サイバーセキュリティ20年で監査について学んだこと

私はサイバーセキュリティに20年携わってきましたが、その多くの時間を監査に費やしてきました。準備をし、監査を受け、指摘事項について議論し、発覚した問題を修正してきました。フレームワークは何度も変わってきました。しかし、これらの教訓は変わりません。

1. 証拠は語りに勝る

最も多い監査指摘は、統制の欠如ではありません。実施された統制を証明できないことです。アクセスレビューは行われたものの、そのリストは誰も保管していなかった。変更は承認されたが、その記録はすでに削除されたチャットスレッドにしか残っていない。監査人が頼れるのは、目に見えるものだけです。統制を実施する過程で副次的に証拠が残るような仕組みを構築すれば、指摘の多くは消えます。

2. スコープがすべてを決める

監査上の問題の多くは、スコープに起因します。広すぎればすべてのシステムがすべての統制を満たさなければならず、狭すぎれば認証が顧客の問いに答えられず、曖昧に定義すれば、どのシステムが対象なのか誰にも分からなくなります。意図的に決定し、文書化し、説明できるようにしてください。初めてのSOC 2報告書のスコープ設定に関する当サイトの記事は、ほぼあらゆる監査に当てはまります。

3. 失敗する統制は、誰も責任を持っていないもの

統制に名前の付いた責任者がいて、その人が業務の一環として運用していれば、うまく機能します。「IT部門」や「セキュリティチーム」全体の担当とされている場合、監査直前の週まで形骸化していきます。責任者を明確にすることは、最も低コストで効果の高い統制改善です。

4. 文書は実態を反映しなければならない

自社の実態とは異なる、ひな形のポリシーは、実態を正確に記述した短いポリシーより有害です。監査人は、記載されている内容をテストします。文書と実務の間のギャップはすべて指摘事項となり、多くの場合、提示したほかのすべての内容への信頼性の問題にもつながります。

5. 監査人は敵ではなく味方として活用する

最も順調に進む監査は、チームが監査人を敵ではなく、もう一組の目として扱っている監査です。統制をどのようにテストするのかを早い段階で確認してください。既知の弱点は、対応計画とともに開示しましょう。自ら挙げ、修正が進行中の指摘は、監査人が掘り起こした指摘とはまったく違う印象を与えます。

6. 2つ目のフレームワークは低コストであるべき

フレームワークごとに別々のプログラムを運用している組織は、毎回の監査を全額負担しています。対応するすべてのフレームワークにマッピングした単一の統制セットを構築している組織は、ほぼ一度だけ費用を負担します。マッピング作業は地味ですが、その効果は積み重なっていきます。私がControlMappingを構築した理由の大きな部分もここにあります。

7. フレームワークは異なっても、問いは同じ

十分な数の監査を経験すると、フレームワーク同士の違いは曖昧に感じられてきます。ISO監査人、SOC 2監査人、PCI評価者、規制当局は異なる言葉を使いますが、問うていることは同じ数点です。対象範囲は何か、誰が責任を負うのか、それが機能していることをどう証明するのか、そして機能していないときにはどうなるのか。この4つの問いに証拠を伴って明確に答えられる組織は、ほぼあらゆる監査でうまく対応できます。対応マトリクスはその好例で、11のフレームワークにまたがって、同じ中核的トピックが何度も現れます。

主なポイント

• 統制は副次的に証拠を残すように構築する。
• スコープを意図的に決定し、すべての統制に名前付きの責任者を割り当てる。
• 監査は、セキュリティを適切に運用した結果として捉える。

8. 合格は目的ではない

クリーンな監査とは、対象の統制がテストされたサンプルにおいて機能していたことを意味します。組織が安全であることを意味するものではありません。コンプライアンスはセキュリティではないのです。私が見てきた最も優れたチームは、監査を目的ではなく、セキュリティを適切に運用した結果として捉えています。

この記事から一つだけ持ち帰るなら、やるべきことを決め、一貫して実行し、証拠は自然に積み上がるに任せてください。現在の統制がどこまで到達しているかを確認するには、ギャップ分析が適した場所です。

よくある質問

監査指摘の最も一般的な原因は何ですか？

私の経験では、実際に実施された統制について証拠が欠落または不完全であることです。レビューは行われたが記録されていない、変更が口頭で承認された、母集団が一致しない、などです。

セキュリティ監査にはどのように備えるべきですか？

統制を継続的に運用し、その証拠を都度保管し、文書が実務と一致しているかを確認し、監査人が確認する前に自分でサンプルを検証してください。

既に把握している弱点を監査人に伝えるべきですか？

通常はそうすべきです。担当者と是正計画を伴って特定された弱点は、統制環境が機能していることを示します。監査人が発見した弱点は、監督の欠陥と受け取られます。