あなたがセキュリティマネジャーなどの業務を担当しているセキュリティ専門家なら、きっと「2002年サーベンス・オクスリー法」（SOX法）について耳にしたことがあるだろう。だが多くの人は、SOX法にセキュリティにかかわる要件が含まれていることを知っているだけで、その要件を根本的には理解していない。本稿では、SOX法がセキュリティマネジャーの仕事にどのようにかかわるのかを掘り下げて検討する。

　SOX法は2002年7月30日に大統領の署名を経て成立した。同法では上場企業のCEO（最高経営責任者）とCFO（最高財務責任者）に対し、自社の財務報告書の正確性を保証することを義務付けている。保証内容に虚偽があった場合、これらの個人は刑事罰を科される可能性がある。また、SOX法によって公開会社会計監督委員会（PCAOB）が設置された。PCAOBは証券取引委員会（SEC）によって任命、監督され、公開企業の監査報告書および監査法人の審査を行うことができる。検査の結果、証券法および規制に対する違反が判明した場合、PCAOBは違反した監査法人または監査人に制裁を科すことができる。

情報セキュリティとどう結び付くのか

　セキュリティマネジャーの観点から見ると、SOX法の下では、情報セキュリティとコンプライアンス（法令順守）の計画をより一層整備することが必要になりそうだ。中でも、404条（経営者による内部統制の評価）では、企業が年次報告書に内部統制報告書を含めることが義務付けられている。この内部統制報告書には、財務報告のための適切な内部統制の枠組みと方法を用意する責任が経営者にあることを明記しなければならない。また、内部統制の枠組みと方法の有効性に関する評価を記載しなければならない。

　情報セキュリティと内部統制はかなり直接的に結び付いているが、SOX法の文言はややあいまいだ。しかも厄介なことに、PCAOBはまだ、404条の下、内部統制をどのような尺度でどのように検証しなければならないかという基準を公布していない（訳注：2005年11月現在、まだ公布されていない）。指針とすべきものがないのが現状だが、PCAOBの「監査調書の監査基準案と暫定監査基準の改定案」（PCAOB Release No. 2003-023、以下「基準案」）がある程度参考になる。

　基準案の4条によると、監査調書は通常、任意の数の紙または電子形式の文書で構成される。さらに、基準案の5条によると、監査調書は、監査人が（a）実施された監査手続きの性質、タイミング、範囲、結果、得られた証拠資料、到達した結論を理解し、（b）監査作業の実施者、完了日、レビュー者、レビュー日を判定することができるだけの十分な情報を含んでいなければならない。また、基準案の13～17条では、監査調書の保存と事後の変更について規定している。

　基準案はほとんどの業務文書が電子形式であることを認めているため、5条の要件を満たすための1つの適切な内部統制手段は、情報セキュリティ対策だ。機密性、認証、データの完全性、可用性、否認防止などを実現する情報セキュリティサービスを実施しなければ、こうした要件を満たすのは困難だ。

SOX法を順守するためのガイドライン

　SOX法の下での情報セキュリティに関する具体的な指針は（まだ）ないため、セキュリティマネジャーは自らの専門的な判断で、同法に対応した情報セキュリティ対策の進め方を決定していかなければならない。だが、多くの組織が、SOX法を順守するための指針となる文書やチェックリストを作成している。こうした文書はセキュリティに関連するものばかりではないが、その多くはセキュリティマネジャーにとって役立つ一般的な指針を提供している。例えば、COSOフレームワーク、COBIT、ISO 17799、ISACAとAICPAの刊行物などだ。

COSOフレームワーク

　COSO（トレッドウェイ委員会組織委員会）は、2003年にパブリックコメントの募集を目的にエンタープライズリスクマネジメント（ERM）フレームワークのドラフトを発表した。このフレームワークは、あらゆる組織のエンタープライズリスクマネジメントに関する情報を提供する。最も重要なのは、COSOがエンタープライズリスクマネジメントをプロセスとして認識していることだ。エンタープライズリスクマネジメントは、「単一の事象や状況ではなく、組織の業務活動に浸透した一連の行動である」とされている。また、このフレームワークは、エンタープライズリスクマネジメントと内部統制の相互関係も明示している。同フレームワークはCOSOのサイトで入手できる。

COBIT（Control Objectives for Information and related Technology）

　ITガバナンス協会（ITGI）と情報システムコントロール協会（ISACA）は、SOX法の順守に取り組むセキュリティマネジャーに役立つ情報源を共同で公開している。COBITと呼ばれるこのガイドラインは、IT業務のためのガバナンスモデルを提供する。COBITの詳細情報は、ISACAのCOBITサイトで閲覧できる。

ISO 17799

　SOX法への対応に役立つ情報セキュリティの3つ目の有用な情報源は、ISO 17799規格だ。ISO 17799は、情報セキュリティプログラムを実施するためのフレームワークを提供する。このフレームワークでは、さまざまなセキュリティ管理策が定義され、リスクマネジメントのアプローチの概要が示されているが、具体的な実施手段は規定されていない。ISO 17799については、詳しい良い情報源が数多くある。この規格自体はISO Storeで購入できる（訳注：日本語版は「JIS X 5080」で、日本規格協会のサイトで購入できる）。

一般的なSOX法ガイドライン

　ISACAはCOBITに加えて、SOX法に対応した一連のITコントロール目標をまとめた文書をサイトで提供している。また、米国公認会計士協会（AICPA）は、SOX法の順守に取り組むための参考情報やツールのリンク集を提供している。AICPA Storeでは、『Internal Control Reporting -- Implementing Sarbanes-Oxley Section 404』（内部統制の報告：サーベンス・オクスリー法404条への対応の実践）という書籍を販売している。

法執行の枠組み

　SOX法3条によると、SOX法、または同法に基づいて公布されるあらゆる規則や規制に対する違反は、「1934年証券取引法の違反と同様に」扱われる。このため、情報セキュリティに関連するSOX法の執行は、SECの通常の法執行のような形で行われるだろう。具体的には、SECは違反の訴えを起こすことになる。これを受けて連邦裁判所で判決が下される。

　情報セキュリティの分野では、そうした訴えは、適切な情報セキュリティ対策が実施されなかったことにより、財務報告書の内容が誤記載や虚偽記載になってしまった場合に起こされるだろう。そうした状況は、内部統制報告書には「発行人の財務報告のための内部統制の枠組みと方法の有効性に関する評価」を含めなければならないという、404条の要件に違反すると見なされる可能性がある。

結び

　SOX法には情報セキュリティにかかわる要件が含まれているため、セキュリティマネジャーは少なくとも、自社の同法順守達成の一翼を担うことになる。良いニュースは、SOX法の順守期限が最近延長されたことだ。財務報告書のSECへの提出期限が短縮される企業（accelerated filer）は、2004年11月15日（従来は2004年6月15日）以降に終了する事業年度から、それ以外の企業は2005年7月15日以降に終了する事業年度から、順守することが必要になる。そして、さまざまな情報源を順守の取り組みのために自由に活用できるのは心強いことだ。（この記事は2004年3月19日に掲載されたものを翻訳しました。）

本稿筆者のランディ・V・サベット氏は法学博士でCISSP（公認情報システムセキュリティプロフェッショナル）資格を持ち、クーリー・ゴッドワード法律事務所の情報セキュリティ・サイバー犯罪プラクティス部門で弁護士を務めるとともに、米国法曹協会（ABA）情報セキュリティ委員会の共同副会長に就いている。講演や執筆活動を活発に行っているほか、ジョージワシントン大学で情報政策を教えている。特許弁護士であり、政府機関と民間企業で暗号技術者として数年間働いた経験もある。