2003年7月15日
NPO日本ネットワークセキュリティ協会
政策部会　セキュリティ監査ワーキンググループ
リーダー　　　　　　　　　朝賀康義
サブリーダー　大溝裕則、堀内多佳雄

　このたびNPO日本ネットワークセキュリティ協会（以下「JNSA」）政策部会　セキュリティ監査ワーキンググループ（以下「監査WG」）では、経済産業省の「情報セキュリティ監査制度」（http://www.meti.go.jp/policy/netsecurity/information_audit.html ）に対応した地方自治体向けのセキュリティ監査における監査項目（セキュリティ管理基準）を作成いたしました。
　情報セキュリティ監査制度では、JISX5080:2002をベースにした監査項目（管理基準）をもとに、被監査組織・業界ごとに実態に合った項目・表現に修正した管理基準を作成し、運用することを求めています。そこでJNSA監査WGでは、まず初めに地方自治体向けの管理基準モデルを作成し、提案することにいたしました。地方自治体は、電子自治体の推進、特に住基ネットの本格稼動を控え、情報セキュリティ対策の確立を強く求められているところです。

●監査をする際の注意点
　「監査の実施に当たって、「情報セキュリティ管理基準」を判断の尺度として用いる場合、情報セキュリティ監査人は、当該基準において管理項目ごとにその管理目的を記述した「目的」、及び管理目的を達成するための統制目標を記述した「コントロール」を判断尺度の枠組みとして用いることになる。「情報セキュリティ管理基準」において「サブコントロール」として記述された事項は、統制目標を具体的に達成するための統制手段の例示を記述しており、被監査側のリスク等を考慮して監査手続を具体的に実施する局面で適宜取捨選択すべき事項であることに留意する。また、管理目的、統制目標自体が不足している、統制目標を達成するために必要な統制手段が不足していると組織体が判断した場合は、管理目的、統制目標、統制手段を適宜追加することが必要となることに留意する。」（実施基準ガイドラインVer1.0より）
　今回のＷＧでは、サブコントロールのレベルで、監査項目とするか否かを検討しましたが、実際の監査においては「コントロール」を判断の尺度とし、サブコントロールは、コントロールが実現できているかどうかを判断するひとつの手がかりと考えてください。監査の実施においては、サブコントロールにとらわれ過ぎず、「コントロール」や「目的」を常に意識することが重要です。特に、元々の表現が自治体用にできていないため、従業員→職員、経営陣→首長／CISO／助役会議、などに読み変える必要があります。JISX5080の訳が必ずしもわかりやすい日本語となっていない場合もあるため、目的やコントロールの趣旨を理解し、解釈して利用する必要があります。