Internal Audit · Information Security
内部情報セキュリティ監査ガイド
— 支援士スキルの監査人1名・年1回で回す —
「重要インフラ事業者のネットワークセキュリティ実践ガイド」で構築した防御が実際に機能し続けているかを、内部監査として年1回点検するためのガイド。監査人は情報処理安全確保支援士（RISS）相当のスキルを持つ1名で実施する前提で、確認事項・証跡の取り方・報告の型まで整理した。
監査人：支援士スキル1名
頻度：年1回
対象：オンプレAD＋境界防御の環境
被監査側：インフラ兼任3名の運用
1監査の基本設計 — 目的・拠り所・独立性
1-1. 目的：この監査は何を保証するのか
- 準拠性：社内規程・実践ガイドで決めた統制（ルール・設定・運用）が、決めたとおりに実施されているか。
- 有効性：その統制が形骸化せず、実際に機能しているか（＝書類ではなく実測とテストで見る。→ 5章）。
- 助言：兼任3名の運用チームが自分では気付けない盲点を、支援士の知見で指摘し改善につなげる。
この監査は「保証型」と「助言型」の中間を狙う。監査人1名・年1回では外部監査並みの網羅的保証は出せない。「重大な穴がないことの合理的な確認＋来年に向けた優先改善事項の提示」を成果物と定義し、経営層にもその射程を事前に説明しておく。
1-2. 拠り所にする基準
| 基準 | 使い方 |
|---|
| 経済産業省「情報セキュリティ監査基準」 | 監査人の行為規範。独立性・証拠の入手・報告の原則はこれに従う。 |
| 経済産業省「情報セキュリティ管理基準」 | 監査項目の網羅性チェック用の辞書。本ガイド4章のチェックリストの背骨。 |
| 自社の情報セキュリティ規程・実践ガイド | 準拠性監査の直接の判定基準。「決めたことが守られているか」の“決めたこと”。 |
| CISA CPG 2.0／NIST CSF 2.0 | 到達度の物差し。年次の達成率推移として経営報告に載せる（→ CPG 解説）。 |
1-3. 独立性の担保（1名だからこそ厳密に）
- 監査人は運用3名と兼務しない：自分が設定した FW ルールを自分で監査する「自己監査」は成立しない。監査人は情報システム部門の管理職・品質/リスク管理部門・他部門の支援士など、日常運用に手を触れていない者を充てる。
- レポートラインは経営層へ直結：監査結果は運用チームの上長経由ではなく、経営層（CISO・担当役員）へ直接報告する。指摘を握り潰せない構造にする。
- どうしても独立した1名を確保できない場合：運用3名のうち当該領域を担当していない者が他領域を監査する「たすき掛け」を次善策とし、その旨を報告書に限界事項として明記する。翌年度は外部の監査サービスをスポットで入れて補正する。
2年1回で回す監査サイクル
年1回・監査人1名という制約下では「全項目を毎年同じ深さで」は不可能。基本項目（毎年必ず）＋重点テーマ（年替わりで深掘り）の二層構造にする。
2-1. 二層構造
| 層 | 内容 |
|---|
毎年必須
基本項目 | 4章のチェックリストのうち★印。境界・AD特権・バックアップ・インシデント対応など「破られたら事業が止まる」統制。浅くても毎年全数見る。 |
年替わり
重点テーマ | 毎年1〜2領域を選んで深掘りする。例：1年目=AD・特権管理／2年目=外部委託・サプライチェーン／3年目=ログとインシデント対応（テスト発報・机上演習の監査人立会い）。前年の重大指摘があった領域は自動的に翌年の重点テーマになる。 |
2-2. 年間の流れ（例：10月実施）
| 時期 | 作業 |
|---|
| 8月 | 監査計画書の作成（範囲・重点テーマ・スケジュール・依頼する証跡一覧）→ 経営承認・被監査側へ通知 |
| 9月 | 被監査側が証跡を準備（設定エクスポート・台帳・記録類）。監査人は前年指摘のフォローアップ状況を先に確認 |
| 10月 | 実査（実働10日目安 → 8章）：書面確認・インタビュー・実測テスト |
| 11月 | 報告書作成 → 経営報告会 → 改善計画の合意（期限・担当） |
| 翌年〜 | 四半期ごとに改善状況を書面確認（半日）。未了項目は翌年監査の冒頭で再点検 |
タイミングの工夫：運用側の年次イベント（復旧演習・机上演習・NIST CSF 自己評価）の直後に監査を置くと、演習記録・評価結果をそのまま証跡として使え、双方の工数が減る。
3監査手続きの型 — 証跡・実測・インタビュー
1名で効率よく確からしさを積み上げるため、手続きを4種類に類型化して使い分ける。
| 手続き | 内容 | コツ |
|---|
| ① 書面・証跡の閲覧 | 規程・台帳・設定エクスポート・会議記録・ベンダーレポートを読む | 「作ってあるか」でなく「日付が新しいか・実態と一致するか」を見る。証跡は被監査側に出させる（監査人が本番機を直接操作しない） |
| ② インタビュー | 運用3名・利用部門・経営層に聞く | 手順書を見ずに「今ランサム感染したら最初に何をしますか」と聞く。答えられるかが訓練の実効性の証跡になる |
| ③ 実測・再実施 | 統制を監査人の目の前で実際に動かす | テスト発報・サンプル突合（→ 5章）。年1回の監査に「本物の確からしさ」を与える中核手続き |
| ④ ツールレポートの利用 | PingCastle・ASM・脆弱性スキャン・MDR月次レポートを監査証跡として読む | 支援士スキルの見せ所。運用側が定常取得しているレポートを監査目線で再解釈する（スコアの推移・未対応項目の放置期間） |
監査人は本番環境に手を入れない。実測が必要な場合も操作は運用者が行い、監査人は立ち会って観察する（画面・ログの記録を証跡化）。ペネトレーションテスト（疑似攻撃による侵入テスト）は本監査の範囲外——必要性を感じたら「外部診断の実施」を指摘事項として挙げるのが正しい動き方。
4ドメイン別チェックリスト（本体）
★＝毎年必須の基本項目。「確認方法」は3章の手続き番号に対応。判定は「良い状態の目安」に照らして 適合／一部不備／不備 の3段階でつける。実践ガイドの章番号（→G3 など）と対応。
Aガバナンス・体制・規程
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★情報セキュリティ規程・手順書が実態と一致して維持されているか | ①規程の最終改定日／実運用との差分を②で確認 | 年1回以上見直し。実運用と乖離した「棚の規程」がない |
| ★経営層への定期報告が行われているか | ①報告資料・議事録（年次のCSF自己評価含む） | 年1回以上、リスクと投資判断が議論された記録がある |
| 役割分担と属人化対策 | ①運用カレンダー・手順書 ②「担当者が1名欠けたら」を質問 | 主要作業に手順書があり、代替実施の実績（年1回のローテ実施）がある |
| 教育・訓練の実施 | ①受講記録・標的型メール訓練の結果（報告率） | 全員年1回受講。訓練は報告率を指標に改善している |
B境界防御（FW / Proxy / DNS / VPN）→G3
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★FW ルールの棚卸しが実施されているか | ①棚卸し記録（半期）・変更管理記録 ③ルールのサンプル5件を申請記録と突合 | 全ルールにオーナー・目的・期限。突合5件が全件一致 |
| ★アウトバウンド既定拒否と Proxy 強制 | ①FW ポリシーのエクスポート ③検証端末から直接443接続を試行（遮断されることを観察） | Proxy 迂回の直接通信が技術的に不可能 |
| ★VPN の MFA 例外ゼロ | ①VPN 利用者一覧と MFA 登録状況の突合（全数） | 例外0件。ベンダー用アカウント含む |
| ★境界機器の緊急パッチ（72時間ルール） | ①直近1年の該当アドバイザリと適用記録の突合 | 「緊急」該当が期限内適用。判断記録が残っている |
| 管理インターフェースの非公開 | ④ASM 月次レポートの閲覧 ①例外の承認記録 | 公開面に管理画面・不要ポートなし。ASM が毎月回っている |
| 公開サーバー社内不保持の原則維持 | ①ネットワーク図 ②新規公開需要の処理方法を質問 ④ASM で実測 | 原則の例外がない。例外がある場合は経営承認と分離設計の記録 |
CAD・特権管理 →G4
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★Domain Admins の最小化と分離 | ①DA メンバー一覧の出力 ③メンバー全数について「日常アカウントと別か」「クライアントへのログオン拒否GPOの対象か」を確認 | 2〜3アカウント。日常用と完全分離。技術的ログオン制限あり |
| ★PingCastle 等 AD 健全性診断の運用 | ④四半期レポートの時系列閲覧 | 四半期実施・スコア改善傾向・重大指摘の放置なし |
| ★特権変更アラートが機能するか | ③テスト用グループ追加で実際に発報させる（運用者操作・監査人立会い） | 数分以内に通知が届き、対応手順が説明できる |
| LAPS・サービスアカウント管理 | ①LAPS 適用状況の出力 ①SPN 付きアカウント一覧と gMSA 化状況 | 適用率ほぼ100%。長期未変更の高権限サービスアカウントなし |
| krbtgt 定期リセット | ①実施記録（年2回）と krbtgt の pwdLastSet 実測 | 記録と実測が一致 |
| AD バックアップと森の再建手順 | ①手順書・年1回のリストア演習記録（→ドメインGでも参照） | 演習実績があり所要時間が計測されている |
Dエンドポイント・サーバー →G5
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★EDR カバレッジ | ①資産台帳と EDR 管理コンソールの台数突合 | 差分が説明可能（≒導入率100%）。未導入機は隔離等の代替統制 |
| ★MDR の実効性 | ④月次レポート ②「深夜に重大アラートが来たら何が起きるか」を質問 ①過去の対応事例 | 隔離までの権限委譲が契約に明記され、実績または訓練がある |
| ★パッチ適用率 | ④管理ツールの適用率レポート（クライアント／サーバー別） | クライアント自動適用が機能し、長期未適用機の理由が管理されている |
| 標準ユーザー化・マクロ既定ブロック | ①GPO/ポリシー出力 ③サンプル端末1台で実測 | ローカル管理者権限の例外が申請制で管理されている |
| USB・外部メディア統制 | ①ポリシー ③サンプル端末で実測 ①例外申請記録 | 既定禁止が実測で確認でき、例外に期限がある |
E内部ネットワーク →G6
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★セグメント分割と管理プロトコル制限 | ①ネットワーク図・ACL 出力 ③クライアントセグメントの検証端末からサーバーへ RDP/SMB を試行（遮断を観察） | 図・ACL・実測が三点一致。管理系は管理セグメントからのみ |
| 無線・ゲスト分離 | ①SSID 設計 ③ゲスト側から社内資源へ到達不可を実測 | ゲスト/私物が社内LANに触れない |
| ネットワーク図の鮮度 | ①最終更新日 ②直近の構成変更が反映されているか質問 | 実態との乖離なし（インシデント時に使える状態） |
Fログ・監視 →G7
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★重要ログの収集・保存 | ①ログサーバーの保存状況（AD/Proxy/FW/VPN/DNS の実データ最古日付を確認） | 目標保存期間（1年）を満たす。欠落期間がない |
| ★即時アラート4種の実効性 | ③1種類以上をテスト発報 ①過去の発報と対応の記録 | 発報→対応の流れが実演でき、記録が残っている |
| 時刻同期 | ③主要機器数台の時刻ずれを実測 | NTP 統一。ずれが許容範囲内 |
| 月次レビューの実施 | ①月例会議の記録（MDRレポート・ブロック上位・ルール変更） | 12か月分の記録があり、アクションが追跡されている |
Gバックアップ・復旧 →G8
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★3-2-1-1-0 の充足（特にイミュータブル/オフライン） | ①バックアップ設計書 ③イミュータブル設定の画面を立会い確認 | ドメイン管理者権限でも削除不能な世代が存在する |
| ★バックアップ基盤の AD からの独立 | ①構成確認（ドメイン非参加・独自認証・管理セグメント） | AD 全損時にもバックアップへ到達できる設計 |
| ★復旧演習の実施と RTO | ①年1回の演習記録（対象・所要時間・課題）②参加者に手順の要点を質問 | AD＋基幹1式の復旧が演習済みで、RTO が経営報告されている |
| バックアップ失敗の検知 | ①失敗時アラートの記録 ③可能ならテスト | 失敗が翌営業日までに検知・対処されている |
H資産・脆弱性・アカウント衛生 →G9
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★退職・異動者アカウントの無効化 | ③直近1年の退職者5名を人事データから抽出し、AD・VPN・クラウドの無効化を突合 | 5件全件が退職日±数日で無効化。孤児アカウントなし |
| ★脆弱性対応の期限遵守 | ④月次スキャン結果の時系列 ①Critical/High の対応記録（KEV 該当の扱い含む） | 期限超過に承認されたリスク受容の記録がある（黙認がない） |
| 資産台帳の正確性 | ③台帳から5台抽出して実在・設定を確認、逆にネットワークスキャン結果から5台を台帳と突合（双方向） | 双方向とも不一致ゼロ、または差分理由が即答できる |
| EOL 資産の管理 | ①EOL 一覧と更改計画・隔離状況 | 「知らない EOL」がない。残存には隔離と計画がある |
| DMARC 等メール認証 | ③自社ドメインの SPF/DKIM/DMARC 公開レコードを実測 | DMARC がquarantine 以上（none 放置でない） |
Iインシデント対応 →G10
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★初動フローと権限委譲 | ①初動手順書 ②抜き打ちで「今〇〇が起きたら」を運用3名それぞれに質問 | 全員が手順書なしで初動を答えられる。遮断の権限委譲が文書化 |
| ★外部連絡先の鮮度 | ①連絡先一覧（所管省庁・セプター・JPCERT/CC・警察・IR ベンダー・保険）の更新日 | 年1回更新。IR リテイナー等の契約が有効 |
| 机上演習の実施と改善 | ①演習記録と、前回演習の課題が潰されているか | 年1回実施。課題が翌年に持ち越されていない |
| 報告様式と期限の整理 | ①所管省庁への報告様式・期限の整理資料 | 「疑い段階で第一報」が手順化されている |
J外部委託・サプライチェーン →G3/G11
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| ★保守ベンダーのリモートアクセス統制 | ①ベンダーアカウント一覧（個別ID・MFA・有効化ルール）③利用ログのサンプル確認 | 常時接続なし。利用の都度有効化と操作記録がある |
| MDR 等委託契約の内容 | ①契約書（対応範囲・権限委譲・通知義務・SLA） | 「誰がどこまでやるか」に空白がない |
| 委託先のインシデント通知義務 | ①主要委託契約のサンプル3件を確認 | 通知義務・時限の条項がある（ないものは指摘） |
| 基幹インフラ制度（経済安保）への対応 | ①対象設備の届出記録・調達プロセス | 対象該当性が整理され、更改時のプロセスに組み込み済み |
K物理セキュリティ（簡易）
| 確認事項 | 確認方法・証跡 | 良い状態の目安 |
|---|
| サーバールームの入退室管理 | ①入退室記録 ③実地で施錠・持ち込み制限を確認 | 記録が取れており、棚卸しで不審な入室がない |
| オフラインバックアップ媒体の保管 | ③保管庫の実地確認 | 施錠・耐火・持ち出し記録がある |
5サンプリングとテストの実務 — 「書類監査」で終わらせない
1名・年1回の監査の価値は、少数でも実物に触れることで決まる。全数調査は不要。「5件・1回・1台」を合言葉にする。
- 5件抽出の突合：退職者アカウント5名／FW 変更5件／例外申請5件——母集団から監査人が無作為に選ぶ（被監査側に選ばせない）。1件でも不備が出たら範囲を広げる。
- 1回のテスト発報：特権グループ変更アラート等を目の前で発報させる。「アラートは設定してある」と「アラートは今日も鳴る」の間には深い溝がある。
- 1台の実機確認：サンプル端末1台で、標準ユーザー化・マクロブロック・USB 禁止・EDR 稼働を実際に確かめる。ポリシー一覧の閲覧より雄弁。
- 実測は運用者の操作＋監査人の観察で行い、画面・ログを証跡として保全する（→ 3章の原則）。
支援士スキルの使いどころ：PingCastle レポートの重大指摘が本当に重大か、MDR レポートの「対応済み」が妥当な処置だったか、DMARC レコードの設定が実効的か——ツールの出力を鵜呑みにせず技術的に再評価できることが、この監査人に支援士スキルを求める理由そのもの。
6指摘・報告・フォローアップ
6-1. 指摘の区分
| 区分 | 定義 | 対応期限の目安 |
|---|
| 重大な不備 | 侵害・事業停止に直結し得る統制の欠落（例：VPN の MFA 例外、バックアップの AD 依存、DA の常用） | 30日以内に是正または代替統制＋経営報告 |
| 要改善 | 統制はあるが形骸化・不完全（例：棚卸し記録の欠落、台帳の不一致） | 次回監査まで（期限と担当を合意） |
| 観察事項 | 現時点で不備ではないが、放置するとリスクになる事項・改善提案 | 任意（翌年の重点テーマ候補） |
6-2. 報告書の骨子（10ページ以内）
- 監査の概要（範囲・重点テーマ・手続き・限界事項：1名・年1回・サンプルベースである旨）
- 総合意見（昨年からの改善・全体評価を3行で）
- 指摘事項一覧（区分・根拠となった証跡・推奨対応・合意した期限と担当）
- 良好事例（頑張っている点を必ず書く——運用3名の士気は統制の一部）
- 経年サマリ（CPG/CSF 達成率・PingCastle スコア・指摘件数の推移グラフ）
6-3. フォローアップ
- 是正は「完了報告＋証跡」で確認する（口頭の「直しました」で閉じない）。
- 四半期ごとに書面で進捗確認（半日）。未了の重大不備は経営層へ即時報告。
- 翌年監査は前年指摘の再点検から開始する。同じ指摘が2年続いたら、原因は現場でなく資源配分（＝経営課題）として書く。
7監査人1名の心得と限界
- 支援士の義務を果たす：情報処理安全確保支援士の講習受講等で知識を最新に保つ。監査で知り得た情報には守秘義務（士法上の義務でもある）。
- 敵対せず、遠慮もしない：被監査側は兼任3名で日々を回している当事者。改善提案は工数の現実性（実践ガイドの「3名の大原則」）に照らして出す。一方で重大な不備は関係性に配慮せず書く——それができる立ち位置のために独立性がある。
- 1名監査の限界を常に明示する：本監査は保証の水準に構造的な限界がある。①数年に一度は外部のセキュリティ監査・診断で答え合わせをする ②ペネトレーションテストは別枠で計画する——この2点を報告書の定型文として毎年入れておく。
- 監査調書を残す：確認した証跡・実測結果・判断根拠を調書として保管（次年度の自分＝実質的な引き継ぎ先のため）。監査人交代に耐える記録が、1名体制の継続性を担保する。
8年次監査プログラム例（実働10日）
| 日程 | 作業 |
|---|
| Day 1 | キックオフ／前年指摘のフォローアップ確認／証跡一式の受領確認 |
| Day 2 | ドメインA（ガバナンス）＋経営層・利用部門インタビュー |
| Day 3 | ドメインB（境界）：FW ルール突合5件・Proxy 迂回テスト・ASM レポート |
| Day 4 | ドメインC（AD）：DA 全数確認・PingCastle 時系列・テスト発報立会い |
| Day 5 | ドメインD/E（エンドポイント・内部NW）：台数突合・実機1台・RDP 遮断実測 |
| Day 6 | ドメインF/G（ログ・バックアップ）：保存実測・イミュータブル立会い・演習記録 |
| Day 7 | ドメインH/I/J/K：退職者5件突合・DMARC 実測・初動の抜き打ち質問・実地確認 |
| Day 8 | 重点テーマの深掘り（年替わり。例：外部委託契約の精読・机上演習立会い） |
| Day 9 | 不足証跡の追加確認／指摘候補の事実確認（被監査側との認識合わせ） |
| Day 10 | 報告書ドラフト作成 → 後日、経営報告会 |
被監査側（運用3名）の負担目安：証跡準備に計2〜3人日＋実査対応に各日1〜2時間。監査計画書に「依頼する証跡一覧」を添えて1か月前に渡すことで、実査中の手戻りをなくす。