2006年4月29日土曜日

政府がウイニー対策ソフトを開発

政府がウイニー対策ソフトを開発するというニュースがありました。以下は、読売新聞Webからの引用です。

政府の「情報セキュリティ政策会議」(議長・安倍官房長官)は28日、国内で相次いでいるコンピューターに絡んだ情報漏洩(ろうえい)を食い止めることを目指し、133の施策を盛り込んだ行動計画「セキュア・ジャパン2006」をまとめた。

 ファイル交換ソフト「Winny(ウィニー)」を介した情報流出では、国が独自に流出防止ソフトの開発に乗り出すと明記した。

 パソコン内部に蓄積されたデータを常時監視し、外部へ移動させようとするなどの異常があった際は、パソコンの動きを一部抑制する仕組みを検討している。

��2006年4月28日22時43分 読売新聞)



ウイニー対策というより、情報漏洩全体を防止しようとしていますね。データの転送が職務上必要な人とそうでない人を明確にして、不必要なデータの転送をロックしてしまうのでしょうか。トラステッドコンピューターの応用のような気がします。もっと、詳細な情報が知りたいところです。

2006年4月23日日曜日

個人情報保護法の弊害・・あしなが育英会の危機

毎日新聞のWebを見ていたら気になる記事がありました。以下は、その記事の引用です。

あしなが育英会:遺児情報が激減 高校進学支援に影響も

 病気や自殺などで親を亡くした子供たちの進学を支援する「あしなが育英会」(東京都千代田区)に、遺児情報を提供する中学校が激減している。05年4月に施行された個人情報保護法が原因とみられる。育英会は「提供された情報をもとに、奨学金の存在を遺児に知らせていた。このままでは奨学金制度を知らずに進学を断念する子供たちが増えてしまう恐れがある」と心配している。

 育英会は、全国約1万1000校の中学校に遺児調査を依頼。遺児の名簿を提出してもらい、育英会や奨学金の存在を遺児家庭に連絡して高校進学を支援してきた。

 調査に回答してくれた学校は、03年までは毎年、1100~1200校だったが、個人情報保護法施行前年の04年には909校に減少。導入後の05年には464校と一挙に半減した。

 情報提供をやめた学校は育英会に「個人情報保護法ができたため、提供をやめる」「情報を出して苦情が出ることが心配だ」などと説明しているという。

 自殺者の増加で、奨学金申し込みの新規出願者は今年は全国で1360人と過去最多となった。しかし、学校からの情報提供の減少を考えると、本来はもっと増える可能性がある。

 育英会の工藤長彦奨学課長(52)は「個人情報保護法の趣旨をゆがめて解釈しているとしか思えない。遺児の進学のため情報提供に協力してほしい」と話している。【山本泰久】

毎日新聞 2006年4月23日 18時15分 (最終更新時間 4月23日 18時48分)



あしなが育英会には、何度か募金などさせて頂きました。遺児の皆さんには貴重な奨学金であり、地道で息の長い活動を行ってきた団体ですね。その活動に支障がでているという。個人情報保護法は、本来個人の情報が不正に利用されることを防ぐ法律ですが、それが別の側面で弊害が出ているという、まさに矛盾ということでしか表現できません。
個人情報保護法、ビジネス的には過去に出来事になっていますが、今一度考え直してみる必要がありますね。

「Winny」におけるバッファオーバーフローの脆弱性

「Winny」にバッファオーバーフローの脆弱性があるそうです。以下は、朝日新聞のWebからの引用です。

ウィニーのプログラムに欠陥 乗っ取られる危険性も
2006年04月22日19時18分

 独立行政法人「情報処理推進機構(IPA)」は、ファイル交換ソフトWinny(ウィニー)のプログラムに欠陥が見つかったと発表した。通信処理に関する欠陥で、最悪の場合、ウィニー利用中のパソコンを外部から乗っ取られる可能性があるという。最新バージョンのウィニーのプログラム自体に欠陥が見つかったのは初めて。

 これまで問題になったのは、ソフト利用者間のネットワークでの情報流出だった。今回の欠陥を突けば、ウィニーを介して他人が勝手にパソコンを操作できるようになる。悪意のあるプログラムを送られると、異常終了したり、ウイルス感染したりする恐れがあるという。

 IPAは「現時点では、利用を中止する以外に対策はない」と警告している。



JVN#74294680:Winny」におけるバッファオーバーフローの脆弱性

この問題は、新聞各紙でも報道され、数々のBlogでも取り上げられています。IPAの見解通り、Winnyを使わないという対策しかないようですね。
Winnyの開発者のK氏は、諸般の事情によりWinnyのアップデートが困難だと言っているようです。間接的に著作権法違反容疑の不当性を訴えたいのかな。
とにもかくにも、脆弱性が指摘され、それを解決できないソフトウェアを使うべきではないですね。

皆さん、Winnyは直ちにアンインストールしませう。

2006年4月16日日曜日

このところ、Winny経由での情報漏洩のニュースの陰に隠れてしまっている感のあるフィッシング詐欺ですが、三井住友銀行が対応策を発表したそうです。以下は、朝日新聞のWebからの引用です。

三井住友銀、顧客あてメールに電子署名添付へ 大手行初

2006年04月16日20時11分
 
三井住友銀行は5月下旬から、顧客のパソコンあてに銀行名で送る電子メールすべてに電子署名をつける。大手行では初の取り組み。銀行の名をかたった偽メールが金融被害の原因になっていることから、電子署名でメールの真偽を簡単に判別できるようにする。

 同行は引き落としの事前通知や現金自動出入機(ATM)での入出金完了のお知らせなど、月平均で300万通のメールを顧客に送っている。5月22日からはそのすべてに、民間認証機関が発行する電子署名をセットで送る。

 電子署名により、認証機関側に登録されているアドレスと送信者が一致しているか確認する。電子署名には、暗号化された本文の要約もついており、受信したパソコンで自動的に、要約を元に戻して本文と照合することにより、改ざんの有無も判別できる。

 同行によると、現行のパソコン用メールソフトの9割以上は電子署名に対応しており、顧客には料金も含め新たな負担は生じない。

 フィッシング詐欺は、銀行になりすまして偽メールを送りつけ暗証番号の入力を要求したり、偽のホームページにアクセスするようしむけたりして個人情報を不正に取得し、預金を勝手に引き出すのが代表的な手口。電子署名は被害の抑止に有効とされており、今後は他の金融機関などでも利用が進むとみられる。



 私の自宅のPCへも、銀行やらクレジットカード会社やらからフィッシング詐欺注意のメールが送られてきていました。過去形なのは、このところ注意喚起のメールが送られてこないからです。でも、フィッシング詐欺が無くなったわけではないですよね。人の噂も七十五日を言いますが、危険に対する注意も七十五日にならないようにしないといけません。

 三井住友銀行は電子署名でフィッシング詐欺に対応するとのことです。他の銀行の対策は如何に?

2006年4月15日土曜日

警察もPCの大量調達か

防衛庁/自衛隊に続いて、警察庁がPCの大量調達を計画しているようです。以下は、毎日新聞のWebからの引用です。

ウィニー問題:警察官にPC配備 国家公安委員長が検討
 沓掛哲男国家公安委員長は14日、岡山県警などでファイル交換ソフト「Winny(ウィニー)」を介して警察官の私物パソコンから捜査資料が流出した問題を受け、国費で全国の警察官へのパソコン配備を検討していることを明らかにした。07年度予算への計上を目指すという。同日の衆院内閣委員会で泉健太議員(民主)の質問に答えた。

 警察庁によると、警察のパソコン配備はこれまでは各都道府県予算で行われており、約12万2000台が整備されている。しかし私物パソコンも約7万7000台使われており、新たな情報流出が心配されている。

 内閣委で沓掛公安委員長は「必要な公費パソコンを配備できるよう、(都道府県予算に加え)国費でも検討したい」、武市一幸警察庁情報通信局長も「07年度末までに目的を達成したい」と述べた。【青島顕】

毎日新聞 2006年4月14日 20時14分



自宅PCに対して、情報セキュリティ上の必要なコントロールを完全に及ぼすことが難しい以上、公務上必要な備品を揃えることは必要だと思います。しかし、それで対策が充分か問われれば、答えは否です。情報の分類や取扱い、職責職務に応じたアクセス権に定義、コントロールの有効性評価などやるべきことは他にもあります。防衛庁/自衛隊もそうですが、PCの調達ばかりが報道されていますが、その他の対応も発表して欲しいですね。

しかし、Winny対策バブルとでも言いたいような状況ですね。くれぐれも、精勤の無駄遣いにならないような、透明な調達をお願いします。

2006年4月13日木曜日

ウイニー特需なんだそうです

防衛庁は、DellのからPCを一括購入するんですね。対策の一貫性を確保するためには、一社一括購入が妥当ということでしょうか。
以下は、毎日新聞Webからの引用ですが、「ウイニー特需」がキーワードです。これからは、情報漏洩の危険があるウイニー等ファイル交換ソフトへの対応が関係業界のビジネスチャンスになりそうです。他人の不幸で飯を食う、なんてことになるのかな! m(_ _;)m ゴメン!!

デル社:防衛庁からPC5万6千台受注 ウィニー事件で
 米大手パソコンメーカーのデルは13日、防衛庁から5万6000台のパソコンを一括受注したと発表した。落札額は約40億円。同庁では職員が私物のパソコンを業務に使い、ファイル交換ソフト「Winny(ウィニー)」経由で機密情報が流出した不祥事を起こしており、再発防止策の一環として大量発注で支給品に切り替えることにした。私物パソコンを業務から締め出す動きは警察など他の官公庁などにも広がっており、パソコン業界は「ウィニー特需」に熱い視線を注いでいる。
 デルによると、日本での1回の案件としては過去最大の規模で、官公庁に大量納入するのも初めて。平均単価はデスクトップ型が約7万円、ノート型が約7万6000円。機能を必要最低限に絞り込んだモデルで9月末までに納入する。

 デルは97年に国内市場に本格参入し、05年の出荷台数シェアは3位。今回の大量受注について「アメリカでは広く官公庁で採用されている。安さだけではなく、情報流出対策のノウハウの提供などサービス面も評価された」と話している。【斉藤望】

毎日新聞 2006年4月13日 18時29分



社内のLanに接続されたPCにインストールされているソフトウェアの適切な管理がポイントです。今までは、ソフトウェアのライセンス管理が主眼でしたが、加えてリスキーなソフトの検知と削除が情報セキュリティ担当者の課題です。実際、ウイルスソフトメーカーはいち早くウイニー対策ソフトを発表してますね。

社用PCは、対策が進んでいくのでしょうが、情報が漏洩しているのは、自宅の個人PC。ここは、自宅のPCに業務データを保存しない、個人PCで仕事をしないというルールを徹底するという対応策しかないですね。

仕事は会社で!  が新たなキーワードかも

防衛庁/自衛隊の情報漏洩対策

防衛庁/自衛隊の情報漏洩対策が発表されまあした。以下は、読売新聞のWebからの引用です。

ファイル交換ソフト「Winny(ウィニー)」を介し、護衛艦の秘密文書などのデータ流出が相次いだことを受け、防衛庁は12日、情報流出の再発防止策をまとめた。

 職場から私有パソコンを一掃するため、陸海空自衛隊を中心に約5万6000台のパソコンを約40億円で緊急調達したのをはじめ、職場のパソコン内のデータや所持品の抜き打ち検査など、検査態勢の強化を制度化する。

 また、現在約13万件ある「庁秘」の指定について再点検し、必要最小限にする一方、秘匿度の高いものは、漏えい時の罰則が重い「防衛秘密」に移行させる、としている。このほか、秘密情報を扱う全職員に「誓約書」を自筆で書かせ、提出させることも決めた。

��2006年4月12日13時59分 読売新聞)


秘密電子計算機情報流出等再発防止に係る抜本的対策の具体的措置について

情報セキュリティ対策が施されたPCを購入、必要な部署/部隊に配布し、個人PCを排除、業務/任務での使用を禁止し秘密情報を扱う職員隊員から誓約書を提出させるなど対策がとられるようです。ところで、情報漏洩は、防衛庁/自衛隊のみの問題ではないのですが、他の省庁はどうなのでしょうね。

2006年4月9日日曜日

あおぞら銀行、安全面からMac OSを選択

今日の産経新聞に興味不快記事が掲載されていました。以下は、産経新聞Webからの引用です。

あおぞら銀 安全性でマックに PC端末、夏までに変更

 あおぞら銀行が今夏までに全社のパソコン端末の基本ソフト(OS)をアップルコンピュータの「Mac OS」へ切り替えることが八日、明らかとなった。安全性向上のためだが、国内大手企業の大半がOSにマイクロソフトの「ウィンドウズ」を使っている中、珍しい対応となる。

 あおぞら銀は昨年五月からグループ全社の業務用システムを刷新、データ類をサーバーで一元管理し、各行員のパソコン端末にはデータ類を保存させない仕組みを導入してきた。金融機関の個人情報紛失・流出が相次ぐなか、他行に先んじてデータの管理体制を徹底することが目的だ。

 システム刷新にあわせ同行では端末自体も見直し、「よりセキュリティー面で信頼がおける」(コーポレートコミュニケーション室)などとして、グループで二千五百台に上るパソコン端末すべてをアップル社製に切り替える。部署ごとに切り替えを進め、夏までに完了する見通し。新端末はすべてにカメラシステムをつけ、支店や海外の拠点といつでもテレビ会議ができるようにした。

(04/09 08:22)



Mac OSと言えば、DTP業界やグラフィックデザイナー、熱烈なMacファンに支持され、Windowsの圧倒的なシェアの中でも存在感を示していました。しかし、ビジネスの世界ではWindows一辺倒であったといっても過言ではありませんでした。その中で、情報セキュリティ対策、データ管理の徹底の観点からMac OSへの移行を決断したようですね。

様々なビジネス向けソフトウェアがWindows仕様で開発されていることを考えると不利な点もあると思うのですが、安全第一の決断なのでしょうか。
あおぞら銀行が、Mac OSのセキュリティ面にどのような評価を下し、またWindowsより優れているとしたのか、その比較結果に興味があります。Windows向けのアプリケーションが圧倒的である中での決断ですからね。しかし、この評価結果は極秘事項でしょうから、外部に公開されることは、残念ながら期待できませんね、

今回の事例は、情報セキュリティの観点から基本ソフトウェアが選択されたということで、画期的で興味深いものがあります。オープンシステムへの移行の奔流のなかで、安全面からメインフレームを使い続けることに批判的な見解があります。しかし、今回の事例のように、安全の確保するためにOSを選択するという観点からいうと、安全面で実績のあるメインフレームを使う、Mac OSを選択するということを吟味してみることは意義深いのではないでしょうか。
元メインフレームエンジニアの思いを込めて

2006年4月5日水曜日

このBlogは、あくまで私個人の思いで開設しました。そういう訳で、Blogの更新は会社からの帰宅後や土日曜日、休日ということになります。今日は、代休を取得しました。免許の更新のため、所轄の警察に行き、春休み中の子供の相手をし、冬物のスーツやコートをクリーニングの出しと、いつの間にやらもう夕方5時半です。仕事だと時間の経過が遅いですがね。

ところで、インターネットが急速に普及し始めた頃、盛んに「在宅勤務」とか「SOHO]というキーワードがマスコミで飛び交っていましたね。曰くインターネットが距離の壁を崩した、曰く在宅勤務でライフスタイルが変わる、曰く就業形態の根本的な変革だとか、まあ様々言われました。しかし、あれから幾星霜、そんなに変わったと感じられないのは、私だけでしょうか。未だに朝の通勤列車に乗り(時差出勤の普及で混雑は緩和されましたね。これは、変わりました)、会社で仕事をして、列車にのって帰宅で。たまに、帰りに一杯のむ、相変わらずです。「在宅勤務」、「SOHO」はどうなってしまったのでしょうか。

昨今の情報漏洩、殆どが勤務先のデータが自宅PCに感染したウイルスが原因でWinny経由で、というパターンですね。真面目な方が、自宅で仕事するために持ち帰ったデータが漏洩してしまう、また、在宅勤務のため社用PCを持ち帰ろうとして、紛失したり、盗難に遭うという事例もあります。悪気が無いだけに、考えようによっては遣り切れないものがありますね(勿論、不注意であることは間違いが無いのですが)。

このような状況なので、情報セキュリティの関係者では、在宅勤務は是か非かとまで言われています。その理由は、
 1 自宅までは、企業の情報セキュリティ上のコントロールが及ばない
 2 財産権等の問題があり、個人のPCに対する強制的な安全策がとれない
 3 情報資産など、自宅に持ち帰られた場合の各種リスク(盗難、火災等)
 4 自宅と勤務先の往復でのPCや情報資産の紛失、盗難の危険
 5 社員の家族の問題
 6 その他諸々

等々、自宅での仕事、在宅勤務はリスクが一杯です。例えば、私の貧宅の場合、甲斐性なしのなのでPCは家族で1台を共有です。業務上、機密性の高いデータは当然、家族にも秘する必要がありますが、共有PCでどこまで秘密を守れますか。Note PCを持ち帰ったとしても、持ち運び中のリスクがあります。
 1 想定されるリスクを許容できるか
 2 在宅勤務ではいといけないのか
 3 想定されるリスク、脅威、脆弱性に対する有効なコントロールがあるか
 4 情報セキュリティだけでなく、内部統制上の問題はないか
 5 当初の想定より広がらないのは、その他にも原因がないか
 6 その他諸々

在宅勤務に対する問題点の指摘としては、社員間のコミュニケーションの問題や就業時間の管理、指揮監督が難しいなど、当初から言われていました。ここにきて、情報セキュリティ上のリスクが指摘され始めました。

私見ですが、「在宅勤務」はリスクが大きく、有効なコントロールも見当たらないですね。止めましょうは言い過ぎかもしれませんが、その是非について、改めて議論する必要はあります。現段階では、少なくとも奨励はできないです。皆さんは、どう思われますか。

2006年4月4日火曜日

資格を維持するということ

CISA、CISM、CISSP、CAISは、試験に合格し認定されても安泰ではありません。資格維持の活動が要求されています。これは、当該資格に必要なスキル、知識を維持向上させ、質の高い資格制度にしようというのが、当該資格認定団体に共通した目的です。米国発祥の前三つだけでなく、CAISのように国内で制定される資格精度でも最近は資格認定維持に一定の条件を課すことは珍しくなくなりました。ITコーディネータやISMS審査員も同様です。

さて、資格維持の条件ですが4資格とも教育や研修等への参加時間や能力向上に資する活動をポイント(CPEと呼ばれます)に換算し、3年間で120ポイント、1年で最低20ポイントの確保を義務付けています。

4資格を認定する3団体のうち、有資格者にCPE獲得の機会を継続的に提供している団体は、手前味噌になりますがISACA東京支部/大阪支部/名古屋支部だけです。東京支部の場合、6月以外の月に月例会、年に3回程度の外国籍会員向けの英語セミナーを開催しています。1回参加すると2CPEになるので、全てに出席すれば、24CPE程度は確保できます。私はCISAとCISMを保持しているので、月例会で獲得してCPEを両方に充当します。東京支部会員は月例会に無料で参加できるので、月例会でCPEの大半を稼ぐことができます。私は、CISAとCISMを保持しているので、月例会で獲得したCPEをCISA/CISM双方に充当しています。

CAISを認定する日本情報セキュリティ監査協会(JASA)は、ISACA各支部で開催
している月例会のような定例のセミナーを行っていません。その代わりに、CAISの資格維持ポイントとして申請可能なセミナーを認定しています。ISACA
月例会もその対象となっています(但し、主任監査人を除く)。

CISSPも同様ですが、CPEの認定の詳細はわかりません。保持者の方に聞くと、ご他聞にもれず、苦労されているようですね。ISACAの月例会ポイントの対象になるのでしょうか。

複数の資格を保持している場合、この資格維持制度で苦労します。私の場合は、ISACA東京支部の月例会で獲得したCPEをCISA/CISM/CAISに充当できるので、助かっていますが、残りのポイントを別途確保しなければなりません。

’情報セキュリティプロフェッショナル(自称)のブログ’オーナーの長谷川さんとよく話すのですが(長谷川さんはCISSP/CAIS保持者です)、互いの資格維持に必要なスキル/知識に共通した事柄もあるので、条件を満たす他団体のセミナーへの参加をCPEとして計上できるように、各団体で便宜を図ることは重要ですね。他団体に排他的になっても益することはないですから。

いまのところ、ISACAとJASAは、複数の方が双方の役員を兼務しおり、またISACAがJASAの後援団体ということもあって、相互に月例会やセミナーの日程を連絡し合うなどの友好的な交流が続いています。

各種資格保持者が維持継続のために苦労しています。各団体のイベントの情報
交換し合い、条件が合えばそのイベントへの参加をCPEとして認めることで、
この苦労を少しでも軽減できればと思います。

CISA継続教育プログラム概要

CISM継続教育プログラム

CAIS資格維持プログラム

2006年4月2日日曜日

資格取得のモチベーション

情報セキュリティプロフェッショナル(自称)のブログのオーナーの長谷川さんにトラックバックしたいと思います。トラックバックする記事は、資格取得のモチベーションです。

現在所持している資格
 ①公認情報システム監査人(CISA)
 ②公認情報セキュリティマネージャー(CISM)
 ③ISMS審査員補
 ④公認情報セキュリティ監査人補(CAIS)

一番古いのは①です。②は2社目の会社で、③と④は昨年、現在の勤務先に転職して会社からの指示で取得しました。自発的意思で取得したのは①と②になります。

CISAは、当時勤めていたソフトウェアベンダーの元上司に薦めらました。当時会社では、メインフレーム中心の業態からオープンシステム中心へと急速に転換していました。私はメインフレームの運用管理やアクセスコントロール製品を主に担当していたので、そうした潮流の中で将来に対する備えとしての受験でありました。報奨金の制度がありましたが、

 受験コスト > 報奨金

だったので、報奨金目当てではなかったです。その後の資格維持のコストも掛かりますから、情報技術者試験のように資格維持制度が無ければ別ですが、一回だけの報奨金ではモチベーションになり得るかは疑問です。(情報技術者試験が資格試験かという疑問もありますが)

CISMは、転職後の取得です。CISMの制度が出来たばかりで、過去の経歴審査で取得できる特例制度グランドファザリングを利用しました。チャンスは逃すべからずと考えた訳です。この時の勤務先は、外資系のストレージメーカーで、この手の資格に対する報奨金制度はありませんでした。

ISMS審査員補とCAISは、現在の勤務先に転職後に会社の指示での取得です。講習の費用、申請料など全て会社負担でした。ちなみにCISA、CISMの資格維持に掛かる費用も会社負担です。

私の資格取得のモチベーションは、将来への投資ということですね。実際、現在の勤務先への転職は、CISAとCISMを保持していたことが大きく影響していますから、投資効果があったということになりますね。

資格維持のコスト負担を考えた場合、一回だけの報奨金より受験費用や維持コストの会社負担の方が有難いのではないのでしょうか。最初の会社の場合、報奨金だけで資格維持費用は個人負担でしたから、在籍した間にCISAを取得したのは3人だけでした。現在の勤務先は、受験料や維持に関する費用負担をしてくれるので、続々とCISA、CISM、CISSP、CAISの有資格者が増えています。ソフトウェアベンダーと情報セキュリティコンサルティング企業との違いもありますね。有資格者が増えるということは、企業としてのメリットが小さくないです。

報奨金の額にもよりますが、資格取得のモチベーションは、一時金だけではなく、取得した資格によってメリットがあるか、維持するコストには見合うものか等など様々な要素がありますね。

次回は、その資格維持制度について私見を述べたいと思います。なんせ、これで私も仲間も苦労していますから。

http://blogs.yahoo.co.jp/hase_sec/trackback/89885/1731276

2006年4月1日土曜日

現在、国内外の資格の取得が盛んになっています。そこで、資格について
考えてみたいと思います

システム監査関係
 公認システム監査人(CSA)     日本本システム監査人協会(SAAJ)
 公認情報システム監査人(CISA)   Information System Audit and Cntrol Association

情報セキュリティ監査関係
 公認情報セキュリティ監査人(CAIS) 日本情報セキュリティ監査協会(JASA)
 情報セキュリティ専門監査人    日本システム監査学会

情報セキュリティ専門家
 公認情報セキュリティマネージャ(CISM)
                  Information System Audit and Cntrol Association
 公認情報システムセキュリティ専門家(CISSP) (ISC)2

その他
 ISMS審査員            日本情報処理開発協会
 

その他にもプライバシーマーク関係とかもあるのですが、私見としては、上記資格とは色合いが違うと思います。同じ理由で、システム監査技術者も同様です。

いずれにしてもリスクを扱うことには相違はないのですが、では何が違うのか

システム監査関係 (CISA、CSA)
 対象は情報システム/IT、並びに関係するプロセスに対する監査
 下記、情報セキュリティ監査とは、情報システム/ITに関して相互補完
 関係にある。(情報セキュリティ監査の結果を利用することもある)

情報セキュリティ監査関係
 対象は情報セキュリティ並びに関係するプロセスに対する監査
 上記、システム監査とは、情報システム/ITに関して相互補完関係にある。
 (システム監査の結果を利用することもある)

情報セキュリティ専門家
 監査ではなく、企業/組織内での情報セキュリティの管理者、専門家。

各々の分野の相違は割りと明確だと思います。では、分野内の各資格の相違は
というと・・・・CISAとCSA、CAISと情報セキュリティ専門監査人には、正直
よく判りません。私自身は、CISAとCAISを取得しているのですが、CSAと情報
セキュリティ専門監査人は制度を良く知らないので、比較できません。
言えるのは、CISAとCAISは、保有者同士、認定団体同士の交流もあり、資格も相互補完的なので、双方を取得するメリットは感じます。逆に言えば、CISAとCSAを同時に維持するメリットは感じないということです。

CISMとCISSPの場合は、前者がどちらかというと情報セキュリティの維持管理やプロセスの運用に重きがあり、後者が技術的な実装面を重視しているという
印象があります。いずれにしても情報セキュリティの管理者には、必要な素養
であることには相違はないです。

では、どの資格を目指すべきか。以下は私見ですし、現在の状況を基にしています。将来は、変わることのあるこを前置きしておきます。

まず、既にCISAを持っている人は、CSAを同時に維持するメリットは少ないように思います。また、逆もまた然りです。双方とも資格維持制度があり、ほぼ同じ条件です。同じ分野の資格を維持するのにかかる労力やコスト負担を考えれば、どちらか一つを取得しておけば充分であろうと思います。

CAISと情報セキュリティ専門監査人ですが、上記と同じ理由で双方を同時に維持するメリットはありません。CISAやCSAであるならば相互補完的であるので、労力やコストを負担するメリットはあろうかと思います。

CISMとCISSPですが、同時に保持することについては上記と同じです。他の資格との相互補完を考慮すべきでしょう。

では、メリットのある組合せはなんでしょうか。

資格維持/労力面
 認定団体が同じですから、CISAとCISMが最もメリットがでます。例えば、ISACA東京支部の月例会に出席すれば、双方の資格維持のポイントにできます。

相互補完
 CISA/CSAのどちらかとCAIS/情報セキュリティ専門監査人どちらか
 CISA/CSAのどちらかとCISM/CISSPのどちらか
 CISM/CISSPのどちらかとCAIS/情報セキュリティ専門監査人のどちらか
 お互いにかぶらない組合せがいいのではないでしょうか。

コスト
 CISAとCSIMは、最もコストメリットがないかも。

私自信は、CISA/CSIM/CAISとISMS審査員補です。JASAとISACAは、双方の役員の兼務者も少なくなく、交流もあるのでメリットを感じています。ISMS審査員補は、まあ会社の費用負担なので、まあいいかなぁというところです。

どの資格が良く、どの組合せが一番ということは言えません。自分に必要な資格をメリットある組合せで取得しましょう、ということでないでしょうか。
曖昧で締りの無い結論ですね。 m(_ _;)m  あしからず