IT監査とログ管理【第1回】

監査視点から見たログ管理　取り扱いの違いを知る（1/3 ページ）

IT監査を監査人として多数実施している筆者の経験から、IT監査に資するログ管理の在り方を解説する。第1回はIT監査の目的と監査基準に触れる。

公開 2019年02月07日 05時00分

更新 2019年02月07日 11時15分

著者

[有限責任監査法人トーマツ]

印刷する連載新着通知を受け取る

監査からの視点で見た「ログ」

　読者の皆さまは、システム監査やセキュリティ監査といったIT監査を受けたことがあるだろうか。IT監査に必要な情報セキュリティやサイバーセキュリティに関する統制として、監査担当者がIT担当者に対して、システムのログ取得と管理を指示することは少なくないだろう。

　一般的に、ログは取得対象が多くデータ量も膨大になることから、管理が難しい。業務上の必要性やリスク、システムの制約を基に、各企業でログの取得範囲を規定しているのが実態だ。

　IT監査の側面では、「監査の目的」と「想定するリスク」に応じたログ管理をしているかどうかという視点で、監査を実施している。ログを管理する企業にとって、監査の視点を理解しておくことは、リスクに応じた効率的なログ管理の実現につながる利点がある。

　当連載では監査人としてIT監査を多数実施している筆者の経験から、「IT監査に資するログ管理」に必要な要素を解説する。製品選定時の参考になれば幸いだ。第1回はIT監査の目的と監査基準に触れる。なお本文中の意見に関わる部分は、私見であることを申し添える。

併せて読みたいお薦め記事

　IT監査はおおむね3種類（表1）に分類できる。それぞれ目的が異なり、目的に応じた監査基準が存在する。

表1　IT監査の種類と基準概要
監査の種類	主要な基準名	基準の発行元
IT統制監査	・財務報告に係る内部統制の評価及び監査に関する実施基準	金融庁企業会計審議会
システム監査	・システム監査基準・システム管理基準	経済産業省
システム監査	・金融機関等のシステム監査指針	金融情報システムセンター
セキュリティ監査	・情報セキュリティ監査基準・情報セキュリティ管理基準	経済産業省
	・金融機関等コンピュータシステムの安全対策基準・解説書	金融情報システムセンター
	・Payment Card Industry Data Security Standard（PCI DSS）	Security Standards Council（PCI SSC）