セキュリティ監査

セキュリティ監査とは、組織がセキュリティ管理策とポリシーをどの程度満たしているかを体系的に評価することです。実際の状態を定められた標準と比較し、ギャップを文書化します。

監査は管理策を評価するものであり、それ自体で問題を修正するものではありません。

これらの用語には重なる部分がありますが、それぞれ意味が異なります。

• 監査：証跡に基づいて、管理策を標準と照合します。
• ペネトレーションテスト：弱点を実際に悪用し、影響を実証します。
• リスク評価：脅威の発生可能性と影響を見積もります。

監査には2つの実施主体があります。

• 内部監査：自組織のチームが、継続的な保証と準備状況の確認のために実施します。
• 外部監査：独立した監査人が実施します。認証取得に必要であり、ステークホルダーに信頼感を与えます。

一般的な監査は、明確なフェーズに沿って進みます。

• 計画：適用範囲と目的を定義します。
• 実査：証跡を収集してテストします。
• 報告：指摘事項と重大度を文書化します。
• 是正：ギャップを修正して検証します。

適用範囲によって、監査の対象を明確に限定できます。対象に含めるシステム、場所、プロセス、期間を指定します。

明確な目的（たとえばISO 27001附属書Aの管理策の検証）によって、監査人が収集すべき証跡と、何を良好な状態とみなすかが決まります。

監査人は、管理策が存在し、運用されていることを示す証拠を収集します。

• 設定のエクスポートとスクリーンショット。
• ログとアクセスレビュー。
• ポリシーと署名済みの承認記録。
• 管理策の責任者へのインタビュー。

監査人は2つの方法でテストします。

• 設計：管理策は目的を達成できるように設計されていますか。
• 運用上の有効性：対象期間を通じて、実際に機能しましたか。

すべての記録ではなく、代表的な一部の記録を調べるサンプリングが一般的です。

各ギャップは指摘事項となり、リスクに基づいて評価されます。一貫した尺度によって、優先順位を付けやすくなります。

• 重大 / 高：緊急に対応が必要、悪用可能、またはコンプライアンスを妨げるもの。
• 中：早期に修正すべきもの。
• 低 / 所見：軽微なもの、またはセキュリティ強化の提案。

指摘事項は、行動につなげる必要があります。是正管理台帳で、それぞれに責任者、計画、期限を設定して追跡します。

• 責任の所在を明確にします。
• 重大度に応じて現実的な期限を設定します。
• クローズする前に、修正内容を検証（再テスト）します。

利益相反を避けるため、監査人は自分自身が実施した作業を評価すべきではありません。独立性、特に外部監査における独立性が、顧客や規制当局にとって結果を信頼できるものにします。

現代のプログラムでは、定期監査に継続的なモニタリングを加えます。安全なベースラインからの逸脱をほぼリアルタイムで検知する自動チェックにより、正式な監査での不意の問題を減らせます。

監査とペネトレーションテストの違いを見分けます。

セキュリティ監査は、管理策が標準をどの程度満たしているかを評価します。

• 監査は、ペネトレーションテストやリスク評価とは異なります。
• 計画、実査、報告、是正というライフサイクルに従います。
• 証跡を収集し、設計と運用をテストして、指摘事項の重大度を評価します。
• 是正を追跡し、監査人の独立性を維持します。