理事長対談 第5回：日本監査研究学会 会長 堀江 正之 氏に訊く「サイバー攻撃リスクへの対応としてどう会社を守るべきか」

４．IT 不正を防ぐためのリスク マネジメント

---

不正検査士マニュアルでも、コンピュータ及びインターネット関連の不正について言及している章 (第１部 13 章) があります。そこでは、内部者によるコンピュータ不正の兆候には、以下のような点が列挙されています。

• 職務遂行に必要とされる以上のアクセス権が与えられている
• 例外事象の報告を点検・解決していない
• アクセスログをチェックしていない
• 異常な時間帯に本番環境のプログラムが実行されている
• データセンターで職務分掌が行われていない

内部者による不正を含めた IT 関連の不正を防ぐためには、どのようなリスク マネジメントを構築すべきでしょうか。

これには 2 つの視点があります。1 つ目が、不正検査士マニュアルにも書かれていますが、例外事項への対処です。大事な得意先への対応を、内部統制のルール通りに遂行することは誰にでも可能ですが、「ここだけ何とかしてくれ」と部分的な例外対応を求められたときに本当のリスク マネジメントが必要となります。だから、形式的に PDCA のサイクルを回せばそれでよいといったものではないということです。
最近は、国際的にも、IT ガバナンス、要するに経営トップが積極的に関与する体制を取る必要があるという方向に進んでいます。例えば、Chief Security Officer (CSO; 情報セキュリティ担当役員) を任命し体制を整える。それから、適切な権限委譲を明確にする。特にサイバー攻撃が起こったときの大きなポイントは、侵入に気付いたときにシステムをいつ止めるのかという判断がどのレベルで行われるべきかについて、権限委譲などをガバナンス レベルでまず明確にすることなのです。

確かに最近の傾向として、経営層は、サイバー攻撃についても神経質になっていますよね。

はい。最近では取締役会でも「サイバー攻撃の対策は大丈夫か」というようなことが話題に上るようになってきていると言われています。現場で起こっていることが経営層で対処しなければならないリスクになっているため、現場任せにせず、経営トップが率先してこのような問題に取り組んでいくことが重要なのです。

取締役会で、CSO が会社の対策を説明するものの、社外役員はその内容がよく分からないということがあります。「当社は大丈夫です」と聞いただけで、対策は大丈夫なのだろうと安易に満足してしまう。

そういう意味で、取締役会などでの徹底した議論が必要です。あわせて、セキュリティ リスクは必ずしも技術のリスクだけでなく、人的リスクなんだという意識を持つ必要があります。例えば JAL でも、おそらく事前にもあったはずの不審メールへの対応や情報共有などを行っていれば、簡単に振り込んでしまうことはなかったかもしれません。セキュリティというと、対策ソフトの導入などになりがちですが「不審メールがきているので全社的に注意してください」など、トップが明確なメッセージを出すことが重要です。

セキュリティ ソフトを入れればそれで安全と思ってしまいがちですが、そうではないのですね。

そうです。社内の人や組織に対する意識付けが何よりも先決です。JAL のような大きな組織では、当然それなりのセキュリティ対策を行っていたはずです。それでも、ほんの少しの人的なミスや思い込みで事故が起こってしまうのです。

情報セキュリティをあまり意識していない従業員が誤って違法なソフトを自分の PC に導入してしまい、外部からの不正侵入を許してしまったという話を聞きました。侵入した不正なソフトウェアが、ネットワークに感染を広げてしまったと。

ネットワークで繋がっていると、基本的には、全て感染しますね。最近では、セキュリティ ツールによる検知をうまく潜り抜けたり、侵入の痕跡を残さないマルウェアもあり、かなり厄介です。

それを直す時間とコストはどれくらいなのでしょうか。

システムの規模にもよりますが、ネットワークの切断からはじまって、そのリカバリーまで含めますと、時間も費用も相当程度に上ると思います。最悪、バックアップが無いような場合には、アプリケーションやデータをまた一から全部入れ直さなくてはなりませんので、とんでもない時間とコストを覚悟しなければなりません。

それは大変ですね。感染されると被害が大きすぎるので、従業員には定期的に抜き打ちでメール テストを行い、リスクについて常に意識させておかなければならないという気がします。過去に、会社の情報システム部から従業員に偽メールを送信して、それに引っ掛かった人を調査したことがあります。意外にも上層部の方が引っ掛かる結果となりました。

おっしゃる通りで、外から攻撃してもらい、うまく防御できるかを確認する、「ペネトレーション テスト」という侵入テストがあります。今、藤沼先生が仰ったように、不審メールの攻撃を仕掛けると上層部の方ほど開けてしまうという傾向が非常に顕著だそうです。経営幹部ほど不用心なんですよ。

年齢層が高い方が、セキュリティに対する意識が低いんでしょうかね。

今は、どんな仕組みでも侵入される可能性があるという前提で対策を考えるようにシフトしています。要するに早期の検知です。例え身代金を要求するマルウェアがデータを暗号化しても、Windows なら最悪システムの復元で対処できます。ただ、端末に保存していたデータのバックアップをきちんと取っておくことが必要です。

堀江先生は、人的・組織的対応のひとつに「人手による承認・照合の徹底」を挙げています。これはどういうことですか。

オートマチックなセキュリティ ソフトなどだけに頼らないということです。JAL のメール詐欺事件がその一例です。

ソフトウェアだけに頼らず、人手による承認・照合の徹底を徹底しなさいということですね。

そうです。今は、RPA (Robotic Process Automation; ロボットとして動作するソフトウェアによる業務の自動化) のように業務プロセスの自動化が進んでいますが、本当に正規のものかを人手できちんとチェックするという内部統制の「いろは」が整備されていないことがあります。意外に思われるかもしれませんが、高度化する攻撃に対しても、最後は人手で守る以外にないのです。あまりにも技術だけに頼り過ぎてしまっている現状には問題があると思っています。

追加の質問ですが、情報保管をクラウドに移行する会社が最近増えていますよね。そのクラウド自体の管理および安全性について、懸念があります。

クラウド サービス提供者は、大企業から無名の小規模事業者まで数多くあります。パブリック クラウドの場合、あるデータが中国にあるサーバーとロサンゼルスにあるサーバーに分散して置かれていることもありますし、1 つの物理的サーバーの中に競合他社のデータと一緒に保管されている可能性もあります。また、クラウド事業者の破綻リスクもあります。クラウド事業者でどのような内部統制、セキュリティ対策がとられているか、ユーザ企業側から見ますと完全にブラック ボックスです。
たとえユーザ企業側の監査人がクラウド事業会社に出向いても、満足な監査ができることはほとんどないと思います。事業会社の本社会議室でパンフレットを見せられて「私たちはこういうセキュリティ対策を取っています」とか「ここには、廊下からの静脈認証でしか入れません」といった簡単な説明を受けてそれで監査しましたとは言えないでしょう。
そこで最近は、日本公認会計士協会の監査・保証実務委員会実務指針 第 86 号や AICPA (米国公認会計士協会) の SOC2 や SOC3 に準拠した保証サービスが広く利用されています。クラウド事業者が監査法人と契約して、内部統制、セキュリティ対策の評価を受けて保証報告書を作成してもらい、それをユーザ企業が利用するというものです。

なるほど。そうでないと監査ができませんね。

そうです。ユーザ企業側からクラウド事業者に対してセキュリティ対策に関する質問書などを送ってその回答を入手しても、確かめられるのはせいぜい断片的なコントロールの整備状況のみです。クラウド事業者が監査法人と契約をすれば、そこで守秘義務契約が締結されますので、踏み込んだ監査が実施できます。