プロセスベース審査

審査に出かける前に、訪問先の部署の概要を把握することは、多くの場合、ＷＥＢサイトから容易に出来る。その特徴を踏まえて、予めどの管理策についてチェックするかプランを用意することは、初心者には有効。内部監査の場合は、事務局が用意することが多いが、主体的取り組みを是とするなら、監査員自らも準備してみることは有益。もっとも、事務局が想定していない質問が出て関係部署には迷惑掛けるかもしれない。

＜会議室またはテーブル＞
「部署名」
「責任者」
「ミッション」～「業務概要」
「組織構成」～「上位・全体組織」・「取引先」
「重要資産」～「重要資産のプロセスフロー」
「管理体系」～「現場で利用している・認識している管理標準」
「重要資産に対する管理策※」
「インシデント・内部監査等指摘事項対応」

＜現場＞
「テーブル審査で現場確認したもの」
「物理的」～「施設・ゾーニング・ケーブル・鍵管理など」
「資産識別」～「ファイリング、メディア管理」
「人的管理」～「スキル、周知、個人の役割実施状況」・「誓約書など人事」・「インタビュー」

重要資産に対する管理策※

３桁レベル（A.x.x.x)で優先度を付けて１０個程度*用意する。前半で確認できなかったものは現場から引き上げてから確認する。審査記録用紙の冒頭に予め記載しておいても不都合は無い。

但し、想定外の重要資産の存在が判明した場合は、その重要度を図って適切に組み替える。特に部門に固有の資産の場合は（他所で聞けないから）、優先してチェックする。この臨機応変な対応が大切。

１０個程度*

１０個には根拠は無い。あまり多いと現場とのやり取りからより正しい姿を引き出すことが難しくなる。会話が大事。少ないと網羅性が確保しづらくなる。１０個は事前準備の量的な目安。現場対応が真の姿。

プロセスベース審査

管理策の当て方：

・主プレイヤー（主）はルールを作る。機能別管理をする。
・客プレイヤー（客）はルールを受け入れて実施する。

Ａ.5：（主）経営者、事務局。（客）一般従業員。取引先。
Ａ.6：（主）経営者、事務局。（客）部門の長。
Ａ.7：（主）事務局。（客）一般従業員。一般部門。
Ａ.8：（主）事務局、人事・教育部門。（客）一般部門。一般従業員。
Ａ.9：（主）事務局。総務部門。情報部門。（客）情報部門。一般部門。
Ａ.10：（主）情報部門。（客）情報部門。一部一般部門もあり得るがこの管理策では見ない。
Ａ.11：（主）事務局。情報部門。一般部門。（客）情報部門。一般部門。一般従業員。
Ａ.12：（主）情報部門。（客）情報部門。
Ａ.13：（主）事務局。（客）情報部門。一般部門。
Ａ.14：（主）事務局。（客）事務局。情報部門。一般部門。
Ａ.15：（主）事務局。法務部門。（客）一般従業員。一般部門。情報部門。

部門へ行って（あるいは来て貰って）、業務概要・適用範囲・重要資産を最初に聞くときに、上記のどの管理策のチェックが重要か判断する。情報部門以外でも情報処理設備を有するときは情報部門に準じたチェックを行う。

その部門に固有の内容を優先してチェック。赤色にした部門。

質問は、直接（いきなり）規格から引き出さないで、規格要求を踏まえたルールの存在から確認する。有れば、それに沿ったチェック。無ければ無くても構わない理由、あるいはそれに関連するリスクアセスメント状況を確認する。結果が妥当ならパス（ＯＫ）。ルール上あるいは実施上の問題を認識・合意できれば指摘事項・観察事項としてあげる。

確認する手順としては、管理策に入る前に、これまでの審査・監査での指摘事項の有無、改善状況の確認を行う。改善プロセス（ＰＤＣＡ）が回っているかどうかの確認で最も重要な作業の１つ。

会議室テーブル上での文書と口頭説明による確認と現場の実態・状況の確認は、時間的には半々とする。ＵＫＡＳは現場に出ることを多くするよう指導しているから、会議室は４割程度が望ましい。ただ、その場合の問題が審査記録（メモ・エビデンス）の存在。これの充実を強要すると自然と現場に出づらくなる。審査機関によっては形式化したエビデンスの意味を見直している。

１部門９０分とした場合、３０分以内に全容確認・文書ベース確認、３０分は現場で状況・実態確認。残り３０分は全体のまとめ・記録の整理に当てる。必要なら現場チェックの補充を行う。

プロセスベース審査

プロセスベース審査の再考。

プロセスは相対的なものですが、今、相手にしている審査対象を１つのプロセスと見て審査することが出来る。プロセスのスーパーセット（上位概念）とサブセット（下位概念）の理解も必要。ＩＤＥＦ０？の発想で捕らえれば全部共通になる。

ＩＳＭＳの観点でＩＤＥＦ０を見ると、

先ず情報の流れを捉える。基本プロセスである情報の受け入れ、情報の加工、情報の吐き出し。コントロールするための情報管理体系。支えるメカニズムである情報システム、関連マニュアル、従業員など。

この全体をもう一度、ＩＳＭＳの視点で包みなおす。機能別マネジメントの１つ、セキュリティの側面で捕らえなおす。実態はＩＳＭＳも情報管理体系に埋め込まれてしまうが、ある要件に応えているかどうかを見るために、ＩＳＭＳのフレームに乗せなおす。

ところが、ＩＳＭＳあるいはセキュリティの定義が実はとても広いものだから、情報セキュリティからセキュリティを外しても実は同じものになるので分かり難い。ただの情報管理と言ってくれた方が分かりやすい。

1. プロセスの構造を理解する。責任者、スーパーセット、サブセット、役割責任あるいは機能概要、重要な情報の入力・出力・推進機構・統制機構（ＩＣＯＭ）。
2. 統制機構（コントロール）の概要、及び統制機構が要求する記録・実態の確認。

さてと、管理策との関係は？

構築が終わっていれば管理策はコントロールに既に盛り込まれている（筈）。記録を追えば、その部署の管理策の実施状況が確認できる。即ち、管理策をベースに突っ込む必要はない。プロセスベースと言う訳だ。

本当にそれで良いのか？。これは”筈”に支えられた推論でしかない。

その部署の重要情報資産の特性を見抜き、その特性から予見される管理策の有無・実施の状況を確認すべきだ。ある部分は既に管理マニュアルに反映され、実施の記録もあろうが、ある部分では管理されて居ないかもしれない。

穴が見つかれば、リスクアセスメントに戻って、構築プロセスをトレースする。その中で、仕組み上の結果、実施上の欠陥が指摘できる。

基本方針は何故一枚ものか

基本方針は何故一枚ものか不思議に思う。

周知するには何ページもあったら無理でしょうと悪魔がささやいたから。悪魔が誰かは誰でも知っている。だから中途半端な舌足らずの、はっきり言って出来損ないの方針書が出来上がってしまう。周知する工夫と、明確な方針を作ることは全く別問題。言うべきことは５ページになっても構わないでしょう。

どこかの会社のホームページを見てください。Ａ４サイズ１ページだったら、そこの経営者は自分では何も考えていない可能性があります。もちろん、本当に方針として言うべきことがＡ４サイズ１枚に収まったら、ミラクルだけど否定はしない。普通は無理。６ポイントを使ったって？。意味有るの？。

4.2.1b)

ここは基本方針。

リスクを評価する基準と言うのが出てくる。”ＣＩＡのどれか、複数でも構わない”、としているのが普通。それって本当に基準なの。方針として何か意味を成しているだろうか。当社は機密性だけで良いなんて方針に入れる訳ないでしょう。

ＣＩＡは資産特性が決める。

方針に入れるべき「基準」とは？

自己矛盾

ＩＳＭＳの規格を久し振りに手にしたが、毎回思うことは、この規格は自己矛盾していないかと言う事。

ＩＳＭＳの運用とＩＳＭＳの監視が別項目になっている。運用には監視も含むので、運用を別立てにされると論理エンジンがエラーを起こしてしまう。ＩＳＭＳの見直しも同様だ。

運用には狭義の運用と広義の運用と二本立てとでも言うのだろうか。

まあ、大人の判断としては幹の話と側面の話と意識して捕らえれば良かろうと。

「乃至」という言葉遣い

審査とか監査を受けると、希ですが、その所見なり報告の中で、「乃至」という言葉を見かけることがあります。

その報告者の国語力の問題として見ても適切に使われていることは少ない。よく知らないで使っている可能性が高い。Ａ乃至Ｂは、ＡまたはＢの意味で生活擁護では通っても、正式（契約等）文書では、Ａ地点とＢ地点の間の連続する領域も含む。即ち、一連の塊の始点と終点を示して塊全体を現している。

審査・監査は、ＡからＢまでつぶさに全部見ていればＡ乃至Ｂも妥当性を持ちうるが、基本はサンプリングでチェックするのだから、個別にピンポイントでどの地点の話しかを明示しないといけない。「乃至」などと、アバウトな表現が出てくるチャンスは少ない筈。

所見を見ると個人に依存している。その人の誤解が不適切な監査報告・審査レポートを生成させている。監査人にクレームするのは嫌だから放置してあるが、レポートをレビューする立場のその監査法人・審査機関のレベルが分かることになる。

始末の悪いメディア管理

携帯電話の中にも、デジタルカメラの中にも、携帯音楽の中にも、小さなマイクロＳＤが忍んでいるし、ＵＳＢは面白グッズに姿を変えているし、私物のメディアを管理するのは到底無理。

可搬型のＨＤＤもある。光学メディアもある。個人のノートパソコンもある。ＰＤＡの類もある。

これのたな卸し表を某社は作って記載させていたが、手間をかけるだけ愚。

会社の持ち物の管理。やっても良いけど、普通のものならほぼ笊（ザル）だね。逆に、某Ｔ社がやっていた一切使用禁止は有効かもしれない。ソフト的、ハード的に穴をふさぐやり方。使えるのは特殊な管理下の部屋だけ。