Sample · Internal Security Audit Report
情報セキュリティ内部監査 報告書（サンプル・架空事例／初回監査・統制未成熟の想定）
本書は「内部情報セキュリティ監査ガイド 」に基づいて実施した初回監査の報告書の記載例 である。想定は「これまで内部監査を実施したことがなく、内部統制がほとんど有効に機能しておらず、不備が多数存在する状態」。実際の報告書がどの程度の粒度・トーンになるかを示す見本として用いる。
Contents
1 監査総括（エグゼクティブサマリ）
D
総合評価：D（重大な是正を要する）
本監査は当社にとって初めての情報セキュリティ内部監査である。全11ドメイン（A〜K）を対象に、書面確認・関係者インタビュー・限定的な実測テスト・既存ツール出力の再評価を行った。結果として、侵害または事業停止に直結し得る「重大な不備」を7件確認 した。とりわけ次の3点は、現状で標的型攻撃・ランサムウェアを受けた場合に被害を限定できない蓋然性が高く、他の改善に優先して即時対応すべき と判断する。
境界（VPN）に多要素認証がなく、ID・パスワードのみで社外から社内へ接続できる状態 （所見 C-01）。バックアップが本番系と同一の認証・ネットワーク上にあり、ランサムウェア被害時に同時に暗号化・削除され得る （所見 G-01）。復旧演習も未実施で、AD 復旧の可否が不明。全利用者がローカル管理者権限を保持し、Domain Admins が日常業務・クライアント操作に常用されている （所見 C-02・D-01）。1台の感染がドメイン全体の掌握に直結しやすい。
一方で、直近に情報セキュリティ規程を整備し、本監査を自発的に受け入れた姿勢は評価できる（→ 7章 ）。不備の多さは「これまで着手していなかった」ことの反映であり、担当者3名の努力不足ではない。 本報告は責任追及ではなく、資源配分（人・予算）の経営判断を促すことを目的とする（→ 8章 ）。
2 監査の目的・範囲・手続き2-1. 目的
初回監査として、情報セキュリティ統制の現状（ベースライン）を把握 し、重大リスクの有無を確認する。
是正の優先順位を経営層に提示 する（網羅的な保証ではなく、重大な穴がないことの合理的確認＋優先改善提言）。
2-2. 範囲
本社および主要サーバー環境（オンプレミス Active Directory を中核とするサーバー／クライアント構成、インターネット出口の Proxy・Firewall、リモートアクセス VPN）。公開Web・メールは外部サービスを利用しており、社内非保持であることを確認範囲に含めた。監査ガイドの11ドメイン（A ガバナンス〜K 物理）を対象とする。
2-3. 手続き
手続き 本監査での実施内容
書面・証跡の閲覧 規程・台帳・機器設定エクスポート・会議記録・委託契約書を確認 インタビュー 情報システム部3名、利用部門2名、担当役員に実施 実測・再実施（限定） 検証端末からの Proxy 迂回試行、サンプル端末1台の設定確認、退職者アカウントの突合等 ツール出力の再評価 提出されたウイルス対策製品の管理画面、外部からのポートスキャン結果を監査目線で確認（注：AD 健全性診断・脆弱性スキャンは未導入のため実施不可）
本監査は本番環境への操作を行わず、実測は運用者の操作に監査人が立ち会う方式で実施した。疑似攻撃による侵入テスト（ペネトレーションテスト）は範囲外とし、必要性は所見として記載した（→ 所見 F-02）。
3 総合意見と成熟度評価CISA CPG 2.0／NIST CSF 2.0 の6機能を物差しに、現状の成熟度を4段階（未整備／部分的／概ね整備／有効に運用）で評価した。初回のため多くが下位に位置する。
機能 成熟度 要約
統治(Govern) 部分的 規程は策定直後だが運用実績がなく、経営報告・役割分担が未確立 識別(Identify) 未整備 資産台帳が最新でなく、脆弱性管理・KEV 対応の仕組みがない 防御(Protect) 未整備〜部分的 MFA 不在・特権分離なし・全員ローカル管理者など基礎統制の欠落が多い 検知(Detect) 未整備 EDR 未導入、ログは分散し保存期間も不明、監視体制なし 対応(Respond) 未整備 インシデント対応手順・連絡先一覧・演習がいずれも未整備 復旧(Recover) 未整備 バックアップが本番依存、復旧演習・RTO 定義なし
総合意見：当社の情報セキュリティ統制は、現時点で「有効に機能している」とは言えない。 特に「防御・検知・対応・復旧」の中核が未整備であり、インシデント発生時に被害の限定・早期復旧が困難である。ただしこれは初回監査で顕在化した当然の結果であり、後述のロードマップに沿って優先度順に着手すれば、1年で D → C、2年で C → B への改善は現実的である。
4 重大な不備（7件）— 30日以内の是正または代替統制を要する侵害・事業停止に直結し得る統制の欠落。是正または暫定の代替統制と、経営層への状況報告を30日以内に求める。ドメイン記号は監査ガイドのチェックリストに対応。
重大 C-01 VPN に多要素認証がない Domain B（境界）
状況 リモートアクセス VPN が ID・パスワードのみで認証されており、全利用者に多要素認証（MFA）が設定されていない。ベンダー保守用アカウントも同様。
リスク 資格情報の漏えい・使い回し・推測により、社外から誰でも社内ネットワークへ到達し得る。近年の侵害の主要な初期侵入経路である。
根拠 VPN 利用者一覧に MFA 登録項目が存在せず、インタビューでも未導入を確認。
推奨対応 全 VPN 利用者に MFA を即時適用（例外ゼロ）。当面はサービス提供元の標準機能で実現可能。
期限/担当 30日以内 ／ 情報システム部
重大 G-01 バックアップが本番系に依存し、ランサムウェアで同時被害を受け得る Domain G（復旧）
状況 バックアップサーバーが本番と同一ドメインに参加し、同一ネットワーク上に配置。ドメイン管理者権限で削除可能。イミュータブル（変更不可）またはオフラインの世代が存在しない。復旧演習は未実施。
リスク ランサムウェア被害時、本番と同時にバックアップも暗号化・削除される可能性が高い。最後の砦が機能せず、事業停止が長期化する。
根拠 バックアップ構成図の確認、および管理画面上でイミュータブル設定が無効であることを立会い確認。
推奨対応 ①削除不能な世代（イミュータブル）またはオフライン保管を確保 ②バックアップ基盤をドメインから独立させる ③AD＋基幹1式の復旧演習を実施し RTO を測定。
期限/担当 ①は30日以内 ／ ②③は90日以内 ／ 情報システム部
重大 C-02 Domain Admins の常用・過剰付与 Domain C（AD・特権）
状況 Domain Admins に9アカウントが所属し、うち複数が日常業務・クライアント端末へのログオンに常用されている。日常用と管理用の分離、管理専用端末が存在しない。
リスク 管理者権限の資格情報が一般端末に残留し、1台の侵害からドメイン全体の掌握（横移動→AD 掌握）に直結しやすい。
根拠 Domain Admins メンバー一覧の出力、利用実態のインタビュー。
推奨対応 DA を2〜3に削減、日常用アカウントと完全分離、DA のクライアントへのログオンを GPO で禁止、管理専用端末を用意。
期限/担当 60日以内（削減・分離は30日以内着手）／ 情報システム部
重大 D-01 EDR 未導入・全利用者がローカル管理者権限を保持 Domain D（エンドポイント）
状況 端末・サーバーに EDR（不審挙動の検知・対処の仕組み）が導入されておらず、旧来型のウイルス対策のみ。加えて全利用者が自端末のローカル管理者権限を保持。監視体制（自社 SOC／外部 MDR）もない。
リスク マルウェアの実行・拡散を制限できず、感染しても検知・隔離ができない。深夜帯の被害進行に気付けない。
根拠 資産台帳とインタビュー、サンプル端末1台での権限確認。
推奨対応 EDR を全端末・全サーバーへ導入し、24時間監視は外部 MDR に委託（3名体制のため内製 SOC は非推奨）。あわせて標準ユーザー化を推進。
期限/担当 導入計画を30日以内に策定、90日以内に展開開始 ／ 情報システム部・経営
重大 I-01 インシデント対応手順・連絡先が未整備 Domain I（インシデント対応）
状況 インシデント発生時の初動手順、社内エスカレーション基準、外部連絡先一覧（所管当局・JPCERT/CC・警察・IR 専門ベンダー・保険）が整備されていない。机上演習も未実施。
リスク 実際の事故時に初動が遅れ、被害拡大・報告義務違反・信頼失墜を招く。連絡先を事後に探すことで初動が数日遅れる。
根拠 文書の不存在、担当者インタビューで初動手順を即答できなかった。
推奨対応 初動フロー（紙1枚）と外部連絡先一覧を整備。IR 専門ベンダーの緊急連絡先またはリテイナー契約を確保。年1回の机上演習を計画。
期限/担当 60日以内 ／ 情報システム部・総務
重大 H-01 退職・異動者アカウントが無効化されず残存 Domain H（アカウント衛生）
状況 直近1年の退職者5名を抽出し突合したところ、3名分の AD アカウントが有効なまま残存。うち1名は VPN 接続権も保持。無効化の申請・実行フローが人事と連携していない。
リスク 退職者・第三者による不正アクセスの温床。棚卸し不在により、いわゆる「孤児アカウント」が蓄積している。
根拠 人事の退職者リストと AD／VPN アカウントの突合（サンプル5件中3件不備）。
推奨対応 退職・異動時の即日無効化フローを人事と直結。全アカウントの棚卸しを実施し孤児アカウントを整理。以後は月次棚卸し。
期限/担当 棚卸しは30日以内、フロー整備は60日以内 ／ 情報システム部・人事
重大 B-01 境界機器の緊急パッチ運用がなく、長期未適用 Domain B（境界）
状況 Firewall・VPN 機器のセキュリティパッチについて、ベンダー advisory の購読・緊急適用の運用がない。直近1年で公表された重要な更新のうち複数が未適用のまま。
リスク 境界機器の脆弱性は公表後まもなく悪用され、認証を経ずに侵入される。近年の重大侵害の主要因のひとつ。
根拠 機器のファーム版数と公開 advisory の突合、パッチ適用記録の不存在。
推奨対応 ベンダー advisory と JPCERT/CC 注意喚起を購読。「緊急」は72時間以内適用を目標とする体制と、臨時メンテの事前承認を整備。まず未適用分を計画的に適用。
期限/担当 未適用分は30日以内、運用体制は60日以内 ／ 情報システム部
5 要改善事項（14件のうち代表例を抜粋）統制はあるが形骸化・不完全、または未整備だが緊急度は重大の次に位置するもの。原則として次回監査までに是正（期限・担当を合意）。全件は付録の一覧表に記載。
所見 ドメイン 要旨と推奨対応
A-01 ガバナンス 規程は策定済みだが手順書・運用実績がない。経営報告の定例化と役割分担・代替要員の明確化を推奨。 A-02 ガバナンス 全社セキュリティ教育・標的型メール訓練が未実施。年1回の教育と報告率を指標とした訓練を推奨。 B-02 境界 アウトバウンド通信が既定許可で、Proxy を経由しない直接通信が可能。出口の既定拒否＋Proxy 強制を推奨。 B-03 境界 FW ルールの棚卸しが行われず、用途不明・期限切れルールが残存。半期ごとの棚卸しとオーナー明記を推奨。 C-03 AD・特権 ローカル管理者パスワードが全台共通の可能性。Windows LAPS による個別化を推奨。 E-01 内部NW ネットワークが分割されておらず、クライアント・サーバーが同一セグメント。最低限のセグメント分割と管理プロトコル制限を推奨。 F-01 ログ ログが各機器に分散し保存期間も不定。重要ログ（AD/Proxy/FW/VPN/DNS）の集約と1年保存を推奨。 H-02 脆弱性 脆弱性スキャン・KEV 対応の仕組みがない。月次スキャンと対応期限の設定を推奨。 H-03 メール 自社ドメインの DMARC が未設定（none 相当）。なりすまし対策として quarantine 以上への移行を推奨。 J-01 外部委託 保守ベンダーのリモート接続が常時接続かつ共有アカウント。個別ID＋MFA＋利用時有効化＋操作ログを推奨。
6 観察事項（9件のうち抜粋）現時点で不備ではないが、放置するとリスク化する事項・将来への提言。対応は任意だが、翌年の重点テーマ候補とする。
O-01（識別） ：資産台帳が手作業の表計算で、更新が滞りがち。資産管理ツール等での自動化を将来検討。O-02（境界） ：外部公開面の定点観測（ASM）が未実施。安価なサービスでの月次スキャン導入を推奨。O-03（AD） ：AD 健全性の自己診断（無償ツール等）が未活用。四半期ごとの実施でスコアを経営指標化できる。O-04（復旧） ：復旧の優先順位（どの業務から戻すか）が事業部門と未合意。平時の合意形成を推奨。O-05（全般） ：ゼロトラストへの移行余地はあるが、現状は基礎統制の整備が先。まず境界防御の高度化に集中すべき。
7 良好事例・評価できる点統制の成熟度は低いが、改善の土台となる良い点も確認された。運用担当者の士気維持のためにも明記する。
公開サーバーを社内に保持していない ：Web・メールを外部サービスに委ね、社内に公開サーバーを置かない設計は、攻撃対象面を小さく保つ良い判断であり、今後も維持すべき。情報セキュリティ規程を自発的に整備し、本監査を受け入れた ：統制構築の第一歩を踏み出している。経営の関与の意思表示として評価できる。運用担当者の現場把握が的確 ：台帳は未整備だが、担当者はネットワーク構成や機器の実態を口頭で正確に説明でき、文書化さえ進めば統制が立ち上がる素地がある。
8 根本原因の分析個々の不備は多岐にわたるが、根本原因は概ね次の3点に集約される。これらは現場3名の努力で解決できる範囲を超えており、経営レベルの対応を要する。
これまでセキュリティに計画的に着手してこなかった ：責任者の不在と、投資判断の場（経営報告）の不在により、対策が後回しにされてきた。多数の不備は「怠慢」ではなく「未着手」の結果である。人的リソースの不足 ：情報システム部3名がインフラ・ネットワークと兼任しており、日常運用で手一杯。24時間監視や専門的な設計に割く余力がない。→ EDR 監視等は外部委託（MDR）で補うのが現実的。統制を回す仕組み（PDCA）の不在 ：規程はできたが、棚卸し・教育・演習・報告といった「定期的に回す運用」が未定着。本監査を起点に年次サイクルを確立することが最大の改善になる。
9 改善ロードマップ（提言）全不備の同時是正は非現実的。効果と緊急度で優先順位を付け、段階的な是正を提言する。詳細な実装は「ネットワークセキュリティ実践ガイド 」を参照。
時期 対応（優先順）
〜30日 VPN 全員 MFA（C-01）／退職者アカウント棚卸し（H-01）／境界機器の未適用パッチ適用（B-01）／バックアップのイミュータブル化またはオフライン確保（G-01 応急） 〜90日 Domain Admins 削減・分離・管理端末（C-02）／EDR＋MDR 導入計画と展開開始（D-01）／初動フローと外部連絡先・IR リテイナー（I-01）／バックアップ独立化と復旧演習（G-01）／LAPS（C-03） 〜1年 出口既定拒否＋Proxy 強制（B-02）／FW ルール棚卸し（B-03）／セグメント分割（E-01）／ログ集約・1年保存（F-01）／脆弱性・KEV 対応の仕組み（H-02）／DMARC（H-03）／委託先アクセス統制（J-01）／全社教育・訓練（A-02）／年次サイクル（棚卸し・演習・経営報告）の確立 2年目〜 AD 健全性の四半期診断（O-03）／ASM（O-02）／サーバーのアプリ制御／外部脆弱性診断・ペネトレーションテストの実施。次回監査で D→C→B への改善を確認
経営層への要請： 本ロードマップの実行には、EDR/MDR・バックアップ改修等の投資 と、兼任3名の工数確保（一時的な増員・外部委託を含む） が不可欠である。是正の可否は現場ではなく資源配分の経営判断に依存する。
10 監査の限界事項
本監査は監査人1名・年1回・サンプルベース で実施しており、全事象・全機器を網羅したものではない。所見に挙がっていない不備が存在しないことを保証するものではない。
EDR・脆弱性スキャン・AD 健全性診断などのツールが未導入 のため、これらに基づく検証は実施できていない。導入後の再評価が必要である。
疑似攻撃による侵入テスト（ペネトレーションテスト）は範囲外である。基礎統制の整備後、数年に一度は外部の専門診断で答え合わせ をすることを推奨する。
本監査は初回のため比較対象がなく、経年評価は次回以降となる。
11 付録：所見一覧表
所見ID ドメイン 区分 件名 期限目安
C-01 B 境界 重大 VPN に MFA がない 30日 G-01 G 復旧 重大 バックアップが本番依存・演習未実施 30〜90日 C-02 C AD 重大 Domain Admins の常用・過剰付与 60日 D-01 D 端末 重大 EDR 未導入・全員ローカル管理者 90日 I-01 I 対応 重大 インシデント対応・連絡先未整備 60日 H-01 H 衛生 重大 退職者アカウントの残存 30〜60日 B-01 B 境界 重大 境界機器の緊急パッチ運用なし 30〜60日 A-01 A 統治 要改善 規程の運用・経営報告が未確立 次回まで A-02 A 統治 要改善 教育・訓練の未実施 次回まで B-02 B 境界 要改善 出口既定許可・Proxy 迂回可能 次回まで B-03 B 境界 要改善 FW ルール棚卸し不在 次回まで C-03 C AD 要改善 ローカル管理者パスワード共通の疑い 次回まで E-01 E 内部NW 要改善 ネットワーク未分割（フラット） 次回まで F-01 F ログ 要改善 ログ分散・保存期間不定 次回まで H-02 H 脆弱性 要改善 脆弱性・KEV 対応の仕組みなし 次回まで H-03 H メール 要改善 DMARC 未設定 次回まで J-01 J 委託 要改善 保守ベンダーの常時接続・共有ID 次回まで O-01〜09 各所 観察 資産台帳自動化・ASM・AD診断・復旧優先順位 ほか（本文6章参照） 任意
※ 要改善14件・観察9件のうち、本サンプルでは代表例を掲載。実際の報告書では全件を個票で記載する。件数・内容はすべて架空の設定値である。