内部統制を実現する日立のITソリューション「ITの統制」編

『ITの統制でまず注意を向けるべきなのは、クライアントのセキュリティが確保されているかということです。脆弱性のあるPCや、ポリシーに違反する不正なソフトウェアを格納したPCからネットワークは守られていますか？』

『ユーザーの意識を変えることも大事ですが、その前にITの仕組みでガードすることが必要です』

認証されていないPCはつながせない、安全な状態にしてから接続を許可する、不正なソフトウェアは起動させないといった仕組みが求められます。
また、情報漏洩を防ぐために、許可なくUSBメモリなどの外部媒体は使わせない、外部媒体にデータを格納する際には暗号化するといった仕組みも重要です。

『大規模システムでは、いくら予防措置を講じても、必ず問題は起きるものと考えるべきでしょう。肝心なのは、そのときに適切に迅速な対策がとられ、事故に至ることのないようにすることです』

上記の問題例では、放置したために重大な障害に発展する、システム変更後誤った帳票が出力される、ダブルチェックがないためデータが改ざんされる、といったことになる危険があります。

『インシデントの発生がリアルタイムに見える、解決までのすべてを管理できる、そうした仕組みを取り入れるといいでしょう。
システム変更も、ワークフローにより正しい承認なしには進行できない、といった統制を施す必要があります。誰が、何をして、どうなったかを、後から検証できることが重要です』

CMDB（Configuration Management Data Base：構成管理データベース）

『内部統制では、膨大な業務処理の記録を適切に保管して、すぐに検索、閲覧できることが必要です』

文書には法令で5年・10年と保存しなくてはいけないものもあります。厳正なアクセス管理などにより、不正な改ざんや破棄が起きない保管が必要です。
また、業務文書は更新履歴管理により、重複を防ぎ、常に最新の内容が利用できるようにするとともに、誰が、いつ、何をしたかを記録することが求められます。

『文書の登録、保管、アクセスを明確なルールに基づいて管理でき、長期保存にも対応可能な、全社的文書管理基盤の構築が望まれます』

日立のオープンミドルウェアは、内部統制のITフレームワークで「ITによる統制」と「ITの統制」の両方を網羅して内部統制を支援します。
更に、 ITコンサルティングと業務の文書化の支援においては、株式会社日立コンサルティングと連携してご提供します。