分かりやすい例が脆弱（ぜいじゃく）性管理だ。

　「脆弱性スキャンを実行した」という事実は、スキャンで特定された重大な脆弱性に優先順位が付けられ、修正されたことまでは証明しないとマレ氏は指摘した。

　パッチ適用や脆弱性の修復において、より強力な証拠となるのは、修正後の脆弱性スキャン結果、構成の検証、対象資産で稼働しているソフトウェアバージョンの確認などだ。修正前後の資産の状態を比較すれば、単に着手しただけでなく、作業が成功したことを実証しやすくなる。

　監査人も同様に、「統制が実行された証拠」と「統制が有効に機能した証拠」を区別している。

　ITガバナンスや監査の国際団体ISACA（Information Systems Audit and Control Association）で監査実務担当プリンシパルリサーチアナリストを務めるイボンヌ・シン（Yvonne Sing）氏（CISA、CDPSE）は、追跡調査を実施すれば特定の時点で統制がどのように実行されているかを確認できると説明した。しかし、1回実行されたからといって、評価対象期間全体を通じてその統制が有効に機能していたことの証明にはならない。

　有効性を立証するには、対象期間中に統制が一貫して運用され、かつ適切な権限を持つ担当者によって実施されていたことを示す証拠が必要だとシン氏は語った。

　プロバイダーのダッシュボードやクローズされたチケットには、証拠に関する別の問題もある。

　これらの記録は統制プロセスの「最終結果」を示しているにすぎない、とシン氏は述べる。その結果の背後にある入力情報、すなわち根拠となるデータや統制を運用した担当者の意思決定プロセスまでは必ずしも示されていない。

　「監査人がこのような最終結果を証拠として信頼するには、情報源の検証が必要だ」（シン氏）

「検証」とは「全てをチェックすること」ではない

　証拠を求めるからといって、企業が委託先業者の全タスクを個別に独自検証しなければならないわけではない。

　「セキュリティチームは全てのアクションを独自に検証する必要はないが、セキュリティ統制が期待通りの結果を生んでいるかを確認するため、定期的にテストを実施すべきだ」とマレ氏は述べた。

　シン氏によると、追加テストの実施規模は事業へのリスクと組織の障害・失敗に対する許容度（トレランス）を反映したものであるべきだという。

　銀行や医療機関など、厳しい規制下にある業界は、規制上の制裁、財務的損失、風評リスクの観点から、統制の不備に対する許容度が低い場合が多い。そうした組織では、第三者による保証報告書の確認に加えて、独自の検証テストを実施することもある。

　委託先業者の証拠を単発で評価するのではなく、複数の報告期間にわたって確認する方法もある。シン氏は現在と過去の保証報告書を比較することで、繰り返し発生している統制上の不備や、以前は問題がなかった領域の新たな不備を把握できると述べた。そうした傾向を分析することで、プロバイダーの統制環境が弱体化している可能性のある領域や、追加テストが必要な箇所を特定しやすくなる。

証拠の要件定義は契約から始まる

　監査、統制の破綻、あるいはセキュリティインシデントが発生するまで証拠の提出を求めずに待ってしまうと、委託先業者に本来何を成果物として求めていたかを証明することが難しくなる。

　証拠の要件は、プロバイダーとの関係が始まる初期段階、契約時に設定しておくべきだ。

　マレ氏は、裏付けとなる記録へのアクセス権、ログや調査用データの保持期間、達成できなかったサービスレベルや未解決の問題についての報告、顧客が合理的な監査を実施する権利を契約に盛り込む必要があると指摘した。

　シン氏によると、有用な証拠にはその出所とコンテキストを確立するのに十分な情報が含まれていなければならない。プロセスにもよるが、証拠の提供者の氏名と役職、システム名とバージョン、システムが生成した日時、レポートの抽出パラメーター、必要な承認、証拠が対象とする期間などが該当する。

　日常業務への支障を懸念し、広範な監査権限の付与に難色を示す業者もいるとシン氏は指摘した。その場合の代替案の一つが、リスクの高い統制や業務プロセスに絞って監査権を交渉することだ。

　証拠の連鎖（エビデンスチェーン）には、再委託先も含める必要がある。

　シン氏によると、一次委託先が再委託先を利用する場合、再委託先が担う業務内容の開示、第三者機関の保証報告書、証拠へのアクセス権、そして再委託先の不備を一次委託先がどのように評価して対処するか、といった情報の提供を契約で義務付けることができる。

　CIOは、委託先業者が取る全てのアクションを個別にチェックする必要はない。しかし、重要な統制を外部に委託する場合、業務が確実に実行され、期待通りの結果を生んだことを示す十分な証拠を確保しておかなければならない。