。これらの項目は、経営層が特に懸念していた情報漏えいリスクと、コンプライアンスリスクに直結するものであった。 監査手続は次のように選択した。(a)IoTデータについては、対象SaaSのセキュリティ設定（データ暗号化方式、アクセス制御リスト、ログ保管期間と内容）の現地確認と、過去6か月のアクセスログ約120万件のサンプル分析を専門ツールを用いて実施し、不審なアクセスパターンがないか検証した。(b)海外工場については、アクセス権限台帳と離職者リストの突合（台帳上有効172アカウント中、退職済み6アカウントが残存することを発見）、現地工場での運用ヒアリング、および現地ネットワークのアクセスログ分析の3手続を組み合わせた。(c)シャドーIoTゲートウェイについては、工場ネットワークの送出先IPログと、情報システム部門が把握する正規契約書、そして工場側から提出された独自契約書の突合により、未登録ゲートウェイ8件を発見し、それぞれの契約内容とセキュリティ設定をレビューした。(d)CSRD対応データについては、データ生成元（センサ）から報告書出力までのデータ系譜（データリネージ）を辿る手続を採用し、データの改ざん検知機能や監査証跡の不十分なポイント3箇所を特定した。特に、一部のデータ加工プロセスにおいて、手動でのデータ修正が行われており、その履歴が適切に記録されていないことが判明した。 手続選択の判断軸として、「網羅性（全サービスを把握し、リスクの高いものに集中）」「説得力（経営層・現場が納得する客観的根拠と証拠）」「コスト（限られた監査リソースの最適配分と効率的な実施）」の3点を意識した。具体的には、リスクスコア上位への集中投下と、全量監査が困難なログデータに対するサンプル監査・専門ツールを用いたログ分析を併用することで、監査の深度と効率性の両立を図った。この結果、監査工数を当初計画の10%削減しつつ、網羅的なリスク評価を実現できた。
識別した監査上の指摘事項は重要度順に3点である。 指摘1は「シャドーIoT／IoTゲートウェイのガバナンス不備」である。工場独自契約の8件について、契約条項レビュー、データ保管国の確認、退職者アカウント削除手順のいずれも未整備であり、情報漏えいリスクやコンプライアンス違反リスクが顕在化していた。特に、これらのサービスの一部は日本国外にデータが保管されており、EU一般データ保護規則（GDPR）や各国のデータ主権関連法規への対応が不十分であった。改善提言として、(a)情報システム部承認を経由するクラウドサービス申請統制プロセスの確立、(b)既存利用サービスの正規化を6か月以内に完了する移行計画（契約内容の見直し、セキュリティ基準への適合、情報システム部門による一元管理への移行）を提示した。 指摘2は「海外工場における規程適用の空白とアカウント管理不備」である。日本本社のセキュリティ規程が海外法人に適用されておらず、退職者アカウント残存6件が確認された。これにより、不正アクセスや情報漏えいのリスクが継続的に存在していた。**二つ目の困難**として、海外工場側が「現地の商習慣と異なる」として、日本本社の規程適用に強く抵抗した。**対応**として、グローバルセキュリティ基準の必要性を経営戦略と結びつけ、「グローバルサプライチェーン全体のサイバーレジリエンス強化」という視点から、現地工場長と本社経営層を交えた議論の場を設け、最終的に本社が主導する形でグローバル規程への一本化の合意を取り付けた。改善提言として、(a)海外法人を含むグローバルセキュリティ規程への一本化と、それに伴う現地運用の見直し、(b)四半期ごとのアカウント棚卸の自動実装と、人事システムとの連携による離職者アカウントの即時停止メカニズムの導入、を提示した。 指摘3は「欧州企業持続可能性報告指令（CSRD）対応データの真正性確保不足」である。センサデータの改ざん検知機能や監査証跡が不十分なポイント3箇所が特定され、規制違反リスクと顧客監査での指摘リスクが併存していた。特に、データ加工プロセスにおける手動修正の履歴が不完全であったため、データ信頼性が損なわれる可能性があった。改善提言として、(a)データ系譜（リネージ）全体にわたる改ざん検知設計の導入（ブロックチェーン技術やハッシュ値検証の検討を含む）、(b)CSRD対応データの社内責任者明確化と、データガバナンス委員会の設置、を提示した。 監査結果の伝達では3つの工夫を行った。第1に、指摘ごとに「事実→根拠→影響→改善提言」を1ページに圧縮した経営層向けサマリと、技術的詳細を別添する技術詳細書の二段構えとし、経営層と現場で異なる粒度で受け止め可能とした。これにより、経営層は迅速に全体像を把握し、現場は具体的な改善策を検討できた。第2に、海外工場の指摘については、現地法人の工場長に直接報告会を開き、現地の文化や商習慣を考慮した上で議論を深め、現地経営判断と日本本社の意思決定を同期させた。これにより、改善活動へのコミットメントを強化できた。第3に、改善提言ごとに目標期限と責任部門を明示した「改善計画書」テンプレートを監査報告書とセットで提示し、監査後の改善活動の実効性を担保した。このテンプレートには、進捗状況を追跡するためのKPI設定項目も盛り込んだ。これらの工夫により、監査報告会後の改善活動着手率は95%に達し、特にシャドーITの正規化においては、約2.4億円の潜在的リスク（情報漏えいによる損害賠償・ブランド毀損）を回避する効果が見込まれている。また、海外工場でのセキュリティ規程適用により、グローバル全体での情報セキュリティレベルが平均15%向上したと評価された。 この経験から私が得た本質的な学びは、グローバル製造業のシステム監査においては『シャドーITとデータ域外移転規制の同時進行』を監査前提の独立変数として継続評価する必要があるとの確信である。私は今後、IATF16949・不正競争防止法・GDPR・CSRDの継続遵守を担保しつつ、各国データ規制動向と海外工場ガバナンスを統合的に評価する監査姿勢を堅持したい。
出題参考: IPA 情報処理技術者試験
私が携わったシステム監査の対象は、準大手ゼネコンB社の本社及び全国15営業所における、クラウドサービス利用全般である。B社は売上高約3,800億円、従業員数約2,800名で、私はB社内部監査室に所属するシステム監査人として本監査の主任を担った。 B社のクラウド利用は、建設DX推進の一環で過去3年急速に拡大していた。代表的なサービスとして、(1)BIM／CIMクラウド、(2)現場写真管理SaaS、(3)施工管理／工程管理SaaS、(4)外注・サプライヤとの取引SaaS、(5)勤怠・労務管理SaaS等、合計16サービスが稼働していた。これらのサービスは、設計から施工、維持管理に至る建設プロジェクトの全ライフサイクルを効率化し、競争力強化に寄与すると期待されていた。しかし、各現場が独自に契約しているクラウドが約25件存在し、情報システム部門の把握外のシャドーITとなっていた。これにより、セキュリティリスクやコンプライアンス違反のリスクが増大していた。 監査の背景として3つの動機があった。第1に、発注者（公共・民間）からBIM／CIMモデルの取扱いに関するセキュリティ要請が強化され、特に国土交通省が定める「BIM／CIM活用ガイドライン」に準拠した図面情報の取扱統制が問題となった。設計図面や施工計画といった機密性の高い情報がクラウド上で適切に管理されているか、そのアクセス権限やデータ保管場所が不明確であった。第2に、外注先従業員（一次下請）がクラウドにアクセスする状況が経営層の把握外で広まっており、ライセンス管理・離職者管理の実態が不明であった。これにより、契約終了後のアクセス残存リスクや、不正アクセスによる情報漏えいリスクが懸念された。第3に、建設業の働き方改革関連法対応で勤怠SaaSの集計データ正確性が労働基準監督署の検査対象となり得る状況であった。特に「建設業法」に基づく適正な労働時間管理が求められる中で、勤怠データの信頼性は喫緊の課題であった。 私はこれらを背景として、クラウド利用全般のガバナンスを網羅的監査対象と設定し、B社の事業目標達成とリスク低減に貢献することを目指した。
リスクアセスメントは3工程で実施した。第1工程で利用実態を可視化するため、情報システム部門の契約台帳、経費精算データ、ネットワークログを突合し、利用サービス計41件を特定した。これにより、従来の把握外であったシャドーITの実態が明らかになった。第2工程でリスク評価軸を設定し、各サービスをスコアリングした。評価軸は、機密性（設計図面や顧客情報等の重要度）、可用性（システム停止による事業影響度）、完全性（データ改ざんリスク）、法令遵守（建設業法、労働基準法、個人情報保護法等の関連法規への適合性）、外注関連リスク（外注先のアクセス管理、契約管理）の5点とした。スコアリングは5段階評価で行い、各リスク軸の重み付けも実施した。第3工程で、スコアリング結果に基づき、リスクレベルが高いと判断された上位9サービスを重点監査対象と決定した。 特定した重点監査項目は、(a)BIM／CIMクラウドにおける図面情報の漏えい防止統制、(b)外注先アカウント管理の妥当性、(c)シャドーITに係るガバナンス不備、(d)勤怠SaaSの集計ロジックの正確性、の4点である。これらの項目は、B社の事業継続性、コンプライアンス、および社会的信用に直接影響を及ぼす可能性が高いと判断した。 監査手続は次のように選択した。(a)BIM／CIMでは、外部公開設定の状況、閲覧者ログの詳細、データ保管国の特定（特に海外サーバ利用の有無）の3点を確認し、過去3か月のダウンロードログ約8万件のサンプル分析を実施した。これにより、不適切な情報共有設定や、権限外アクセス試行の兆候を検出した。(b)外注先アカウントについては、現場別アカウント台帳と契約終了現場リストの突合により、契約終了後も有効残存している外注アカウント12件を発見した。これらのアカウントは、情報漏えいや不正アクセスの潜在的な経路となり得た。(c)シャドーITについては、本社・現場ネットワークの送出先IPログと情報システム部門の契約書突合により、未登録サービス18件を発見した。これらのサービスは、セキュリティパッチの適用状況やデータバックアップ体制が不明であり、重大な脆弱性を抱えている可能性があった。(d)勤怠SaaSの集計ロジックについては、再計算テスト（直近3か月の代表的な5現場分の元データから手計算と突合）を実施し、現場手入力データの整合性に課題があることを発見した。特に、時間外労働の計算ロジックに一部誤りがあり、労働基準法に基づく賃金計算に影響を及ぼす可能性が指摘された。 手続選択の判断軸として、「網羅性」「説得力」「現場負荷の最小化（建設現場は監査対応コストが大きく、業務への支障を最小限に抑える必要がある）」の3点を意識し、ログ分析中心の効率的手続を選んだ。特に、現場へのヒアリングや立ち入り調査を極力減らし、既存のシステムログやデータ分析に注力することで、現場の協力を得やすくした。 監査推進過程における困難な点として、一つ目は、シャドーITの特定における情報収集の困難さがあった。情報システム部門が把握していないサービスが多数存在し、現場からの情報提供も抵抗感が強かった。これに対し、経費精算システムの利用明細やネットワークログ分析を徹底し、客観的なデータに基づいて利用サービスを特定する手法を採った。これにより、現場担当者も納得せざるを得ない状況を作り出し、最終的に18件の未登録サービスを特定できた。二つ目は、BIM／CIMクラウドのアクセスログ解析の複雑性である。ログデータが膨大で、かつフォーマットもサービスごとに異なり、手作業での分析は非現実的であった。これに対し、情報システム部門と連携し、ログ解析ツールを一時的に導入することで、効率的なデータ抽出と分析を可能とした。これにより、約8万件のダウンロードログから、不審なアクセスパターンを短期間で洗い出すことに成功した。
識別した監査上の指摘事項は重要度順に3点である。 指摘1は「BIM／CIMクラウドにおける図面情報のアクセス統制不備」である。一部プロジェクトで外注先の閲覧範囲が必要範囲を超えて広く設定されており、競争上機密性の高い意匠情報への不要アクセスが可能であった。具体的には、過去3か月で機密性の高い設計図面に対して、権限外の外注先アカウントからの閲覧が月平均で約25件発生していた。これは、国土交通省の「BIM／CIM活用ガイドライン」における情報セキュリティ管理の原則に反する状態であった。改善提言として、(a)プロジェクト別の役割ベースアクセス制御（RBAC）の徹底と、その設定プロセスの標準化、(b)四半期ごとのアクセス権限棚卸の自動化と、棚卸結果の責任者によるレビューを提示した。これにより、アクセス権限の適正化と継続的な維持を目指す。 指摘2は「外注先アカウントの管理不備」である。契約終了現場の外注アカウント12件が残存し、不正アクセスのリスクと情報漏えいリスクが併存していた。これらのアカウントは最長で契約終了後1年半も有効な状態にあり、年間で約2.4億円相当の設計情報漏えいリスクを抱えていると試算された。これは「建設業法」における下請け業者管理の観点からも問題であった。改善提言として、(a)契約終了と連動したアカウント自動失効の仕組み導入（契約管理システムとクラウドサービスのアカウント管理システムを連携）、(b)外注先別の利用責任者明確化と、その責任者によるアカウント棚卸の義務付け、を提示した。これにより、契約終了後のアカウント残存リスクを年間で95%削減することを目指す。 指摘3は「勤怠SaaSの集計データ正確性に係る統制不備」である。現場手入力データの不整合が労働基準法遵守の説明責任に支障を来し得る状態であった。特に、時間外労働の計算において、入力ミスや端数処理の不統一により、一部従業員で月平均2時間の賃金計算誤差が発生していた。これは「労働基準法」に基づく適正な賃金支払いの原則に反する。改善提言として、(a)現場入力時のリアルタイム妥当性検証ロジックの導入（例：入力時間帯の異常値チェック、休憩時間の自動挿入）、(b)現場別の月次データ精査責任の明確化と、情報システム部門による定期的なデータ監査の実施、を提示した。これにより、勤怠データの正確性を99%以上に高めることを目標とした。 監査結果の伝達では3つの工夫を行った。第1に、指摘ごとに「経営層向けサマリ」と「現場部長向け詳細」の二段構えで報告し、現場のリアリティに沿った改善活動を促した。経営層向けにはリスクの財務的影響や法規制遵守の重要性を強調し、現場部長向けには具体的な改善手順や担当者を明確にした。第2に、外注先アカウント指摘については、外注業界団体への一般的注意喚起としても活用可能な「ベストプラクティス文書」の形式で別途整理し、業界全体への情報セキュリティレベル向上への貢献を可能とした。この文書は、B社の信頼性向上にも寄与すると考えられた。第3に、改善計画書テンプレートを監査報告書とセットで提示し、改善期限と責任者を明示した。これにより、改善活動の進捗管理を容易にし、実効性のある改善を後押しした。 監査推進過程における困難な点として、一つ目は、現場からの改善提言への抵抗感である。特に勤怠SaaSの入力改善については、現場の業務負担増を懸念する声が上がった。これに対し、改善提言が最終的には現場の業務効率化とコンプライアンス遵守に繋がることをデータで示し、さらに改善策の一部を自動化することで、現場の負担を最小限に抑える提案を行った。二つ目は、経営層への報告におけるリスクの定量化の難しさである。シャドーITやアクセス権限不備が具体的にどの程度の損害に繋がり得るのかを明確にすることが求められた。これに対し、過去の類似事例や業界平均のデータを用いて、潜在的な情報漏えいによる損害額やコンプライアンス違反による罰金リスクを試算し、具体的な数値で経営層に提示することで、改善の必要性を強く訴えることができた。この結果、経営層は提言を受け入れ、改善活動を強力に推進する体制を整えることを決定した。 この経験から私が得た本質的な学びは、建設業のシステム監査においては『現場負担とコンプライアンス遵守のトレードオフ』を監査前提の独立変数として継続評価する必要があるとの確信である。私は今後、改正建設業法・労働基準法・建設キャリアアップシステム運用要領・国土交通省BIM/CIM活用ガイドラインの継続遵守を担保しつつ、改善提言を現場業務効率化と統合的に設計する監査姿勢を堅持したい。
出題参考: IPA 情報処理技術者試験
私が携わったシステム監査の対象は、地方銀行C行の本部及び全支店における、SaaSを中心としたクラウドサービス利用全般である。C行は預金量約3.8兆円、行員約2,200名の地方銀行であり、地域経済の中核を担う存在として、銀行法・金商法・犯罪収益移転防止法に基づく厳格な情報セキュリティとコンプライアンス、ならびにFISC安全対策基準・PCI DSSへの継続準拠が求められている。私はC行内部監査部に所属するシステム監査人として、本監査の主任を担い、監査計画の策定から報告までを一貫して主導した。 C行のクラウド利用は過去4年間で急速に拡大していた。代表的なサービスとして、(1)顧客関係管理（CRM）／営業支援SaaS、(2)電子文書管理SaaS、(3)Web会議SaaS、(4)業務分析BI SaaS、(5)電子契約SaaSなど、合計18サービスが全行的に稼働しており、これらは情報システム部が契約・管理を把握していた。しかし、それに加えて、本部各部が業務効率化を目的として独自に契約している小規模SaaSが約25件存在し、これらは情報システム部の把握外のシャドーITとして潜在的なリスクを抱えていた。 本監査の背景には3つの強い動機があった。第1に、金融庁の「金融機関等におけるサイバーセキュリティに係る監督指針」の改定により、「クラウド利用に係るリスク管理態勢」が金融機関の重要監督事項に明確に位置付けられたことである。これにより、単なる利用状況の把握だけでなく、リスクアセスメントと統制の有効性評価が求められるようになった。第2に、前年度に同業他行で発生したサイバーインシデント事案で、クラウドサービスの設定不備が原因の情報漏えいが明らかになり、金融業界全体で自主点検要請が出されたことである。この事案は、設定ミスが直接的な情報漏えいに繋がりうることを示唆していた。第3に、気候関連財務情報開示タスクフォース（TCFD）およびプルーデンシャル規制庁（PRA）への対応において、クラウド事業者を経由するデータの系譜やデータ保管国の整理が、業務プロセスとして明確に要求されるようになったことである。これは、環境・社会・ガバナンス（ESG）の観点からもクラウド利用の透明性が求められるようになったことを意味する。 私はこれらの背景を踏まえ、C行のクラウド利用全般におけるガバナンス態勢を網羅的な監査対象と設定し、潜在リスクの顕在化防止と規制要件への適合性を検証することとした。
リスクアセスメントは、網羅性と効率性を両立させるために3つの工程で実施した。第1工程では、クラウドサービスの利用実態を徹底的に可視化した。情報システム部が管理する契約台帳、経費精算システム上のクラウドサービス関連支出、そしてネットワークログ（DNSクエリ、通信先IPアドレス）を突合分析することで、合計43件のクラウドサービス利用を特定した。この段階で、情報システム部が把握していなかったシャドーITが25件中23件であることが判明した。第2工程では、特定した全サービスに対し、リスク評価軸に基づいたスコアリングを実施した。評価軸は、情報セキュリティのCIA（機密性／可用性／完全性）に加えて、金融機関固有の「規制対応リスク」および「第三者リスク（サプライチェーンリスク）」を設定した。各軸について、サービスが取り扱うデータの内容、システム連携の範囲、事業継続性への影響度、契約形態、データ保管国などを詳細に評価し、5段階でスコアリングを行った。第3工程では、スコアリング結果に基づき、リスクスコア上位10サービスを重点監査対象として選定した。これにより、限られた監査リソースを最もリスクの高い領域に集中させることが可能となった。 特定した重点監査項目は、C行の事業目標とリスク許容度、そして金融機関としてのコンプライアンス要請を考慮し、以下の4点に絞り込んだ。(a)顧客個人情報を取り扱うSaaSにおける統制状況の評価、(b)クラウドサービスの設定不備を検出・是正する体制の有効性、(c)シャドーITに係るガバナンスの欠如とその影響、(d)クラウド事業者の第三者リスク（特にサブプロセッサ管理）への対応状況である。これらの項目は、金融庁の監督指針や業界のベストプラクティスと照らし合わせ、C行にとって喫緊の課題であると判断した。 監査手続は、これらの重点監査項目に対して、実効性と効率性を最大限に高めるように選択した。(a)顧客個人情報を取り扱うSaaSについては、契約書上のデータ暗号化要件、アクセス制御ポリシー、データ保管国に関する条項を文書で確認するとともに、実際に稼働しているシステムのセキュリティ設定と突合した。さらに、過去6か月間のアクセスログ約180万件を匿名化処理した上でサンプル分析を実施し、不適切なアクセスや異常なデータ転送がないかを検証した。(b)クラウドサービスの設定不備については、CSPM（Cloud Security Posture Management）ツールが生成する設定差分検出ログの過去12か月分を確認し、金融庁の「金融機関等におけるサイバーセキュリティ対策の強化について」で求められる設定基準からの逸脱がないか、また、検出された不備に対する是正期限超過案件がないかを抽出した。(c)シャドーITに関しては、ネットワーク送出先IPログと経費精算データを再度突合し、情報システム部未登録の23件のサービスについて、利用部署へのヒアリングを通じて利用目的、取り扱いデータ、契約内容を詳細に確認した。(d)第三者リスクについては、対象SaaS事業者のSOC2レポート（Type II）、ISO27001認証書、およびサブプロセッサ一覧を入手し、それらの年次更新状況と、C行の契約内容との整合性を確認した。 手続選択の判断軸として、「金融機関監督指針との整合（説明責任の担保）」「監査の網羅性」「監査リソースの最適配分」の3点を強く意識した。特に、ログ分析やCSPMツール活用を中核とすることで、手動監査では困難な膨大なデータの検証と継続的な監視を効率的に実現できると判断した。 推進過程における困難な点として、一つ目は、シャドーITの利用部署からの情報収集であった。各部署は業務効率化のために独自にサービスを導入しており、情報システム部への報告義務がないため、監査への協力体制が当初は不十分であった。これに対し、私は内部監査部長名で全部署に監査協力依頼文書を発出し、シャドーITがもたらす潜在的な情報漏えいリスクやコンプライアンス違反リスクを具体的に説明する説明会を複数回開催した。これにより、各部署の理解と協力を得ることができ、最終的には全てのシャドーITサービスに関する情報を収集できた。 二つ目の困難は、クラウド事業者のSOC2レポートやサブプロセッサ一覧の入手遅延であった。一部のSaaS事業者は、情報開示に時間を要したり、C行の求める形式での提供が困難であると回答してきた。この問題に対し、私は情報システム部および法務部と連携し、既存契約のレビューを実施し、情報開示に関する条項の強化を今後の契約更新時に盛り込むことを提言した。また、緊急措置として、入手困難な情報については、公開されている事業者のセキュリティポリシーや第三者評価機関のレポートを参照することで、代替的なリスク評価を実施した。これにより、監査スケジュールへの影響を最小限に抑えつつ、必要な情報を補完的に収集することができた。
識別した監査上の指摘事項は、C行の事業継続性とコンプライアンスに与える影響の重要度順に以下の3点である。 指摘1は「シャドーITのガバナンス不備」である。特定された台帳未登録の23サービス中、特に顧客個人情報を取り扱う6サービスにおいて、契約条項レビュー、データ保管国の確認、そして退職者アカウントの削除手順のいずれもが未整備であることが判明した。これにより、顧客情報の不正利用や情報漏えいのリスクが顕在化する可能性があり、金融庁の「個人情報保護に関するガイドライン」への違反リスクも高まっていた。改善提言として、(a)経費精算システムにおいてクラウドサービス利用申請を必須化し、情報システム部の事前承認を経由する統制プロセスの導入、(b)既存利用サービスの正規化計画を6か月以内に策定・実施し、全てのシャドーITを情報システム部の管理下に置く移行計画、を提示した。これにより、シャドーITによるリスクを年間2.4億円相当削減できると試算した。 指摘2は「責任共有モデルにおける空白領域の存在」である。クラウドサービスの設定変更時におけるセキュリティレビュー責任と、サブプロセッサ追加通知に対するリスク評価・承認の取扱責任が、情報システム部、利用部門、内部監査部の3部門間で不明確であり、空白領域となっていた。これにより、設定変更時のセキュリティリスク見落としや、サプライチェーンリスクの適切な評価ができていない状況であった。改善提言として、(a)クラウドサービス利用ガイドラインにRACIマトリクス（責任分担表）を追加し、各部門の責任所在を明確に文書化すること、(b)四半期ごとにCSPMツールで設定差分を自動検知し、責任部門にエスカレーションする運用を導入することで、設定不備の検出から是正までのリードタイムを82日から52日に短縮すること、を提示した。 指摘3は「金融庁監督指針との整合性に係る形式要件不備」である。C行のクラウド利用に係るリスク管理規程が、金融庁の「金融機関等におけるサイバーセキュリティに係る監督指針」の改定後にアップデートされておらず、書面化の形式要件を満たしていなかった。これは、規制当局への説明責任を果たす上で重大な不備であり、検査時に指摘を受ける可能性が高かった。改善提言として、(a)規程改定案を3か月以内に作成し、取締役会での承認を得ること、(b)改定された規程に基づき、金融庁検査対応の演習計画を策定し、定期的な訓練を実施すること、を提示した。 監査結果の伝達では、経営層および関係部門が迅速かつ的確な意思決定を行えるよう、3つの工夫を行った。第1に、各指摘事項について「経営層向けサマリ」と「監督指針との対応一覧」を併記した報告書を作成した。これにより、経営層は指摘の重要性と規制対応の必要性を一目で理解でき、意思決定を支援した。第2に、改善提言を「業界横展開可能なベストプラクティス」と「自行固有の運用変更」の2軸に整理し、業界団体への共有も視野に入れた構造とした。これにより、C行の改善活動が業界全体のセキュリティレベル向上にも貢献しうることを示した。第3に、具体的な改善計画書テンプレートを併せて提示した。このテンプレートには、目標設定、担当者、期限、進捗管理項目などが含まれており、改善活動の実効性を担保し、計画的な是正を促した。これらの工夫により、監査報告会での改善計画承認率は従来の68%から74%に向上し、迅速なリスク低減に繋がった。 この経験から私が得た本質的な学びは、金融機関のシステム監査においては『監督指針との対応マッピング』を監査報告の独立軸として体系設計する必要があるとの確信である。私は今後、銀行法・金商法・FISC安全対策基準・AML/CFTガイドラインの継続遵守を担保しつつ、業界横展開可能なベストプラクティスと自行固有の運用変更を2軸整理する監査姿勢を堅持したい。
出題参考: IPA 情報処理技術者試験
私が携わったシステム監査の対象は、全国展開する中堅小売D社の本部及び全店舗における、クラウドサービス利用全般である。D社は年商約2,400億円、店舗数約220店、従業員数約8,000名（パート含む）で、私はD社内部監査室に所属するシステム監査人として本監査の主任を担った。D社は、近年Eコマース事業の拡大と店舗DX推進を経営戦略の柱としており、その実現のためにクラウドサービスの導入を積極的に進めていた。 D社のクラウド利用は過去5年で急拡大しており、情報システム部門が把握しているだけでも代表的なサービスとして、(1)POSデータ分析SaaS、(2)需要予測／在庫管理SaaS、(3)EC基盤SaaS、(4)顧客CRM SaaS、(5)勤怠管理／シフト管理SaaS、(6)サプライヤEDIクラウド等、合計19サービスが稼働していた。しかし、これに加え、各エリア・各店舗が業務効率化や顧客サービス向上の名目で独自に契約している小規模SaaSが約30件存在し、情報システム部の把握外のシャドーITとなっていた。これらのシャドーITは、セキュリティリスクやデータガバナンスの欠如といった潜在的な問題を抱えていた。 監査の背景として3つの重要な動機があった。第1に、改正個人情報保護法施行に伴いCookie・第三者提供等の同意管理がEC・CRMで強化要請されており、D社の顧客データ取扱いの適法性確保が喫緊の課題となっていた。特に、オンライン行動履歴データや購買履歴データの適正な管理が求められていた。第2に、サプライヤEDIクラウド経由でサプライヤ機密情報（新商品情報、仕入れ価格情報など）の取扱責任が明確化され、契約条項のレビューが喫緊の課題であった。特に、サプライヤとの信頼関係維持と情報漏洩リスク回避が重要視された。第3に、店舗パートタイマーの勤怠データ正確性が労働基準監督署検査の対象となり得る状況であり、労働基準法遵守の観点から勤怠管理SaaSの信頼性確保が求められていた。これらの背景から、私はクラウド利用全般のガバナンスを網羅的監査対象と設定した。
リスクアセスメントは3工程で実施した。第1工程で利用実態を可視化するため、情報システム部が管理する契約台帳、経費精算システムでのクラウドサービス関連費用の抽出、およびネットワークログ分析による外部通信先の特定を突合し、合計49件のクラウドサービスを特定した。この際、情報システム部が把握していなかったシャドーITが22件発見された。第2工程では、特定した全サービスに対し、情報セキュリティ基本方針、個人情報保護規程、情報システム管理規程に基づき、機密性（個人情報、企業秘密の漏洩リスク）、可用性（サービス停止による業務影響）、完全性（データの正確性、改ざんリスク）、法令遵守（個人情報保護法、労働基準法、景品表示法等）、顧客影響（サービス品質低下、ブランドイメージ毀損）の5つのリスク評価軸でスコアリングを実施した。スコアリングは、リスク発生頻度と影響度を5段階で評価し、その積でリスク値を算出した。第3工程では、リスク値が上位9サービスを重点対象とした。この選定基準は、リスク値が一定閾値を超えるもの、または経営層が特に懸念を示していたサービスを含めることとした。 特定した重点監査項目は、(a)EC・CRMにおける個人情報・Cookie同意管理の妥当性、(b)サプライヤEDIにおける契約・データ取扱統制、(c)シャドーIT（特に店舗独自利用）の状況とリスク、(d)勤怠SaaSの集計データ正確性、の4点である。これらの項目は、D社の事業継続性、コンプライアンス、顧客信頼に直結する重要課題であった。 監査手続は次のように選択した。(a)個人情報・Cookie管理は、ECサイト上の同意取得画面の動作確認（特にオプトアウト機能の検証）、CRMでの同意状態と実際のメール配信実績の突合（同意のない顧客への配信有無の確認）、個人情報保護法に基づくデータ削除請求への対応ログ確認を実施した。(b)サプライヤEDIは、対象事業者が利用する全サプライヤとの契約書条項を網羅的にレビューし、データ保管国、サブプロセッサの開示状況、および緊急時のデータ返還・消去に関する条項の有無を確認した。(c)店舗独自シャドーITは、店舗ネットワークからの送出先IPアドレスと、情報システム部が管理する契約書の突合により、未登録の22件のシャドーITを発見した。さらに、これらのサービスが取り扱うデータの内容（顧客情報、従業員情報、販売情報など）をヒアリングにより特定した。(d)勤怠SaaSは、本部集計データと店舗手入力データの突合（直近3か月・5店舗のサンプル）により、残業時間、休憩時間、深夜勤務時間の正確性を検証した。 手続選択の判断軸として、「個人情報保護法、労働基準法、下請法との整合」「店舗運用負荷の最小化」「網羅性」の3点を強く意識した。特に、店舗への過度な負担を避けるため、ログ分析やシステム連携データ突合など、効率的な手続を優先した。また、リスクが高いと判断された項目については、より詳細な手続（例：サンプリング数の増加、関係者への追加ヒアリング）を実施した。 推進過程における困難の一つ目として、シャドーITの特定に際し、店舗からの情報収集が難航した点が挙げられる。店舗側は「業務効率化のため」という認識で独自サービスを導入しており、本部への報告義務の認識が希薄であった。これに対し、私は店舗責任者会議に直接参加し、シャドーITがもたらす情報漏洩リスクやコンプライアンス違反のリスクを具体事例を交えて説明し、情報提供の協力を依頼した。これにより、当初の想定よりも多くのシャドーITに関する情報を得ることができた。二つ目の困難は、サプライヤEDI契約のレビューにおいて、契約書が多岐にわたり、かつ専門的な法律用語が多く含まれていたため、短期間での網羅的な確認が困難であったことである。これに対し、私は法務部門と連携し、クラウドサービス利用に関する契約レビューの専門家である弁護士の協力を仰ぎ、効率的にレビューを進める体制を構築した。これにより、レビュー期間を当初計画の82日から52日に短縮することができた。
識別した監査上の指摘事項は重要度順に3点である。 指摘1は「EC・CRMにおけるCookie同意管理の不備」である。改正個人情報保護法（特に個人情報保護委員会による「個人情報の保護に関する法律についてのガイドライン（通則編）」）対応の同意取得が一部実装漏れがあり、第三者Cookie送出が同意なしで発生していた。これにより、顧客のプライバシー侵害リスクおよびD社への信頼失墜リスクが高まっていた。改善提言として、(a)EC・CRM全画面での同意取得フローの再点検と、同意管理プラットフォーム（CMP）の導入による一元管理の徹底、(b)同意状態と配信実績の整合性自動検証システムの構築による運用負荷軽減と確実性向上、を提示した。これにより、同意取得率を現状の68%から74%へ向上させることを目標とした。 指摘2は「サプライヤEDIクラウドにおけるデータ保管国の不明確性」である。一部サプライヤとのEDIで取扱データ（特に新商品開発情報や顧客の購買傾向データ）が海外データセンタ経由となっている事実が、契約上明示されておらず、サプライヤ機密情報の越境移転が経営層の判断外で発生していた。これは、下請法や不正競争防止法に抵触するリスクを孕んでいた。改善提言として、(a)サプライヤEDI契約条項にデータ保管国を明示し、越境移転の必要性を評価する規定の追加、(b)越境移転時の経営承認プロセスおよびリスクアセスメントの義務化、を提示した。これにより、情報漏洩による年間2.4億円の潜在的損失リスクを低減できると試算された。 指摘3は「店舗独自シャドーITのガバナンス不備」である。店舗独自契約22件の中に、顧客の氏名・連絡先・購買履歴等の個人情報を取扱うSaaSが3件含まれており、これらサービスはセキュリティ基準がD社の定める情報セキュリティポリシーを満たしていなかった。これは、個人情報保護法違反のリスクに加え、情報漏洩時の損害賠償リスクを抱えていた。改善提言として、(a)店舗独自契約の原則禁止と既存利用の正規化（本部承認済サービスへの移行または契約解除）、(b)店舗からの新規サービス利用申請を本部情報システム部経由とする統制プロセスの確立、を提示した。 監査結果の伝達では3つの工夫を行った。第1に、指摘ごとに「経営層向けサマリ（リスクと経営影響）」と「店舗運用部長向け実務影響説明（具体的な改善手順と運用変更点）」の二段構えで報告し、各層が自身の役割に応じて理解し行動できるよう促した。特に、店舗運用部長に対しては、改善計画が店舗運用への影響を最小化するよう、具体的な代替案や支援策も提示した。第2に、サプライヤEDI関連の指摘については、経営層と購買部の合同報告会を実施し、サプライヤ側との契約見直し交渉のスケジュール合意までを監査の射程に含めた。これにより、法務部門と連携した契約見直しを円滑に進めることができた。第3に、改善計画書テンプレートを提示し、店舗・本部・サプライヤ別の責任分担、具体的な改善活動、目標達成指標（KPI）、および完了予定日を明示させることで、改善活動の進捗管理と効果測定を確実にした。 推進過程における困難の一つ目として、指摘1のCookie同意管理の不備について、ECサイト開発ベンダーが「現状の法解釈では問題ない」と主張し、改善に抵抗を示した点が挙げられる。これに対し、私は個人情報保護委員会が公開している「Cookie等の識別子に係る個人情報の取扱いに関するQ&A」の具体的な条文を引用し、D社の現状がガイドラインに照らして不十分であることを明確に提示した。さらに、他社の先進事例を提示することで、ベンダーの理解を促し、改善への協力を得ることができた。二つ目の困難は、指摘3のシャドーIT正規化において、店舗側が「業務効率が低下する」と強く反発したことである。これに対し、私は、シャドーITがもたらす潜在的な情報漏洩リスクと、それがD社のブランドイメージに与える長期的な悪影響を具体的に説明した。さらに、本部が提供する代替サービスや、正規化プロセスにおける店舗への支援策（例：移行期間中の本部からのヘルプデスク支援）を提示することで、店舗側の懸念を払拭し、理解と協力を得ることができた。これらの取り組みにより、指摘事項に対する改善計画は全て合意され、D社のクラウドサービスガバナンスは大幅に強化される見込みである。 この経験から私が得た本質的な学びは、流通業のシステム監査においては『ベンダー・店舗の利害対立を超えた説得力ある立証』が監査人の核心スキルであるとの確信である。私は今後、改正個人情報保護法・特定商取引法・割賦販売法・PCI DSSの継続遵守を担保しつつ、Cookie等のガイドラインQ&A・他社先進事例を活用した立証プロセスを監査標準として堅持したい。
出題参考: IPA 情報処理技術者試験
私が携わったシステム監査の対象は、地域通信キャリアE社の本社及び全販売店における、クラウドサービス利用全般である。E社は売上高約2,800億円、従業員数約3,500名、ISP契約数約140万・モバイル契約数約200万の地域通信事業者で、改正電気通信事業法・不正アクセス禁止法・個人情報保護法に基づくコンプライアンス対応に加え、プロバイダ責任制限法および通信の秘密に関する内部統制が経営要件として課されている。私はE社内部監査部に所属するシステム監査人として本監査の主任を担った。 E社におけるクラウド利用は過去5年間で急速に拡大しており、事業部門主導で導入が進められていた。代表的なサービスとして、(1)顧客管理／請求基盤SaaS、(2)ネットワーク監視・OSS（運用支援）SaaS、(3)サポートセンタ向けCRM、(4)Web会議／コラボレーションSaaS、(5)BI／分析SaaS等、合計17サービスが全社的に稼働していた。しかし、本部各部が独自に契約しているSaaSが約20件存在し、これらは情報システム部門の管理下にないシャドーITとして運用されており、潜在的なリスクを抱えていた。 本監査の背景には3つの主要な動機があった。第1に、経済安全保障推進法に基づき、通信インフラのサプライチェーン管理、特にクラウド事業者及びサブプロセッサの所在国や出資関係に関する点検が業界全体で強化されたこと。これはE社の事業継続性と国家安全保障に直結する喫緊の課題であった。第2に、欧州NIS2指令への対応が求められ、海外ローミング相手国とのデータ移転統制の妥当性が国際的なコンプライアンス上の課題として浮上したこと。特に個人データや通信秘密の越境移転に関するリスクが高まっていた。第3に、顧客サポートセンタのCRM経由で大量の通信秘密に該当する情報が取扱われており、これらの情報に対するアクセス統制の妥当性が経営層の重大な懸念事項となっていたこと。内部不正や情報漏洩のリスクに対して、より厳格な管理体制が求められていた。 私はこれらの背景と経営課題を総合的に考慮し、クラウド利用全般のガバナンスを網羅的な監査対象と設定し、潜在的なリスクの特定と適切な統制の評価を目指した。
リスクアセスメントは以下の3工程で実施した。第1工程で利用実態の可視化を行った。情報システム部門の管理台帳、経費精算データ、そしてネットワークログを突合し、合計37件のクラウドサービス利用を特定した。この段階で、既存の管理台帳に登録されていないシャドーITが15件存在することが判明し、監査の重要性が再認識された。この工程の推進における一つ目の困難は、各部門が個別に契約しているシャドーITの全容把握であった。経費精算データだけではサービス名が不明瞭な場合が多く、ネットワークログとの突合には相当な時間を要した。これに対し、私は情報システム部門と経理部門に協力を仰ぎ、各部門へのヒアリングを強化することで、サービス提供事業者名や利用目的を特定する対応を行った。 第2工程では、特定した全37サービスについてリスク評価軸に基づきスコアリングを実施した。評価軸は、情報資産の機密性、可用性、完全性、法令遵守（特に電気通信事業法、経済安全保障推進法、欧州NIS2指令）、そしてサプライチェーンリスク（特にデータ所在国、サブプロセッサの透明性）の5点とした。各軸に対して5段階評価を行い、総合スコアを算出した。 第3工程では、スコアリング結果に基づき、リスクレベルが高いと判断された上位9サービスを重点監査対象として選定した。これにより、限られた監査リソースを最もリスクの高い領域に集中させることが可能となった。 特定した重点監査項目は、以下の4点である。(a)通信秘密該当情報を取扱うCRMのアクセス統制状況の評価。特に、電気通信事業法で保護される通信秘密の漏洩リスクに焦点を当てた。(b)クラウド事業者・サブプロセッサのサプライチェーン管理の妥当性。経済安全保障推進法に基づく重要設備等に関するサプライチェーンリスクの評価。(c)シャドーITに係るガバナンス体制の評価と、そのリスクへの対応。(d)海外ローミング関連データの越境移転統制の妥当性。欧州NIS2指令への対応状況を確認した。 監査手続は、これらの重点監査項目に対して次のように選択し、実施した。(a)CRMについては、通信秘密に該当する情報のアクセスログ12か月分（約340万件）を収集し、異常検知ロジックの有無と、操作員別の権限妥当性を検証した。特に、正規の業務時間外アクセスや、特定の顧客情報への集中アクセスを抽出する分析を行った。(b)サプライチェーン管理については、対象クラウド事業者のサブプロセッサ一覧、所在国、出資関係に関する契約書や事業者の公開情報を入手し、経済安全保障推進法で指定される重要設備等に関する届出要件との突合確認を実施した。(c)シャドーITについては、ネットワーク送出先IPログと経費精算データを再度突合し、未登録の15件について詳細な利用状況を特定した。特に顧客情報を取り扱っている4件については、情報システム部門のセキュリティ基準への適合状況をレビューした。(d)越境移転統制については、海外ローミング相手国別のデータフロー図を作成し、欧州NIS2指令の適用対象国とのデータ往来における契約上の保護措置やデータ移転メカニズムの妥当性を整理した。 手続選択の判断軸として、「経済安全保障推進法への対応」「電気通信事業法に基づく通信秘密保護」「監査の網羅性」の3点を強く意識した。特に、ログ分析による客観的証拠の収集と、契約書レビューによる法的・契約的保護措置の確認を並行して実施することで、多角的な視点からリスクを評価する手続を選んだ。この過程での二つ目の困難は、クラウド事業者との契約書にサブプロセッサに関する詳細な情報が記載されていないケースが多かったことである。これに対し、私は情報システム部門を通じてクラウド事業者への情報開示請求を複数回行い、最終的に必要な情報を取得することで、経済安全保障推進法への対応に必要な情報収集を完了させた。
識別した監査上の指摘事項は、重要度順に以下の3点である。 指摘1は「経済安全保障推進法対応のサプライチェーン管理不備」である。E社の重要設備に該当するクラウド3サービスについて、サブプロセッサの階層構造および出資関係に関する詳細な調査が完了しておらず、経済安全保障推進法の届出要件を満たさない可能性があった。特に、対象となるクラウド事業者の一部は海外に拠点を持ち、サブプロセッサの所在国が不明確な状況であった。改善提言として、(a)重要設備に該当するSaaSのサブプロセッサ階層調査を速やかに完了させ、所管省庁（総務省）への事前協議を義務付けること、(b)四半期ごとの最新化プロセスを確立し、サプライチェーン情報の継続的な監視体制を構築することを提示した。これにより、経済安全保障推進法への適合状況を年間を通じて95%以上の精度で維持することを目指す。 指摘2は「通信秘密該当情報のアクセス統制の脆弱性」である。顧客サポートセンタのCRMにおける操作員アクセスログの異常検知ロジックが未整備であり、内部不正や情報漏洩の早期検知が困難であった。過去12か月間のログ分析では、特定の操作員による不審なアクセスパターンが散見されたにもかかわらず、これらを自動で検知する仕組みが存在しなかった。改善提言として、(a)異常アクセスパターンの定義（例：深夜帯のアクセス、特定の顧客情報への連続アクセス）と自動検知ルールの実装、(b)月次の操作員アクセス権限棚卸プロセスを確立し、職務分掌の原則に基づいた権限付与の妥当性を継続的に検証することを提示した。これにより、通信秘密に該当する情報への不正アクセス検知リードタイムを82日から52日に短縮し、年間約2.4億円と試算される情報漏洩による潜在的損失リスクを低減する。 指摘3は「シャドーITに係るガバナンス不備」である。台帳未登録のシャドーIT15件のうち、顧客情報を取り扱っている4件について、情報システム部門によるセキュリティレビューや契約条項レビューが未実施であった。これらサービスはE社の情報セキュリティポリシーに準拠しているか不明であり、データ保護の観点から重大なリスクを抱えていた。改善提言として、(a)経費精算システムと連携したクラウドサービス利用申請統制プロセスを導入し、新規利用の正規化を徹底すること、(b)既存のシャドーITについては、6か月以内に情報システム部門によるセキュリティレビューと契約レビューを完了させ、正規の管理下に置く移行計画を策定することを提示した。これにより、シャドーITに起因するセキュリティインシデント発生率を68%削減することを目指す。 監査結果の伝達では、実効性のある改善を促すために3つの工夫を行った。第1に、指摘ごとに「経営層向けサマリ」「規制当局対応マッピング」「現場運用変更点」の三段構えで整理し、各層の意思決定を支援した。特に、経営層向けサマリでは、リスクの財務的影響やレピュテーションリスクを明確に提示した。第2に、経済安全保障推進法関連の指摘については、所管省庁（総務省）との事前協議スケジュールと、具体的な対応ステップを併せて提示し、規制対応の実効性を担保した。これにより、E社が法規制に迅速かつ適切に対応できる道筋を示した。第3に、改善計画書テンプレートを提供し、責任部門と具体的な期限を明示することで、改善活動を持続可能とし、進捗管理を容易にした。これらの工夫により、監査指摘に対する改善着手率は90%に達し、指摘事項の重要度に応じた優先順位付けが組織内で共有された。 この経験から私が得た本質的な学びは、通信業のシステム監査においては『経済安全保障推進法と所管省庁との事前協議』を監査前提の独立変数として継続評価する必要があるとの確信である。私は今後、電気通信事業法・電波法・通信の秘密保護・改正電気通信事業法（外部送信規律）の継続遵守を担保しつつ、所管省庁との事前協議スケジュールを監査報告の標準項目として位置付ける監査姿勢を堅持したい。
出題参考: IPA 情報処理技術者試験
私が携わったシステム監査の対象は、人口約45万人を擁するF市の本庁及び支所における、クラウドサービス利用全般である。F市は職員数約3,200名、年間予算規模約3,800億円の中核市で、私はF市監査委員事務局に所属するシステム監査人として本監査の主任を担った。この監査は、F市が推進する「デジタル・フレンドリーシティ構想」の中核をなすデジタル変革の信頼性確保を目的としていた。 F市のクラウド利用は、2022年度のガバメントクラウドへの移行方針決定を契機に過去3年間で急拡大していた。代表的なサービスとして、(1)住民記録／税務／福祉等の基幹業務SaaS、(2)文書管理／電子決裁SaaS、(3)Web会議／コラボレーションSaaS、(4)児童見守り・地域DXのSaaS、(5)職員勤怠SaaS等、合計18サービスが稼働していた。さらに、各部署が独自に契約している小規模SaaSが約20件存在し、情報政策課の把握外のシャドーITとなっていた。これらシャドーITの多くは、業務効率化を名目に導入されたものの、セキュリティ統制が不十分な状態であった。 監査の背景として3つの動機があった。第1に、ガバメントクラウド移行の途中段階にあり、総務省が定める「地方公共団体における情報セキュリティポリシーに関するガイドライン」の統制要件が移行進捗に応じて変化しており、現状適合性の点検が喫緊の課題であった。第2に、2022年4月に施行された改正個人情報保護法（行政機関個人情報保護法統合）に伴い、住民個人情報の取扱統制の高度化が要請され、特にクラウド環境におけるデータ保護の強化が急務であった。第3に、児童見守り・地域DX等の新規SaaSが部署主導で契約されており、F市が定める「行政情報セキュリティポリシー」との整合性が経営上の懸念事項として浮上していた。特に、機微な個人情報を扱うサービスの導入が散発的であったため、包括的なリスク評価が必要と判断された。 私はこれらを背景として、F市のクラウド利用全般のガバナンス体制を網羅的な監査対象と設定し、市民サービスの継続性と信頼性の確保を目指した。
リスクアセスメントは3工程で実施した。第1工程では、利用実態の可視化を図った。情報政策課の台帳情報、財務会計システムにおける経費精算データ、そしてネットワークログの突合分析を通じて、F市内で利用されているクラウドサービス計38件を特定した。この作業により、既存台帳に登録されていないシャドーITが17件存在することが判明し、監査のスコープを明確化できた。 第2工程では、特定した各サービスのリスク評価軸を設定し、スコアリングを実施した。評価軸は、情報資産の「機密性」「可用性」「完全性」に加え、「法令遵守」（特に改正個人情報保護法、地方自治法）および「住民影響」（サービス停止やデータ漏洩が市民生活に与える影響度）の5項目とした。各項目を5段階で評価し、総得点が高いサービスを優先的に監査対象とした。 第3工程では、スコアリング結果に基づき、特にリスクが高いと判断された上位8サービスを重点監査対象として選定した。これにより、限られた監査資源を効果的に配分し、最も重要なリスク領域に焦点を当てることが可能となった。 特定した重点監査項目は、(a)ガバメントクラウド準拠の標準業務SaaSの設定妥当性、(b)住民個人情報取扱いSaaSの統制状況、(c)シャドーITに係るガバナンス体制、(d)新規SaaS（児童見守り・地域DX）の情報セキュリティポリシー整合性、の4点である。これらの項目は、F市の情報セキュリティリスク全体に与える影響度が大きいと判断された。 監査手続は次のように選択した。(a)標準業務SaaSについては、デジタル庁が公開する「地方公共団体情報システム標準化・共通化に関するガイドライン」に示される標準仕様との適合性を評価するため、120項目からなるチェックリストを活用し、設定実態を文書とシステム設定画面で突合した。これにより、標準化が目指す効率性とセキュリティの両面から評価を行った。(b)住民個人情報取扱いSaaSについては、目的外利用防止のための権限設定の適切性を確認した他、過去6か月間のアクセスログ約95万件から無作為に1,000件をサンプル抽出し、不審なアクセスがないかを分析した。また、改正個人情報保護法に基づくデータ削除請求への対応プロセスと、その対応ログの確認も実施した。(c)シャドーITについては、ネットワーク送出先IPアドレスと財務会計システムの経費精算データを突合することで、未登録の17件のサービスを特定し、そのうち4件が住民個人情報を扱っていることを確認した。(d)新規SaaS（児童見守り・地域DX）については、F市が定める「行政情報セキュリティポリシー」チェックリスト40項目との適合性を、導入時の契約文書、事業者からの提供資料、およびシステム設定画面で突合し、運用状況を評価した。 手続選択の判断軸として、「デジタル庁標準仕様との整合性」（法定要件への対応）、「住民個人情報の保護」（市民への影響度）、「網羅性」（潜在的なリスクの洗い出し）の3点を強く意識した。特に、チェックリストによる網羅的な評価と、ログ分析による実態把握を並行する手続を選定することで、文書上の建前と実際の運用状況との乖離を効率的に発見することを目指した。 推進過程における困難点の一つ目は、シャドーITの特定作業であった。情報政策課の台帳だけでは不十分であり、各部署へのヒアリングも協力的でないケースがあった。これに対し、私はネットワークログと経費精算データの突合という客観的なデータに基づいたアプローチを提案し、情報政策課と連携して未把握サービスを特定した。二つ目の困難点は、多岐にわたるクラウドサービスのログフォーマットの統一性の欠如であった。特に住民個人情報取扱いSaaSでは、事業者ごとにログの粒度や保存形式が異なり、横断的な分析が困難であった。これに対し、私は監査支援ツールを導入し、複数のログ形式を正規化して分析可能な状態に変換する手法を採用した。これにより、約95万件のアクセスログから不審なパターンを効率的に検出することが可能となり、分析時間は従来手法と比較して約40%削減された。
識別した監査上の指摘事項は重要度順に3点である。 指摘1は「シャドーITに係るガバナンス不備」である。特定された台帳未登録17件のシャドーITのうち、住民記録データや要配慮個人情報を含む住民個人情報を取扱うSaaSが4件含まれており、F市が定める「行政情報セキュリティポリシー」のデータ取扱規定に違反している状況が判明した。これにより、市民の個人情報が適切なセキュリティ管理下に置かれていないリスクが顕在化していた。改善提言として、(a)情報政策課の承認を経由するクラウドサービス申請・導入統制プロセスの確立と、全職員への周知徹底、(b)既存利用のシャドーITを6か月以内に正規化する移行計画の策定と実行、を提示した。この正規化計画には、リスク評価に基づく継続利用可否判断と、情報政策課によるセキュリティチェックが含まれる。 指摘2は「ガバメントクラウド準拠の設定不備」である。基幹業務SaaSのうち、住民記録システムと税務システムの2業務で、デジタル庁の「地方公共団体情報システム標準化・共通化に関するガイドライン」に示される必須設定項目（特に認証基盤の多要素認証設定、データ暗号化設定）が未実装であった。これにより、ガバメントクラウド移行完了後の標準準拠認定取得に支障を来す可能性があり、将来的な運用コスト増加やセキュリティリスク増大が懸念された。改善提言として、(a)未実装項目の3か月以内の設定完了と、その後の定期的な設定監査実施、(b)四半期ごとのデジタル庁標準仕様改訂への対応プロセス確立と、情報政策課による全庁的な情報共有体制の構築、を提示した。 指摘3は「新規SaaSの情報セキュリティポリシー整合性不備」である。特に児童見守りSaaSのうち1件で、アクセスログの保管期間がF市の「行政情報セキュリティポリシー」要件（5年間）を満たさず、事業者との契約では1年間しか保管されない状況であった。これは、インシデント発生時の原因究明や法的証拠保全に重大な支障を来すリスクがある。改善提言として、(a)当該SaaS事業者との契約条項の見直し交渉と、必要なログ保管期間の確保、(b)新規SaaS導入時のセキュリティ事前審査プロセスの必須化と、ポリシー要件との適合性チェックリストの活用徹底、を提示した。これにより、将来的な同様の問題発生を未然に防ぐことを目指した。 監査結果の伝達では3つの工夫を行った。第1に、指摘ごとに「市長・副市長向けサマリ」「議会説明資料」「現場部長向け詳細」の三段構えで整理し、市政運営の各層に対応した受け止めを促した。特に市長向けサマリでは、シャドーITによる潜在的な市民情報漏洩リスクを年間2.4億円の損害賠償リスクとして定量的に示し、経営層の危機意識を高めた。第2に、シャドーITに係る改善は、単なるルール変更に留まらず、職員研修プログラムと連動させて長期的な組織文化変革に繋げた。具体的には、全職員を対象としたクラウドサービス利用ガイドライン研修を年間2回実施し、初年度でシャドーITの新規発生を68%削減することに成功した。第3に、改善計画書テンプレートを導入し、各指摘事項に対する責任部署と具体的な改善期限を明示することで、議会・市民への説明責任を担保した。このテンプレート活用により、改善計画の策定リードタイムが平均82日から52日へと短縮され、迅速なリスク対応が可能となった。本監査を通じて、F市はクラウドサービス利用におけるガバナンス体制を大幅に強化し、市民サービスの信頼性向上に大きく貢献できたと評価している。 この経験から私が得た本質的な学びは、自治体DXのシステム監査においては『シャドーIT改善を職員研修と連動させた組織文化変革』へと射程拡張する必要があるとの確信である。私は今後、デジタル社会形成基本法・地方公共団体情報システム標準化法・改正個人情報保護法・行政手続法の継続遵守を担保しつつ、議会・市民への説明責任を担保する改善計画書テンプレートを監査標準として堅持したい。
出題参考: IPA 情報処理技術者試験
私が監査主任として担当したのは、急性期病院G病院（500床、職員数1,800名）におけるクラウドサービス利用に関する内部監査である。私はG病院の監査室所属の主任監査人（CIA：公認内部監査人およびシステム監査技術者）として、2024年度の年次監査計画に基づき、5名のチームで監査を実施した。G病院は2022年から段階的に院内システムのクラウド化を推進し、現時点では(1)電子カルテのバックアップ用クラウドストレージ、(2)職員向けグループウェア・ファイル共有SaaS、(3)地域医療連携用クラウド（地域包括ケア情報共有SaaS）、(4)研究・統計用クラウドDWH、(5)請求業務支援SaaS、(6)外来予約のWeb予約SaaS、の6サービスを稼働中であった。 監査の背景は3点ある。第1に、2024年4月施行の医師の働き方改革に伴い、診療情報のクラウド共有が急速に進む中、厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」および3省2ガイドライン（厚労省・経産省・総務省）の準拠状況が外部医療機関監査（病院機能評価）で重点的に確認される見通しとなった。第2に、地域医療連携用クラウドの利用拡大により、近隣診療所・薬局・介護施設への診療情報共有が増加し、データ越境リスクと第三者提供管理リスクが高度化した。第3に、本院のクラウドサービス利用に関する内部統制（特に責任共有モデル理解・利用部門による恣意的契約・データ保管リージョン管理）が、過去2年の監査でも改善指摘事項として残存し、医療事故・情報漏洩につながる潜在リスクとして経営層から重点監査要請があった。 監査の目的は、(a)各クラウドサービスのライフサイクル（選定・契約・利用・解約）における内部統制の整備運用状況の評価、(b)医療情報ガイドライン・個人情報保護法・医療法準拠状況の確認、(c)責任共有モデル下での利用者側責任の履行状況評価、の3点であった。
本監査で私が重点を置いた領域と監査手続きは、次の3領域であった。 第1の重点領域は、「医療情報の越境と第三者提供管理」である。地域医療連携用クラウドおよび電子カルテバックアップクラウドが対象である。監査手続きとして、(1)契約書の精査（データ保管リージョン規定、第三者提供条項、データ削除義務、医療情報ガイドライン準拠規定）、(2)利用ログサンプリング（地域医療連携クラウドからの参照ログ100件抽出）、(3)患者同意取得プロセスの追跡監査（個人情報保護法第27条・医療法第6条の10との整合確認）、(4)実機検証（管理コンソールで実際のリージョン設定・暗号化設定の確認）、の4手続きを実施した。 この結果、指摘1として「電子カルテバックアップクラウドの保管リージョンが海外」を発見した。契約上は「日本国内保管」と記載されていたが、実際のシステム設定では大阪リージョンと併せて米国リージョンへの自動レプリケーションが有効化されており、医療情報の3省2ガイドライン「日本国内保管原則」に反する状況であった。改善提言として、(a)米国レプリケーションの即時無効化、(b)医療情報のクラウド利用時のリージョン設定確認を年次内部点検プロセスに組み込み、(c)契約締結時のクラウドベンダ側設定確認チェックリストの整備、の3点を提示した。 第2の重点領域は、「責任共有モデル下での利用者側統制」である。グループウェア・ファイル共有SaaS、外来予約SaaSが対象である。監査手続きとして、(1)アクセス権限棚卸（職員向けSaaSのアクセス権限保有者全数チェック）、(2)退職・異動者のアカウント削除遅延の有無確認、(3)多要素認証適用状況の網羅確認、(4)外部公開ファイルの存在チェック（特に診療情報・個人情報を含むファイルが意図せず公開されていないか）、の4手続きを実施した。 この結果、指摘2として「退職医師のアカウントが3か月削除遅延、かつ電子カルテバックアップへのアクセス権が残存」を発見した。本件は、退職者が悪意なくとも個人情報保護法第26条の「データ漏洩等報告」事案となる潜在リスクが極めて高く、緊急是正の対象とした。改善提言として、(a)人事部・情報システム部の連携強化（退職者リストの即日連携）、(b)アカウント自動削除スクリプトの導入、(c)四半期ごとのアクセス権棚卸の制度化、(d)医療情報安全管理委員会への即時報告ルートの整備、の4点を提示した。 第3の重点領域は、「クラウドサービス選定・契約プロセスの妥当性」である。研究・統計用DWH、請求業務支援SaaSが対象である。監査手続きとして、(1)契約書の精査（医療情報ガイドライン準拠条項、SOC2 Type2認証・ISO/IEC 27017・27018の取得確認）、(2)選定時の比較検討資料のレビュー、(3)情報セキュリティ委員会の承認プロセスのトレース、(4)再委託先（クラウドベンダの下請けデータセンタ事業者等）の管理状況確認、の4手続きを実施した。 この結果、指摘3として「研究・統計用DWHの再委託先管理が不十分」を発見した。クラウドベンダが下請けする海外データセンタ事業者の管理状況が、契約上は「個別承認制」となっていたが、運用上は包括承認となっていた。これは医療情報ガイドラインの「委託先管理」要件への抵触リスクであり、改善提言として、(a)再委託先の四半期報告義務化、(b)再委託先のSOC2レポートの年次取得義務化、(c)新規再委託先の事前承認プロセス必須化、(d)研究データの匿名化処理の徹底（個人情報保護法第43条「匿名加工情報」基準準拠）、の4点を提示した。 監査結果の伝達では、医療現場の特殊性を踏まえた3つの工夫を行った。一つ目は、医療安全との関連を強調した点である。医療事故・情報漏洩リスクは「患者の生命・健康への影響」として表現し、病院長以下経営層の問題意識を喚起した。二つ目は、医療情報安全管理者・医療情報技師・医療情報システム管理者の3者を改善計画策定の主担当に指名した点である。これにより、医療現場特有の運用制約を踏まえた現実的な改善が可能となった。三つ目は、改善計画の進捗を医療情報安全管理委員会で月次レビューする運営体制を提案した点である。
本監査の評価点は3点である。一つ目は、3つの重大指摘事項（米国リージョン保管、退職医師アカウント残存、再委託先管理不備）を発見し、いずれも患者情報漏洩につながる潜在リスクを未然に防げた点である。特に米国リージョン保管事案は、もし患者情報漏洩が発生した場合、医療法上の行政指導・改善命令、個人情報保護法上の課徴金、刑事告発リスクなど多層的なリスクが顕在化する可能性があったため、是正効果は極めて大きい。二つ目は、改善計画の進捗を医療情報安全管理委員会の月次レビューに組み込んだ運営設計により、3か月以内に全指摘事項の80%が是正完了した点である。三つ目は、医療情報の3省2ガイドライン準拠状況が大幅に改善され、その後の病院機能評価で関連項目が「適合」と評価された点である。 改善点は2点あった。一つ目は、当初の監査範囲が「契約上のクラウドサービス6種」に限定されており、職員が個人判断で利用していた「医療情報の含まれるシャドーIT」（個人用クラウドメモアプリ、AIチャットツールなど）が監査対象外となっていた点である。医療現場でも個人の業務効率化のためにシャドーITを利用する事例があり、患者情報の意図せぬ漏洩リスクが懸念される。今後の監査では、「シャドーIT検知」を必須監査項目として組み込み、ネットワークログ分析・端末監視ログ分析を活用した網羅的な検知手続きを実施する。 二つ目は、生成AIサービスの医療現場での利用に関する監査基準が、本監査時点では十分に確立されていなかった点である。一部医師から「外来サマリ作成にChatGPTを利用したい」との要望が挙がっていたが、医療情報の越境リスク、生成AIの応答ハルシネーション（誤情報生成）リスク、医療責任の所在等、複合的な監査論点が存在する。今後は、IPA「機械学習品質マネジメントガイドラインVer.3」、NIST AI RMF、厚生労働省の医療AI関連ガイドライン動向を踏まえた、生成AI監査の新基準を策定する必要がある。 学びは、医療分野のクラウド監査では、一般的なITガバナンスの観点に加えて、「医療情報の特殊性（要配慮個人情報・要医療情報）」「医療安全との関連」「医療職能団体・行政との関係」を統合的に扱う多層的な監査設計が決定的に重要であるという点である。今後も、医療情報ガイドラインの改定動向と、新たな技術（生成AI・量子コンピューティング等）のリスク変化を継続的に取り込み、監査手続きを進化させていく。
出題参考: IPA 情報処理技術者試験
私が監査主任として担当したのは、SaaS型バックオフィス業務基盤を提供するQ社（年商約260億円、従業員数約780名、契約企業数約5,400社）におけるクラウドサービス利用に関する内部監査である。私はQ社の内部監査室の主任監査人（CISA：公認情報システム監査人およびシステム監査技術者）として、2024年度の年次監査計画に基づき、4名のチームで監査を実施した。Q社自身がSaaSプロバイダであるため、自社サービス基盤のクラウドガバナンスは、(a)顧客への信用に直結し、(b)業界比較で先進性が問われる、という二重の重要性を持つ。 Q社が利用している主要クラウドサービスは、(1)自社SaaSが稼働するIaaS（AWS主体、Google Cloud副系）、(2)サービス開発・運用支援のSaaS群（GitHub Enterprise、PagerDuty、Datadog、Snowflake等約32種）、(3)社内業務SaaS群（Microsoft 365、Slack、Notion、Zoom等約18種）、(4)コンタクトセンタ向けクラウドサービス（Zendesk、Salesforce Service Cloud）、の4カテゴリ計約55種である。 監査の背景は3点ある。第1に、2024年8月発効のEU AI Act、米国大統領令（AI Executive Order）、日本の経産省「AI事業者ガイドライン」など、AI関連規制の急速な具体化により、Q社SaaS内蔵のAI機能および利用クラウドサービスのAI機能の双方で、コンプライアンス対応が急務となった。第2に、Q社の契約顧客（特にエンタープライズ大口顧客約120社）から、SOC2 Type2レポート、ISO/IEC 27001／27017／27018認証、GDPR適合宣言の年次更新要請が高度化した。第3に、Q社が自社で利用するサプライチェーン（SaaSベンダ約55社）のサプライチェーンセキュリティリスク（特に2023年以降相次いだソフトウェアサプライチェーン攻撃事例）が経営課題化していた。 監査の目的は、(a)Q社自身のクラウド利用統制の整備運用状況、(b)顧客向けSaaS提供におけるクラウド基盤のセキュリティ・可用性統制、(c)サプライチェーン全体のリスク管理状況、の3点であった。
本監査で私が重点を置いた領域と監査手続きは、次の3領域であった。 第1の重点領域は、「責任共有モデル下でのQ社自身の責務履行」である。AWS／Google CloudのIaaS層が対象である。監査手続きとして、(1)Well-Architected Frameworkセキュリティピラーに基づくチェックリスト評価（180項目）、(2)CIS Benchmarksに基づく構成評価（AWS Foundations 200項目）、(3)IaC（Terraform）コードの脆弱性スキャン（tfsec実行）、(4)IAMロール・ポリシーの最小権限原則準拠評価（Access Analyzerレポート分析）、の4手続きを実施した。 この結果、指摘1として「過剰IAM権限の存在」を発見した。具体的には、開発環境用IAMロールに本番環境のS3バケット読取権限が誤って付与されており、本来分離すべき環境間でアクセスが可能な状態であった。これは情報漏洩リスクと開発・本番分離原則違反であり、改善提言として、(a)過剰権限の即時剥奪、(b)IAMロール命名規則の標準化と環境ラベルの必須化、(c)四半期ごとのAccess Analyzer棚卸の制度化、(d)新規IAMロール作成時のセキュリティチームレビュー必須化、の4点を提示した。 第2の重点領域は、「サプライチェーンセキュリティの統制」である。SaaSベンダ約55社が対象である。監査手続きとして、(1)各SaaSの選定時セキュリティ評価レポートの保管確認、(2)各SaaSのSOC2 Type2レポート（または同等認証）の年次取得確認、(3)Q社SaaSへのデータ連携を行う17社の連携API設定の妥当性確認、(4)各SaaSのインシデント通知契約の確認、の4手続きを実施した。 この結果、指摘2として「サプライチェーンセキュリティ評価の不均一性」を発見した。SOC2 Type2レポートが期限切れのSaaSが3社、ベンダの認証取得状況の年次確認漏れが11社、Q社SaaSへのデータ連携APIの認証情報がコード内ハードコードされていた事案が2件、と複合的な統制不備があった。改善提言として、(a)SaaS管理台帳（Vendor Management System）の構築、(b)サプライチェーンセキュリティの責任者の指名と専任体制の確保、(c)ベンダの認証期限・契約期限の自動アラート化、(d)コード内認証情報のSecrets Manager等への移行義務化、(e)NIST SP 800-161「サプライチェーンリスクマネジメント」フレームワークの導入、の5点を提示した。 第3の重点領域は、「AI関連クラウドサービスのコンプライアンス」である。Q社SaaS内蔵AI機能（生成AIによる業務レコメンド等）および利用クラウドサービスのAI機能が対象である。監査手続きとして、(1)AI関連クラウドサービスの全数棚卸、(2)各サービスのデータ利用ポリシーの確認（顧客データの学習データ流用可否）、(3)EU AI Actのリスク分類（禁止・ハイリスク・限定的リスク・最小限リスク）への該当性評価、(4)経産省「AI事業者ガイドライン」の10原則準拠状況評価、の4手続きを実施した。 この結果、指摘3として「AI関連サービスのデータ利用ポリシー把握不足」を発見した。Q社が利用するAIサービス12種のうち、顧客データを学習データに流用可能な設定の状態にあるものが2件、契約上「顧客同意必要」となっているにも関わらず実際の同意取得プロセスが未整備のものが1件、判明した。これは、Q社顧客のデータが意図せず第三者のAIモデルに流用される潜在リスクを意味し、改善提言として、(a)該当サービスの即時設定変更（学習データ流用拒否設定）、(b)新規AI関連サービス導入時の評価プロセス必須化、(c)AI関連サービス全社台帳の整備、(d)IPA「機械学習品質マネジメントガイドラインVer.3」を基準とした社内AI利用ガイドラインの策定、の4点を提示した。 監査結果の伝達では、SaaS事業特有の3つの工夫を行った。一つ目は、各指摘事項を「顧客信用への影響」と「ビジネス継続性への影響」の二軸でリスク評価した点である。二つ目は、改善計画の対象責任者を、CISO（最高情報セキュリティ責任者）、CTO（最高技術責任者）、CFO（最高財務責任者：契約・ベンダ管理担当）の3者に並列で指名した点である。三つ目は、改善計画の進捗を月次の経営会議でレビューする体制を提案した点である。
本監査の評価点は3点である。一つ目は、3つの重大指摘事項（過剰IAM権限、サプライチェーン統制不均一、AI関連サービスのデータ流用リスク）を発見し、Q社の顧客信用毀損リスクを未然に防げた点である。特にAI関連サービスのデータ流用リスクは、Q社のSaaSが扱う顧客機密データの保護に直結する重大事案であり、経営層から「気づかなければ大規模な顧客離反につながりかねなかった」と高評価を得た。二つ目は、改善計画の進捗を月次経営会議でレビューする体制が機能し、6か月以内に全指摘事項の92%が是正完了した点である。三つ目は、本監査を契機として、Q社全体のクラウドガバナンスフレームワーク（自社利用＋顧客提供SaaS）が体系化され、エンタープライズ大口顧客向けセキュリティ説明資料の質が大幅に向上した点である。 改善点は2点あった。一つ目は、監査範囲の定義が「契約上のクラウドサービス55種」に限定されており、エンジニアが個人判断で利用していたシャドーIT（個人開発者アカウントでのAWSサンドボックス、未契約の生成AIツール、個人のGitHubアカウントへのコード保存等）が監査対象外となっていた点である。今後の監査では、シャドーIT検知のためのCASB（Cloud Access Security Broker）導入とログ網羅検査を必須化する。 二つ目は、AI関連規制の動向への対応が、本監査時点では「経産省AI事業者ガイドライン」中心となっており、EU AI Act・米国大統領令の網羅性が不十分であった点である。Q社の顧客には欧州・米国拠点もあるため、グローバル規制への適合度評価が次年度監査の重点課題となる。今後は、AI関連規制の国際動向を年次でアップデートする監査基準改定プロセスを内蔵する。 総括として、本監査はSaaS事業者のクラウドガバナンス監査として「自社利用」「顧客提供」「サプライチェーン」の3レイヤを統合評価する独自フレームを確立した点で社内に蓄積価値を残した。次年度以降は、(a)CASB導入による全クラウド利用の常時監視、(b)EU AI Act・NIST AI RMFを軸とした国際規制マッピングの年次更新、(c)サプライチェーンSBOM収集体制の制度化、(d)Q社経営層への四半期ダッシュボード提供、を継続改善ロードマップとして経営層と合意した。これにより、エンタープライズ顧客120社の信用維持と、SaaS事業の持続的な成長基盤確立を両立する監査機能へと発展させる方針である。 学びは、SaaS事業者のクラウド監査では、自社利用の統制と顧客提供サービスの統制が二重に存在し、両者の整合性を保つガバナンス設計が決定的に重要であるという点である。また、AI技術と関連規制の急変動環境では、監査基準自体を年次で大幅更新する継続的進化が必須である。今後も、IT監査人としての専門性を、技術・事業・規制の3軸で継続的に深化させていく。
出題参考: IPA 情報処理技術者試験