CGEIT

12月20日の全国縦断情報セキュリティセミナー名古屋会場でのスピーチ用の資料作成をしています。

情報セキュリティ監査セミナー in NAGOYA

土日や休日を利用しながらですが、段々と完成に近づいてきました。その過程で、IT統制とJ-SOXについて参考資料を読みつつ、考えてみたのですが・・・

IT統制は、IT全般統制とIT業務処理統制とに分類されます。
また、ITに対する、ITのよる統制という言い方もします。ITに対する統制がIT全般統制、ITによる統制がIT業務処理統制になります。
財務報告に係る多くのプロセスがIT化され、また多くの財務関連データが電子化されている以上、その業務プロセスへの統制もITを利用することは（IT業務処理統制）は、自然な流れで当然だと思うのです。
ITを利用する統制が健全である、有効であるためにはIT基盤の維持管理対する統制、つまりIT全般統制が機能していることが重要ということになってきますね。
J-SOXとIT統制の関係では、財務報告に係るIT統制への監査となるのでしょう。
しかし、特にIT全般統制の場合は、財務報告に係るか係らないかと分けて考えることは無意味というか、無理なような気がします。
これは財務で、これは非財務を分けてITの運用や問題管理をしていることは、ちょっと考えられません。アクセスコントロールの場合は、精度の問題としてはあるかもしれませんが。
しかし、全体としてはIT全体を一体として考える方が合理的だと思います。ですから、IT全般統制という観点での監査の場合、被監査主体のIT全体が監査対象なるだろうな、と資料を作りつつ考えました。
当日は、そんなことを考えつつ、J-SOXとIT統制、それと情報セキュリティと情報セキュリティ監査について、40分ほど喋って参ります。名古屋の方、会場でお会いしましょう。
まあ、その前に今月末に迫った資料作成の締切りを守らねばいけませんね。
そして、名古屋のあとは3月に福岡です。久しぶりだな、福岡は！

プリンターを買い換えました

緊縮財政で歳出削減の最中、11月4日日曜日にプリンターを買い換えました。今までのプリンターは、昨年買い換えたPCと共に7年前に購入したものです。A4用紙と葉書に印刷できれば良いので、プリンターは継続して使用していたのですが・・・・

とうとう、ウンともスンとも言わなくなり、使用不能状態なってしましました。自宅で結構、印刷することが多いので、厳しい財政状況の中、思い切って購入した訳です。
有楽町(たまたま用があって出かけたついでに)のビックカメラで、今まで貯めたポイントを使って、9,000円強の支出でした。
A4と葉書の印刷が出来て、コピーやキャプチャー機能付き、デジカメ写真の印刷では、古いプリンターとは比較にならないです。が、写真の印刷は殆どしないのですが。コピーとキャプチャーの両機能は大いに助かりそうです。
ISACA東京支部の理事やJASAのプロジェクトに参加していることもあり、自宅で様々な資料を印刷することが多いので、プリンターは必須です。
会社で印刷する手もあるのですが、休日に自宅で印刷せざるを得ないこともあります。おそらく、同じ立場にある方々も同様なのではないでしょうか。
12月20日のJASA全国縦断情報セキュリティセミナー用の資料作成をしなければならず、参考資料の印刷に早速活用しました。

社会保険庁－内部統制の欠如の典型

10月27日の土曜日に、CPA、CIA、そしてCISAのホルダーが集まっての懇親会がありました。このような機会、そんなにあるものでなく、アルコールが入るにつれ、話も盛り上がってきました。皆さん各々の立場で内部統制に関心というか関係がある人達ばかり、段々にとあるお役所の話になってきました。内部統制の欠如の典型だと・・・・　そう、巷で評判の社会保険庁です。

話してでた統制の欠如の数々、情報セキュリティの観点から
1 機密性の欠如
初回保険庁の職員は、職務権限のないのに、被保険者の個人情報を
　盗み見、あろうことか外部にリーク。しかも、処罰後にまた遣る豪
　の者も。
　しかし、誰でも被保険者情報が検索できるということは、アクセス制
　御、してないんですね。
2 完全性の欠如
　被保険者の名前、住所、生年月日など正しく入力されていない。
　こんなデータ、誰が信用するのでしょうか。
　入力されていないデータ多数、原本も可也の数が廃棄済み。
　検証もできないです。
　
3 可用性
　システムに詳しい担当者もいない。SI業者にお任せ。大丈夫？
4 その他
　契約書のなく、請求されるままにSI業者に数千億の支払い。
　民間企業であったら、会計監査で会計士さんは適正意見、
　付けられないのではと。
政府系機関でも、こんない酷いところ、他にないでしょう。先程、民営化した郵政事業、郵政観察はあるし、民間金融機関、宅配業者等との競争もあるし、まだまともですね。
各々が、各々の観点を披露しての議論、楽しかったです。また、こんな機会が欲しいですね。
しかし、社会保険庁(そして、自治労)、凄い組織です。CPA、CIA、CISAで集まって、この組織の内部統制について実態調査をすると面白いかも。

ITGI Japan カンファレンス 2007

丸一ヶ月ぶりの更新です。この一ヶ月、ご無沙汰してしまった理由は・・・ふ～ん　多分忙しかったということしかありません。じゃあ、更新する暇も無い程かと突っ込まれると、実はそれ程でもないかもしませんね。まあ、正直なところ怠業です。

久し振りの今回は、ISACAの関連団体のイベントの紹介です。

昨年設立されたITGIジャパン(ITGI-J)の主催によるカンファレンスが開催されます。今回のテーマは「企業目標達成のための必須道具としてのＩＴガバナンス」です。
ITが企業活動にとって必要不可欠であることは論を待ちませんが、そのITが本当に企業活動にとって有益であるか、投資した額に見合っているかなど等は一に適切なITガバナンスに係っていると言っても過言ではありません(と私は思います)。
「ITGI Japan カンファレンス 2007」では、そのITガバナンスについて、講演が予定されています。皆さん、奮ってご参加下さい。そして、会場にてお会いしましょう。
カンファレンスについては下記をクリックして下さい。
　　↓
ITGI Japan カンファレンス 2007

No title

2007年後期のCISA/CISM試験まで、あと2ヶ月余りとなりました。受験をされる皆様にとっては、これからの時間の使い方が合否を決めるといっても言い過ぎではないでしょう。

CISA/CISM試験が近づくと当Blogへのアクセスが増える傾向にあります。検索キーワードも’CISA試験‘とか’CISA 問題集’など等、その意図がはっきりと判るものです。受験予定者も皆さんが、インターネットで参考になる情報を集めているのでしょう。

ということで、今回は、受験の参考になる情報を幾つか紹介します。

9月20日に当ブログへのトラックバックがありました。’Julianus’s Blog’というCISAホルダーの方が開設されているBlogなのですが、ご自身の経験からCISA試験勉強方法を紹介されています。Blogの記事の内容、私も全面的に賛成です。参考になると思うので、是非ご参照下さい。
Julianus’s Blog
一部を引用させて頂きます。

この「最も」とか「最初」が、くせ者で、かなり悩まされます。どういう思考経路で答えを導き出したらいいのか、あるいは、どの様な立場で考えれば良いのかが、分かりにくいのです。これは、レビューマニュアルでの知識の説明よりも、サンプル問題集にある「解説」を数多く読んで理解するのがベストだと、私は考えています。答えを憶えるのではなく、考え方(のクセ)を理解する。これが、実際の試験問題を解く時の応用力につながります。

考え方のクセ、問題の傾向を掴むことは重要です。小生の全く同感、その通りです。
過去の当blogの記事も参考にしてください。
CISA/CISM受験対策
CISA/CISM試験、頑張って下さい
民間研修機関でもCISA試験講座が開催されます。
リコー・ヒューマン・クリエイツ
USエデュケーション・ネットワーク
J-SOX対応や情報セキュリティ対策の関心の高まりで、CISA受験者は年々増加しています。受験者の皆さん、残り2ヶ月、頑張って下さい。

年金横領 - 内部統制の欠如

社会保険庁や市町村職員による年金の横領が大問題になっています。国民の財産の横領ですから、問題となって当然ですし、再発防止が必要なのは言うまでもありません。
ある地方自治体では、複数の横領があったことが報道されています。再発防止が為されていなかったからなのでしょうか。これらのケース、民間企業だったらと考えてしまうのは、小生だけではないと思いますが・・・

以下は、産経新聞Webからの引用です。

社保庁職員横領１．４億円　市町村でも２億円
　公的年金の記録不備問題に絡み、昭和３６（１９６１）年度の「国民皆年金」スタート以降、平成１３（２００１）年度まで国民年金保険料の収納事務を扱っていた市区町村で、職員らによる保険料着服が２３都道府県の４４自治体で総額２億７８万円に上ることが３日、社会保険庁の調査で分かった。
　また社保庁職員による年金保険料などの着服は、昭和３７年度の同庁発足から平成１８年度までに計５０件、総額１億４１９７万円と新たに判明。いずれも総務省の年金記録問題検証委員会に同庁が資料を提出した。
　納付記録はすべて訂正済みで給付には影響がないとされるが、これまでに不正が指摘されていた社保庁だけでなく、市区町村職員の着服が多数発覚したことで、年金記録をめぐる国民の不信感はさらに高まりそうだ。
　自治体職員の着服は、古くは昭和４１年度から、収納事務を国に移管する直前の平成１３年度までに各地で発生。回数で最多の３件が起きた栃木県日光市では、昭和５９－６２年度にまたがる事例だけで５７３６万円に上った。
　一方、社保庁職員による着服は、年金保険料が２２件（約３４００万円）、給付された年金が１３件（約８０００万円）、健康保険関連の給付金などが１５件（約２８００万円）。計５０件のうち３件で被害弁済できていない。４１人を免職、３人を停職としたが、ほかは職員の退職や死亡などで処分していない。
　刑事告発したのは２７７件、うち１１件で有罪。社保庁が自発的に公表したのは２４件にとどまった、同庁は「平成１０年度以降はすべて処分、公表している」という。
　８月３１日に閣議決定された政府答弁書では、社保庁職員の着服などの不正は平成７年以降で２６件、総額約１億１３００万円とされていた。
(2007/09/03 18:39)

例えば、日光市。三件の横領があったとのことです。社会保険庁も負けず劣らず、国民の財産を平然とポケットに入れていたようです。
これが、民間企業だったら、間違いなくSOX法には対応不可の烙印押されるでしょう。財務報告にかかる内部統制が全く整備されず、もしくは機能していないと判定されることは間違いなしです。
不正を防止/発見/是正する仕組みが無かったとしか思えません。これは、やはり社会保険庁や地方自治体の組織構造や意識に問題があるのしょうね。
2年程度で移動し責任を果たす事の無いキャリアの管理職、長官や首長。チェック機能を果たさない議会。多くの認証システムでは、マネジメントの重要性を強調しますが、この年金横領の報道を見聞きす度に、然りと思います。
年金改革、社会保険庁の解体だけでなく、しっかりとした責任をもった、自覚あるマネジメントシステムの構築も必要ですね。

いやー　やってしまったようです。監査法人の職員が、監査先の資料を自宅PCにダウンロード、しかもウイニーがインストールされていた・・・　　誰もが想像する通りの結果になりますね。

以下は、読売新聞Webからの引用です。

トーマツが監査先資料を流出、自宅でウィニー使用
　監査法人トーマツは４日、監査先企業２４社の業務に関する資料と、その取引先などの個人情報約７０００件が、職員の私有パソコンを通じてインターネット上に流出していたと発表した。
　トーマツなどによると、この職員は自宅の私有パソコンに監査先企業の情報を保存していた。８月２７日、ファイル交換ソフト「ウィニー」を使用して音楽ファイルをダウンロードしようとした際に、情報が流出した。職員は公認会計士ではないという。
　トーマツは、個人所有のパソコンに業務上のデータを保存することを禁止していた。トーマツ広報室は「再発防止のため社員、職員にルールを徹底し、誓約書を提出させる」と話している。
��2007年9月4日21時54分 読売新聞）

内部統制上の問題ですね。どんなに厳密な規則/規約を設け、遵守を徹底させても、結局は個々人のモラルに依るということなのでしょうかね。
自分だけは大丈夫という意識、もしくは無関心、無警戒・・・　どんな対策が必要か、はたまた存在し得るのか。考えてみましょうか。