JNSA 2007年度活動報告会が開催されます

来る6月13日に、特定非営利活動法人 日本ネットワークセキュリティ協会(JNSA)主催のセミナーが開催されます。このセミナーのパネルディスカッションに、私もパネラーとして参加することになりました。

ディスカッションのテーマは、「情報セキュリティのキャリアパス　～現状と未来～」。
情報セキュリティに携わる人材に係る教育やスキル向上、キャリアパスなどについて、意見交換が行われるのだと思います。
あくまで私見ですが、現在、情報セキュリティやシステム監査、IT統制などに関わる人達は、組織的体系的教育を受けた経験は、そんなに多くないと思います。自己啓発として、もしくは業務上の必要性から、外部教育機関のセミナーを受講したり、独学したりで、その知識やスキルを磨き上げてきたケースが大半かと推測していますが、どうでしょうか。
また、キャリアパスについても、その専門知識、知見、経験が有効に活用できる、正当に評価されているのでしょうか。監査法人とかコンサルティング業務に従事している場合はともかく、企業内で情報セキュリティ業務に従事している場合など、なかなか難しいのではと思われます。
このパネルディスカッションで、どこまでの話しになるか、何とも言えませんが、情報セキュリティの係るキャリアパスという、個人的に関心のあるテーマですので、本blogでも紹介することに致しました
JNSA 2007年度活動報告会
http://www.jnsa.org/seminar/2008/0613/index.html

CISA/CISM試験まであと一ヶ月となりました

2008年前期のCISA/CISM試験まで、丁度一ヶ月となりました。受験者の皆様は追い込みに入った時期かと思います。そして、当blogもアクセス数が平均を上回る期間でもあります。CISA試験とかCISM試験、受験対策といったキーワードで、当blogを見つける方も少なくないようです。
そこで、試験前恒例、試験対策情報です。

CISA/CISM試験参考　
1　時間割をしましょう
試験時間は4時間ですが、短いようで長く、長いようで短いです。4時間を上手に使うことが必要です。回答見直しの時間も含めて、時間割をすること水晶します。
私が受験した時は、問題が250問で試験時間は5時間でした。回答見直しを1時間とし、4時間で250問を回答する計画としました。
2　必ず回答しましょう。　
問題は4択です。無回答ですと0点ですが、鉛筆倒しでも正答確立25%です。必ず回答しましょう。そして、印を付けておきます。全問回答した後に見直しと、正解が分かることがあります。これは、全問回答することで問題に慣れした結果、回答のコツが分かってくるからだと思います。　
3　長考は避けましょう　　
分からない問題に長考せず、適当に解答をして次の問題にかかりましょう。長考して、時間を空費すると、焦りがでます。本来の力を発揮できなくなりますので、長考は考え物です。適当に回答して、潔く次の問題に移りましょう。やはり、印をつけておきます。理由は上記と同じです。
4　問題はをよく読みましょう
回答は、唯一の正解を求めるものだけではありません。下記の類型他あります。
①　最も適切なものを回答
②　最も適切でないもの回答
③　唯一の正解を回答
④　唯一の間違いを回答
①と②の場合、回答選択肢はどれも間違いではありません。その中で最も適切(不適切な)回答選択肢を選びます。問題を良く読み、問題の類型を見極めましょう。また、問題の中に解答のヒントがあることも少なくありませんので。
　
5　見直しをしましょう
全問回答後の見直しも重要です。鉛筆倒しで決めた回答、長考を避けるためにした回答を見直します。回答時点では分からなかったことが、見直し段階で解消することも少なくありません。これは、私の経験からのアドバイスです。　
　
回答の選択間違いもあります。回答は間違いなくAなのにBにしていた、何てが少なくないものです。こういった回答ミスを拾いましょう。
見直しで、確実に何問かを拾えると思います。私は1回目の試験は不合格でしたが見直しをしていませんでした。合格したときは、 見直しをして、幾つかの問題を拾ってました。一回目の試験で、きちんと見直しをしておけば、合格していたのではと、今も思っています。
6　集中力に回復
四時間集中力を維持するのは難しいです、というか不可能ではないでしょうか。私は、集中力を維持するのでなく、回復するということを考えました。
一時間経過時点　　　深呼吸、そして１～２分休憩
二時間経過時点　　　トイレに行く。すっきりしてから、顔を洗い、リフレッシュ
三時間経過時点　　　深呼吸、そして１～２分休憩、見直し突入
7　飲み物、飴
飲み物や飴を持ち込み、途中で水分補給をして喉を潤し、雨で糖分の補給をして乗り切りました。当時は、ペットボトルの持込や禁止されていませんしたが、現在はどうなのかは確認が必要です。
8　朝食は必ず摂りましょう　
試験は、朝から昼食時までです。私は、結構空腹感を感じました。空腹感は集中力の妨げになります。朝食は抜いてはいけません。
以上受験にあたっての注意ポイントです。
　
時間配分例
時間配分 － 見直し時間考慮せず
240分÷200問 ＝ 1分12秒/問
解答だけを配慮した時間配分
見直しに1時間程度、必要
時間配分 － 見直し時間を考慮
見直し1時間(60分)
(240分－60分)200問 ＝ 54秒/問、自信がある場合は10秒以内で解答可能、54秒は短く感じない
他の問題に時間を振り向けられる
集中力の持続は困難、早目に200問に解答する
1分以上を考えた問題は、適当な解答を選んで後回し、次の問題へ
4時間の長丁場です。皆さん、頑張って下さい。

アクセス権限が承認された担当者による悪意ある行動は防げるか Part Ⅱ

東京都あきる野市の資産家の姉弟の行方不明事件、行方不明事件から強盗殺人事件へと展開しました。最悪の事態になり、被害者のご冥福を祈らずには居られません。

この事件、情報セキュリティに携わる関係者にとっても、重大な教訓が残ったのではと思います。

以下は、朝日新聞Webからの引用です。

あきる野不明　「２人で埋めた」供述、遺棄容疑で逮捕2008年05月08日11時22分
　東京都あきる野市の資産家姉弟行方不明事件で、元同市職員沖倉和雄容疑者（６０）＝窃盗容疑で逮捕＝が、元暴力団組員で土木業伊丸岡頼明容疑者（６４）＝同＝とともに「２人で姉弟を殺害し、遺体を埋めた」と警視庁の調べに供述していることがわかった。伊丸岡容疑者も一緒に遺体を埋めたことを認めているという。同庁は長野県飯綱町の山林で発見した遺体を姉弟と確認。８日、両容疑者を死体遺棄容疑で再逮捕した。今後、強盗殺人容疑でも調べる。
　五日市署捜査本部の調べでは、両容疑者は４月９日、調布市立図書館職員大福（おおぶく）康代さん（５４）と弟の無職広和さん（５１）の遺体を自宅から運びだし、同月１３日、飯綱町の休耕地の土中に埋めた疑い。現場の休耕地は沖倉容疑者の義弟が使用していたという。
　調べでは、遺体はいずれも衣服を着けたままの状態で埋められていた。一見して目立った外傷はないといい、捜査本部は司法解剖して死因などを調べる。
　大福さん方は親の代から資産家として地元で知られていた。姉弟は９８年に自宅近くに所有していた土地を約３億３千万円で、０５年度には別の土地を約１億円でそれぞれあきる野市に売却した。沖倉容疑者は同市役所で０４年４月から９カ月間、市民の資産や給与に関する情報にアクセスできる職にいたことから、捜査本部は同容疑者が仕事を通して得た情報を悪用した疑いもあるとみている。　
　沖倉容疑者は、姉弟のキャッシュカードを使って現金を引き出したとされる窃盗容疑で逮捕された当初、「姉弟の名前も知らない」と容疑を否認し、その後黙秘を続けていた。しかし捜査本部は、沖倉容疑者が伊丸岡容疑者を誘い、金銭目的で姉弟を殺害、遺体を土地勘のある場所に捨てた疑いが強いとみて、調べていた。

最初の投稿でも強調したのえすが、報道では犯人の一人は市役所勤務時代に、市民の情報にアクセスする仕事に従事していた、つまり当該情報へのアクセス件が承認されていたと推測されます。それも、職務上に必要性からの正当な権限であった可能性も大です。
(あきるの市のアクセス管理の実際が不明なので、あくまで推測ですが)
課題１　アクセス権が正式に承認された担当者の悪意ある行為
課題2　大量データなく、対象を絞った少量データの漏洩
この記事のタイトルでもあるのですが、アクセス権を正式に承認されている担当者が、悪意をもってデータにアクセスしても防ぐ術はありません。アクセス権が正式に認められている以上、当該のアクセス行為が悪意あるものか、そうでないかをコンピュータのソフトウェア/ハードウェアが判定することはできないからです。
USBメモリや外付けHD、DVD/CDなどを利用した大量データの漏洩は、可搬記憶媒体の管理やログの監視などで、その発生可能性を低減することは可能でしょう。しかし、対象を極端に絞り、可搬記憶媒体を使用せず、メモ用紙や本人の記憶などで持ち出されたら、お手上げです。これも防御手段が見当たりません。
今回の誠に痛ましい事件も、犯人が市役所勤務時代の記憶から、犠牲となった姉弟をその許されざる犯行の標的としたようです。
アクセス権限が正式に承認された担当者が、そのアクセスによって得た記憶を悪意ある行動に利用する。これは、もしかして防ぐ術が無いのかなと、暗澹たる気持ちなった事件でした。

ITガバナンスとは

2008年3月3日、耳の日の投稿でも紹介したISACAの新たな資格認定制度、'Certified in the Governance of Enterprise IT(CGEIT)'ですが、おそらく日本人第一号の認定者が誕生しました。　

何事も事例が有るのと無いのでは、話の重みが全く違います。これでまた、一歩前進、目出度し目出度しです。

現在、東京支部はCGEIT委員会を発足させ、CGEITの普及促進を図っていますが、その委員は全員がCGEIT Grandfathering Rogramの申請をいたしました。その委員の方からCGEITに認定されたとのメールをいただきました。申請書の提出から、約一ヵ月半とのことでした。結果の通知まで、12週間と理解しておりましたので、早かったなというのが感想です。
'Certified in the Governance of Enterprise IT(まだ、何と翻訳するかが決まっていないのが玉に瑕です)、これから色々な機会に紹介していく予定ですが、委員の中に認定者がいるということで、CGEIT委員会の活動にも弾みがちきそうです。
今後の予定は、6月にISACA大阪支部と名古屋支部の総会でCGEITの紹介を行います。また、実際の認定者誕生を前提としてですが、申請書の書き方について、成功事例を基づいたワークショップの企画しています。認定者第一号が誕生したので、前提条件は充足しました。これからは、開催日やアジェンダなどCGEIT委員会で検討します。
年内に何としても2名のCGEIT認定者を誕生させることが目標です。その第一号の誕生のニュースでした。
By ISACA東京支部　CGEIT担当理事

コメント第一号 ありがとうございます

　再び、茨城県国民健康保険団体連合会の巨額横領事件についてです。
この事件は、世間的な関心も高いようで、ワイドショーなどでも多くの時間が割かれ、その横領の手口が報道されていますが、呆れ返るばかりですね。

　前回の記事で「全く内部統制が無かったと断定していいです」と記載しましたが、誤りではなかったようです。連合会の役員諸氏の考えはともかく、報道されている範囲で考察すれば、内部統制が少しでもあったと判断することは出来ないでしょう。少なくとも有効な統制があったとは言えません。
(1) 引下ろしに必要な印鑑と通帳が同じ金庫に保管されていた
当然、別々に保管して然るべきです。通帳と印鑑があれば、預貯金の如何なる操作も可能です。不正な預貯金操作(今回の事件では横領)というリスクを想定するならば、印鑑と通帳は別々に保管、管理者も同一人にしないことは当然の管理策でしょう
(2) 犯人が通帳と印鑑を金庫から自由に出し入れしていた
通帳も印鑑も然るべき手続、つまり使用の申請を行い、管理者が照査し、その上で認証され、記録に残す、が必要です。そして、その記録を定期的にレビューしていれば、当該職員の使用記録が突出しており、詳しい調査が必要なことに気がついたのではないでしょうか。
　
(3) 監査は年に2回実施しているが、発見出来ず
大掛かりになる監査はだけでなく、出納に関する検査はもっと頻繁に行う必要あるでしょう。例えば、通帳に検査日までの最新の出し入れを記帳、検査すれば犯人による異常な出勤を早期に発見できた筈です。また、頻繁に実施される出納検査が、横領事犯の抑止効果になったと思います。
(4) 犯人を信じきっていた　
善人だから、大丈夫だと考えていたようです。連合会幹部が報道機関のインタビューに答えていましたが、日頃真面目に勤務していたので、横領するとは思わなかったと話していました。性善説はやめましょう。資金が不正に操作される、横領されるというリスクに備えましょう。善人なら管理を緩くし、悪人なら厳しくするのでしょうか。そもそも、悪人と分かっていながら採用することはない筈です。
　
(5) チェックはしていたつもり　
連合会役員は、報道機関からの質問にチェックはしていたつもりと回答していました。しかし、必要な検査照査が行われていないから、横領を許し、しかもこれだく巨額になるまで発覚しなかったのは明白です。
青森県住宅供給公社の巨額横領事件では犯人は懲役14年に処せられ服役中です。横領の法定刑の最高が懲役10年でしょうから、検察は他の罪状と合わせ併合罪で起訴し、裁判官もそれを認めたのでしょう。今回も国民の保険金を横領したので、検察は同じように他の罪状を合わせて可能な限り長期の量刑を求めてくるものと思われます。しかし、10億円という国民の貴重は保険金が弁済される訳ではありません。このような不正を起こさせない仕組みが必要なのでは言うまでもありません。
この手の事件で聞かれる弁解の常套句が、犯人が真面目であったとか勤務態度に問題は無かったとかです。そして、今後は性悪説にたち対策をとると言うわけです。内部統制は、性善説性悪説は全く関係ないと考えています。
当社は性善説にたち、社員を信用しているので、内部統制を必要としていませんとか、性悪説にたち社員に権限を委譲しませんとか・・・　　双方とも間違っていませんか。
社員に業務に必要な権限の委譲がなければ、業務は遂行できませんし、業務に潜むリスクに備えなければ、今回のような不正を防げません。
企業(事業体)は、信頼できると判断した場合に社員(職員)を採用し、職務の遂行に必要な権限を任せます。内部統制は、個々人を対象とする属人的なものではなく、業務プロセス中のリスクを対象とするものではないでしょうか。真面目で勤務態度の良いから、性善説にたち、職務上のリスクに対して、何の備えもしないというのは言い訳にもなりません。性悪説と称し、業務の遂行ができないのも愚の骨頂です。
私は、内部統制は想定されるリスクに対する備えだと考えています。想定されるリスクが小さければ、コスト面から考えて特に対策を採らないということも有りだと思いますし、また想定されるリスクの発生可能が低い、つまり脅威脆弱性が小さいので、管理策の程度を下げることも有り得ると思います(当然、経営陣によるリスクの許容が前提ですが)。リスクが有るから管理策が有るので、人の性格の良し悪しで左右される問題ではないでしょう。
　
私は、内部統制を性善説性悪説で判断していくいことには断行反対です。私も意見に賛同していただける同志を募りたいです。

全日本柔道選手権

今日、日本武道館で全日本柔道選手権が開催されました。柔道の最強選手を決める大会ですが、今年は北京オリンピックの100キロ超級の代表選考の兼ねており、大会前から話題沸騰でした。

4年前の全日本選手権は、井上、鈴木、棟田の三選手が100キロ級、100キロ超級の二つの代表枠をかけて激突しました。3選手とも前年の世界選手権を制しており、世界チャンピオン三人が優勝を争う、正に世界一決定戦でした。
今年の話題は、何と言っても井上康生の優勝なるか、だと私個人は思っておりました。午後4時からのNHKによる放映に釘付け状態でした。
準々決勝の井上対高井戦、残念ながら応援していた井上康生選手は負けてしまいました。しかし、最後まで攻め通し、リスクを掛けた最後の内股を好かされ、そのまま押さえ込まれて敗者となりましたが、積極的に出ての敗戦なので、堂々たる敗戦だと思いました。
準々決勝の棟田選手のリードされた後の支え釣り込み腰、相手選手を畳の上に背中から投げつけ、鮮やかで文句なく一本勝ちでした。
準決勝の鈴木対高井戦、鈴木選手の芸術的な足払い、見事でした。
決勝戦、コメントしたくありません(過去の選手権で優勝者が警告を受けたことはありません。前代未聞です)。
井上康生選手、現役引退かもしれませんが、シドニーからここまで、柔道界を背負って立ってきた功績は大きいと思います。ご苦労様でした。

「内部統制大賞」

産経新聞に面白い記事を発見いたしました。何でもな「内部統制大賞」なるものがあるそうなのです。
社○保険庁や○県国民健康保険団体連合会は、端から審査対象外ですね、多分・・・

以下は、産経新聞Webからの引用です。

　strong>【岩崎慶市のけいざい独言】内部統制は身の丈に合わせて
2008.4.28 08:21
　今年は「内部統制元年」といわれる。昨秋には金融商品取引法が施行され、今年度からは財務計算の適正性に対する評価制度なども適用される。６年目を迎えた「誠実な企業賞」も「内部統制大賞」（Ｋｆｉや産経新聞など協賛）に衣替えしたが、「誠実」が要であることに変わりはない。
　小欄が初回から選考にかかわってきて改めて思うのは、コンプライアンス（法令順守）の難しさだ。今回も優秀賞に決まった資生堂が、子会社の不祥事発生を理由に先月の授賞式直前に辞退した。
　資生堂といえば、長年の積極的な社会貢献活動で定評がある。いくら経営陣が高い意識を持ち、内部統制体制をつくり上げても、何万という従業員を抱える大企業ではなかなか不祥事を防ぎきれない。
　
最近は企業のグローバル化が急進展し、異文化で育った外国人社員も多い。野村証券の中国人社員によるインサイダー取引事件は、グローバル化に対応する内部統制という新たな課題も突きつけている。一方で食肉偽装や船場吉兆、赤福など中堅企業以下の不祥事も目立つ。わずかでもトップが規律を備え、初歩的企業統治を行っていたならと思うが、たとえその気があっても中堅・中小企業には人材やノウハウに乏しいという悩みがあるようだ。
　
そこでもう１つの優秀賞企業である協立電機（本社・静岡市）を紹介したい。北米やアジアにも事業所を持つＦＡシステム会社だが、従業員はグループ全体で１０００人に満たない典型的中堅企業である。
　評価されたのは環境とコンプライアンスを重視し、それを人事評価へ反映させている点だ。といっても、大がかりな組織をつくったわけではなく、基本はリスクを最小限に食い止めることだという。
　「これをバカ正直にやり続ける。それが決して企業収益に反しないことを朝礼でいつも話している」と西雅寛社長は語る。
　
大手商社勤務だった２６年前に家業を継いだ２代目社長は、最初に社是を決めたともいう。小難しく考えることはない。身の丈に合った内部統制を行えばいい。

　私は、記事の内容は概ね賛成なのです。何故、概ねかというと、「内部統制大賞」は選考が難しいのではないかと思うからです。何を以って、選考基準とするのでしょうか。有効性なら、有効性評価の基準はということになり、結局は審査員の主観かなとも思えます。可能性は限りなく零に近いのですが、私に審査員の依頼があったら辞退します、多分。でも、報酬に左右されるかもです。