企業のCIOは今日、コンプライアンス（法令遵守）をめぐって強烈なプレッシャーにさらされている。彼らは、従業員の生産性を改善し、データの盗難から社内ネットワークを防御するという任務を課せられているのみならず、ITコンプライアンスのあらゆる側面を文書化するよう求められているのだ。

　コンプライアンス関連の業務が大幅に増えたために、アクセンチュアやデロイト トウシュといった社外のコンサルティング会社を雇うことによって、自社のITコンプライアンスおよびセキュリティ体制を客観的に把握すると同時に、自分たちの作業負担を軽減したいと考えているCIOもいる。しかしこういった外部業者は、法律的な目的で監査結果の調査が行われた場合でも、一切の法的責任を放棄するという免責条項を規定している。

　コンプライアンスでは、法的責任をはたすことが求められる。ではなぜ、コンプライアンス業務を支援すると言いながらも、その作業成果物である監査結果に対する責任を全うしない社外監査企業に大金を支払わねばならないのだろうか。

　もう1つの選択肢は、自社で監査を実施するというアプローチであり、これには数々のメリットがある。この自己評価方式は、ベストプラクティスの証拠およびコンプライアンスの強固な基盤を作成するための手段として、責任の所在が明確であり、費用効果の面でも優れている。しかもこの方式は、ダウンタイム、コンプライアンス違反、罰金、損害賠償訴訟などのリスクを大幅に減少させる。

　自己評価方式を検討するのであれば、行動計画を策定し、四半期ごとの予測と到達目標を設定する必要がある。さらに、独自の社内コンプライアンス目標、従業員が遵守すべき文書化されたプロセス、そして以下の目標に対する実績を測定する手段を確立する必要がある。

コンプライアンス目標

　あなたが特定の法令に関心を持っているのであれば、その法令がIT要件にどう影響するのか確認するために、すでに法令の条文を読んだのだろうか。例えば、Visa PCIデータセキュリティ基準に準拠しようとしているのであれば、ビザから自己評価の質問票（PDF）をダウンロードすればよい。この質問票は、PCIに準拠するために設定すべき目標を理解するのに役立つ。グラム・リーチ・ブライリー法やHIPAA（医療保険の相互運用性と説明責任に関する法律）、サーベンス・オクスリー法（SOX法）などに関心があるのであれば、これらの法律の条文を詳細に読み込むことを検討してもいいだろう。しかし時間と労力を節約するためには、コンプライアンス目標に関して3つの事柄を設定する必要がある。それは、（1）顧客記録および企業秘密の機密保持のための自社独自のベストプラクティス、（2）ネットワーク、データセンターおよび通信の各システムの完全性、（3）電源、ネットワーク、データセンターおよび通信の各システムの可用性である。

プロセスの文書化

　プロセスの文書化は、デューディリジェンス（適正評価）のための重要な要件である。文書化に関しては、COBITやISO 17799など各種のモデルが提供されている。NIST.gov（米国立標準技術研究所のサイト）の「Security Technical Information Guides」やSANS.org（米SANSインスティテュートのサイト）のコンプライアンスチェックリストなど、コンプライアンスの各側面に関する参考資料も無償で提供されている。プロセスの文書化は、いかにして機密性、完全性、可用性を保証するのかという問題に答えるものでなければならない。

実績の測定

　実績の測定は、デューケア（相当な注意）のための重要な要件である。コンプライアンス実現に向けた実績を評価するプロセスでは、自己評価を通じて問題点が見つかるだろう。例えば、人事部門のスタッフであれば、従業員の経歴チェックを徹底的に行うことが重要とされるが、実績測定の結果、彼らの仕事が不十分であることが判明するかもしれない。あるいは、ネットワークの完全性を保証するために、従業員はインターネット上で音楽やビデオをやり取りしないよう求められるかもしれない。プロセスの文書化ではユーザーに受け入れられるポリシーを確立したのに、実績評価においてポリシー違反が見つかることもある。このため、自己評価の一環として実績測定を定期的に実施することに関して経営者の支持を取り付けることが重要である。四半期ごとの評価では不十分である。

　コンプライアンス目標を設定することにより、ITスタッフが投入すべき時間と労力の必要性について納得のいく説明ができるようになる。その成果には、セキュリティ体制を強化するために使用するツールや手法の文書化も含まれる。長期的には、ネットワークおよびITリソースの品質の継続的改善といった成果も実現されるだろう。また、常に実績を測定することにより、あなたがコンプライアンスに関して適切な措置を講じていることを容易に立証できるようになる。

　自己評価方式を採用すれば、大幅な経費節減を実現できるのみならず、たとえ法令違反が起きた場合でも、その責任の所在が明確である。また、外部のコンサルタントや監査人に頼るよりも費用効果の高いプロセスを通じて、コンプライアンス達成のためのベストプラクティスを文書化することができる。

本稿筆者のゲリー・ミリーフスキー氏は、CISSP（公認情報システムセキュリティ専門家）である。米国土安全保障省の創設メンバーで、NEISG.orgの取締役を務める。同氏はマサチューセッツ州ベッドフォードに本社を置くネットクラリティーの創業者でもあり、同社のCTO（最高技術責任者）を務める。