セキュリティ監査とコンプライアンスレビュー

セキュリティ監査には、フレームワークをチェックリストとして使用する内部自己評価から、独立した第三者が実施する外部監査まで、さまざまな種類があります。コンプライアンス監査では、特定の基準（PCI-DSS、ISO 27001、HIPAA）への準拠を検証します。ペネトレーションテストでは、技術的な保証を得ます。それぞれ目的が異なります。

監査範囲を正確に定義します。対象に含めるシステム、プロセス、コントロール、評価期間、適用するコントロールフレームワーク、対象者（社内の経営陣か、外部の認証機関か）を明確にしてください。範囲の変更は、コスト、スケジュール、発見事項の適用範囲に影響します。

監査人は、3種類の証拠を収集します。文書（ポリシー、手順、設定ガイド）、観察（システム設定、プロセスのウォークスルー）、テスト（コントロールを実際に試行すること、ログの確認）です。証拠は、評価対象となる各コントロールについて、十分で信頼性があり、関連性を備えていなければなりません。

セキュリティポリシーは意図を定義し、手順はポリシーをどのように実装するかを定義します。監査人は、ポリシーが存在し承認されていること、手順が最新の状態で遵守されていること、トレーニング記録によってスタッフの認識が示されていること、例外プロセスによって承認済みの逸脱が文書化されていることを確認します。

技術的コントロールは、直接調査によって検証します。ファイアウォールのルールセットを確認し、MFAのバイパスを試行し、パッチレベルを確認し、Active Directoryのグループメンバーシップを監査し、暗号化設定を確認し、バックアップから復元できることを検証します。コントロールの文書化だけでは不十分であり、実際にテストする必要があります。

SOC 2は、CPA事務所が実施するTrust Services Criteria監査です。Type Iでは、ある時点におけるコントロールの設計を評価します。Type IIでは、6～12か月の期間にわたって設計と運用の有効性を評価します。SaaS企業は、顧客によるデューデリジェンスのためにSOC 2 Type IIレポートを作成します。

PCI-DSSでは、加盟店とサービスプロバイダーに年次評価を義務付けています。Qualified Security Assessors（QSA）が、12の要件すべてについてオンサイト評価を実施します。ネットワークセグメンテーションによって範囲を縮小すると、カード会員データ環境と評価の複雑さを最小限に抑えられます。

発見事項は、是正が必要なコントロールの不備です。所見は、現在のコントロール不備には該当しない改善の機会です。各発見事項には、condition（現状）、criteria（あるべき状態）、cause（原因）、effect（影響）、recommendation（改善方法）が含まれます。

各発見事項について、Plan of Action and Milestones（POA&M）を作成します。担当者、目標日、暫定的な代替コントロール、ステータスを記載してください。是正の進捗を毎月追跡します。監査人は、フォローアップ評価または次回の年次レビューでPOA&Mの状況を確認します。

動的な環境では、年次監査だけでは不十分です。AWS Config、Azure Policy、商用CSPMツールによる継続的なコンプライアンス監視によって、コンプライアンスの状態をリアルタイムで把握できます。監査サイクルの間に発生したコンプライアンス状態の変化を警告できるよう、発見事項をSIEMに取り込みます。

監査前の準備として、内部の準備状況評価を実施し、監査管理プラットフォームで証拠を整理し、評価プロセスについてコントロール担当者に説明し、監査人が到着する前に既知のギャップに対処します。また、証拠提出の依頼を効率的に調整するため、単一の窓口を指定します。

セキュリティ監査は、コントロールが適切に設計され、効果的に運用されていることについて、独立した保証を提供します。証拠の収集、技術的コントロールのテスト、是正状況の追跡、年次監査の間に行う継続的なコンプライアンス監視を組み合わせることで、顧客、規制当局、社内のリスク管理部門の要件を満たす堅牢なコンプライアンスプログラムを構築できます。