2008年 情報セキュリティ事始

昨日が仕事始めだった方も少なくなかったようです。私はと言うと、とある事情で1月11日が仕事始めです(1月11日過ぎたら、その訳を公表します)。
ですが、早速情報セキュリティ事始となりました。それも自宅で・・・・・

昨年末から、当Blogに不愉快不適切なコメントが投稿されるようになっていました。ゲームソフトの紹介を装っているのですが、実はアダルト系のサイトに誘導をしているようです。
以前から、このBlogの趣旨に関係ないコメントやトラックバックは、たまにあったのですが都度削除してきました。一回削除すれば、リピートがない場合が殆どなのですが、このコメント投稿者はしつこくて、削除しても翌日には全く同じ内容で投稿されるので、ホストをBlgoのブラックリストの登録して投稿禁止にしました。しかし、ホスト変えて、全く同じ内容で投稿があり、リンクが張られたHPには、ウイルスのおまけま付きでした。McAfeeの警告が上がり、直ちに削除されたのですが、念のためにMcAfeeをWindows Defederで詳細スキャンを実行して、慎重を期しました。この詳細スキャンでほぼ3時間を費やし、Blogのブラックリストの登録を修正、対象キーワードやIP、ホスト名などもマッチ対象が広がるようにしました。
私の情報セキュリティ事始は、自宅PCとBlogのウイルス対処と、予防強化でありました。
他の皆さんのBlogでも同じようなことがあると思いますが、皆さんはどのように対応しているのでしょうか？
参考のためにご教授いただくとありがたいです。

謹賀新年

2008年元旦

明けまして、おめでとうございます。本年も宜しく、お願い申し上げます。



2008年になりました。このBlog諸事情により、すっかり更新のペースが落ちていますが、取り敢えず継続します。
CISA/CISM試験が近くなるとアクセス数が急増します。受験者の皆さんは、参考になる情報をインターネットで集めているのでしょうね。
自分の趣味で始めたBlogですが、定期的に参照、なかにはご意見をいただけることもありますので、もう少し更新のペースを上げることを目標にしつつ、今年も続けていきますので、宜しくお願いします。

2007年度 情報セキュリティ監査セミナー IN NAGOYA

一ヶ月以上、ご無沙汰してしまいました。その間、忙しかったのかと言われると、半分その通り(仕事及び忘年会他)、半分はそれほどでもありません、というのが正直なところです。

ところで、このBlogはプロバイダーとしてFC2を利用しています。今まで気がつかなかったですが、FC2のBlogは、一ヶ月以上更新しないと、勝手に広告が記事として掲載されてしまうんです。

三社の広告が掲載されていました。そのうちの1社は日本CA、ITILに関するものでした。これは、まあ良いとして、パチンコ業者はまずかったですね。でも記事を投稿すれば、削除されるようです。

これからは、一ヶ月以上間を空けないようにしないといけませんね。

 

ところで、昨日12月20日は名古屋で「2007年度　情報セキュリティ監査セミナー　IN NAGOYA」が開催されました。私もスピーカーの一人として参加してきました。
J-SOXと情報セキュリティということで、内部統制とITガバナンス、情報セキュリティについて、40分ほど話てきました。その他に、監査手続ガイドについて永宮さん、保証型監査については、澤田さんとお二人ともJASA保証型監査普及促進プロジェクトG-タスクメンバー、すっかり幽霊メンバーの私は、久し振りの対面でした。
澤田さんの発表をきいて、G-タスクが大詰めにきていることを感じました。来年辺りからは復帰したいとおもいつつ、今更戻れるかなと不安にもなったしだいです。
参加者は100名強で、話しながら参加者の様子をみてもいると、皆さんいずれも熱心に聴いておられました。関心の高さが肌で感じられ、有意義なセミナーでした。
来年3月、福岡でもスピーチがあるので、いま発表内容を公開することはできませんが、いずれこのBlogで公開したいと思います。
名古屋、久々だったので、駅前の変化にビックリです。かつての最高層ビル、大名古屋ビルヂングが、超高層ビルに囲まれ、すっかり縮こまっていましたね。ホント、驚きました。

CGEIT

12月20日の全国縦断情報セキュリティセミナー名古屋会場でのスピーチ用の資料作成をしています。

情報セキュリティ監査セミナー in NAGOYA

土日や休日を利用しながらですが、段々と完成に近づいてきました。その過程で、IT統制とJ-SOXについて参考資料を読みつつ、考えてみたのですが・・・

IT統制は、IT全般統制とIT業務処理統制とに分類されます。
また、ITに対する、ITのよる統制という言い方もします。ITに対する統制がIT全般統制、ITによる統制がIT業務処理統制になります。
財務報告に係る多くのプロセスがIT化され、また多くの財務関連データが電子化されている以上、その業務プロセスへの統制もITを利用することは（IT業務処理統制）は、自然な流れで当然だと思うのです。
ITを利用する統制が健全である、有効であるためにはIT基盤の維持管理対する統制、つまりIT全般統制が機能していることが重要ということになってきますね。
J-SOXとIT統制の関係では、財務報告に係るIT統制への監査となるのでしょう。
しかし、特にIT全般統制の場合は、財務報告に係るか係らないかと分けて考えることは無意味というか、無理なような気がします。
これは財務で、これは非財務を分けてITの運用や問題管理をしていることは、ちょっと考えられません。アクセスコントロールの場合は、精度の問題としてはあるかもしれませんが。
しかし、全体としてはIT全体を一体として考える方が合理的だと思います。ですから、IT全般統制という観点での監査の場合、被監査主体のIT全体が監査対象なるだろうな、と資料を作りつつ考えました。
当日は、そんなことを考えつつ、J-SOXとIT統制、それと情報セキュリティと情報セキュリティ監査について、40分ほど喋って参ります。名古屋の方、会場でお会いしましょう。
まあ、その前に今月末に迫った資料作成の締切りを守らねばいけませんね。
そして、名古屋のあとは3月に福岡です。久しぶりだな、福岡は！

プリンターを買い換えました

緊縮財政で歳出削減の最中、11月4日日曜日にプリンターを買い換えました。今までのプリンターは、昨年買い換えたPCと共に7年前に購入したものです。A4用紙と葉書に印刷できれば良いので、プリンターは継続して使用していたのですが・・・・

とうとう、ウンともスンとも言わなくなり、使用不能状態なってしましました。自宅で結構、印刷することが多いので、厳しい財政状況の中、思い切って購入した訳です。
有楽町(たまたま用があって出かけたついでに)のビックカメラで、今まで貯めたポイントを使って、9,000円強の支出でした。
A4と葉書の印刷が出来て、コピーやキャプチャー機能付き、デジカメ写真の印刷では、古いプリンターとは比較にならないです。が、写真の印刷は殆どしないのですが。コピーとキャプチャーの両機能は大いに助かりそうです。
ISACA東京支部の理事やJASAのプロジェクトに参加していることもあり、自宅で様々な資料を印刷することが多いので、プリンターは必須です。
会社で印刷する手もあるのですが、休日に自宅で印刷せざるを得ないこともあります。おそらく、同じ立場にある方々も同様なのではないでしょうか。
12月20日のJASA全国縦断情報セキュリティセミナー用の資料作成をしなければならず、参考資料の印刷に早速活用しました。

社会保険庁－内部統制の欠如の典型

10月27日の土曜日に、CPA、CIA、そしてCISAのホルダーが集まっての懇親会がありました。このような機会、そんなにあるものでなく、アルコールが入るにつれ、話も盛り上がってきました。皆さん各々の立場で内部統制に関心というか関係がある人達ばかり、段々にとあるお役所の話になってきました。内部統制の欠如の典型だと・・・・　そう、巷で評判の社会保険庁です。

話してでた統制の欠如の数々、情報セキュリティの観点から
1 機密性の欠如
初回保険庁の職員は、職務権限のないのに、被保険者の個人情報を
　盗み見、あろうことか外部にリーク。しかも、処罰後にまた遣る豪
　の者も。
　しかし、誰でも被保険者情報が検索できるということは、アクセス制
　御、してないんですね。
2 完全性の欠如
　被保険者の名前、住所、生年月日など正しく入力されていない。
　こんなデータ、誰が信用するのでしょうか。
　入力されていないデータ多数、原本も可也の数が廃棄済み。
　検証もできないです。
　
3 可用性
　システムに詳しい担当者もいない。SI業者にお任せ。大丈夫？
4 その他
　契約書のなく、請求されるままにSI業者に数千億の支払い。
　民間企業であったら、会計監査で会計士さんは適正意見、
　付けられないのではと。
政府系機関でも、こんない酷いところ、他にないでしょう。先程、民営化した郵政事業、郵政観察はあるし、民間金融機関、宅配業者等との競争もあるし、まだまともですね。
各々が、各々の観点を披露しての議論、楽しかったです。また、こんな機会が欲しいですね。
しかし、社会保険庁(そして、自治労)、凄い組織です。CPA、CIA、CISAで集まって、この組織の内部統制について実態調査をすると面白いかも。

ITGI Japan カンファレンス 2007

丸一ヶ月ぶりの更新です。この一ヶ月、ご無沙汰してしまった理由は・・・ふ～ん　多分忙しかったということしかありません。じゃあ、更新する暇も無い程かと突っ込まれると、実はそれ程でもないかもしませんね。まあ、正直なところ怠業です。

久し振りの今回は、ISACAの関連団体のイベントの紹介です。

昨年設立されたITGIジャパン(ITGI-J)の主催によるカンファレンスが開催されます。今回のテーマは「企業目標達成のための必須道具としてのＩＴガバナンス」です。
ITが企業活動にとって必要不可欠であることは論を待ちませんが、そのITが本当に企業活動にとって有益であるか、投資した額に見合っているかなど等は一に適切なITガバナンスに係っていると言っても過言ではありません(と私は思います)。
「ITGI Japan カンファレンス 2007」では、そのITガバナンスについて、講演が予定されています。皆さん、奮ってご参加下さい。そして、会場にてお会いしましょう。
カンファレンスについては下記をクリックして下さい。
　　↓
ITGI Japan カンファレンス 2007