システムについてもっと調べる

システム監査で見る範囲

システム監査で見る範囲ですが、これはいくつかの考え方があります。
普通は、そのシステムが予め定められた手順書に沿って開発され、運用され、あるいは変更やアップデートが行われているかどうかを記録から確認することになります。
間違えてはいけないのは、実際にそのシステムにログインしてみて仕様どおりの動きをするかどうかをチェックするようなことは含まれないということです。
また、予め定められた手順書などないという場合もあるかもしれませんが、その場合は基本的にはそのこと自身が指摘事項として挙げられることになるでしょう。
もちろん、手順書はあっても内容に不備があるという場合も同様です。
そして、別の意味合いとしては、システム監査で見る範囲というのは、監査の計画書に書かれることになります。
大きなシステムの場合はとくに、一度の監査であらゆるポイントをチェックするようなことは不可能で、一部だけをチェック対象とすることになります。
つまり、計画書に書かれていないことは監査対象外です。

情報のアクセス権におけるシステム監査について

情報のアクセス権に関するシステム監査は、情報流出を防ぐだけでなく、不正アクセスのリスクを低減させるためにも重要になります。
例えば、誰でも自由にアクセスできてしまう情報があれば、外部からの攻撃者はそれを狙って積極的に攻撃を仕掛けていくでしょう。
アクセスできる端末が大量にあれば、その中の一つでもウイルスに感染させることができた時点で、情報流出は可能なのです。
だからこそ、情報にアクセスする端末は制限して、流出のリスクを最小限にする必要があるのです。
システム監査ではこのような不正アクセス時のリスクを最小化させるとともに、物理的な記憶媒体についてもアクセス権の割り当てをきちんとするように徹底しています、金庫に保管されているディスクの鍵の管理やサーバールームへの入退室管理に指紋認証を使用したりすることで、適切な情報管理が可能になるでしょう。
特に鍵の管理を複数人で割り当てることができれば、情報流出の被害を未然に防ぐことができます。