内部監査でアカウントの管理を確かめるときの観点と記録

内部監査でアカウントの管理を確かめるときの確かめ方は、経済産業省の「システム監査基準」が示しています。判断の物差しは「システム管理基準」と「情報セキュリティ管理基準」です。担当者の説明を聞くだけで終えず、サービスから取り出した利用者の一覧を、人事の名簿や承認の記録と突き合わせて確かめます。

監査の物差しになる 3 つの基準

システム監査基準は、監査役や内部監査部門が行う監査にも、外部の第三者に頼む監査にも当てはめたり参考にしたりできるとしています。判断の尺度にはシステム管理基準を使うのが望ましく、情報セキュリティの監査では情報セキュリティ管理基準も参照するのが望ましい、という位置づけです。システム管理基準の前文は、情報セキュリティの項目について情報セキュリティ管理基準の平成 28 年改正版などを参照するよう書いています。経済産業省はその後、2025 年 8 月に令和 7 年改正版を、監査の進め方を決めた姉妹編の「情報セキュリティ監査基準」とあわせて公表しました。令和 7 年改正版の管理基準は、JIS Q 27001:2023 と JIS Q 27002:2024 に合わせています。

2 つの管理基準は、どちらも自社に合わせて絞り込んで使うものです。システム管理基準は、項目を漏れなく当てはめる使い方は有効ではないとし、組織に合わせて項目を選び、直して使うのが望ましいとしています。情報セキュリティ管理基準も、組織は管理策を選んで具体的にした自社の体系を作る必要があるとしています。監査人には、監査に使えるところまで具体的にした基準をまとめることが望ましいとしています。内部監査部門は、自社が使っているサービスに合わせて、見る項目を先に決めておくことになります。管理策を SaaS の作業に置き換えた整理はISO/IEC 27001:2022 のアクセス制御の管理策を SaaS に当てはめるにあります。

説明を聞くだけでは確かめたことにならない

システム監査基準の基準 8 は、監査の手続を予備調査と本調査に分けています。予備調査では、規程や手順書を読み、関係する部門に話を聞いて、実態をつかみます。本調査では、結論を裏付ける十分で適切な証拠を集めます。基準 8 の解釈指針(基準の読み方を説明した部分)は、聞き取りによる口頭の証拠だけに頼らないよう求めています。書面の証拠を得る、現物と照合する、実際の操作を観察する、といった手続で裏付けます。

アカウントの管理では、この照合が中心になります。たとえば「退職者は当日に止めている」という説明を聞いたら、サービスの管理画面から利用者の一覧を取り出してもらい、人事の退職者の名簿と並べます。どこを重点に見るかは、基準 6 の「リスク・アプローチ」(リスクの大きい所に監査の人と時間を多く充てる考え方)で決めます。基準 6 の解釈指針は、リスクの大きさを起きる可能性と起きたときの影響の組み合わせで評価するとしています。顧客の情報を扱うサービスや管理者用のアカウントは、影響が大きいので先に見る候補になります。

アカウントで確かめる観点

括弧内の番号は、情報セキュリティ管理基準(令和 7 年改正版)の項目です(9 は参考として挙がっている例)。財務報告の監査で、何件を抜き出し、1 件ずつ何と照らすかはJ-SOX の IT 全般統制の運用評価で、アカウントについて確かめられることにあります。

1. 使える人の一覧があるか(5c-5.18.1 h)。どの ID にどの権限があるかを、一か所で記録しているかを見ます。一覧がなければ、承認や退職者との突き合わせができません。
2. 使い始める前に承認があるか(5c-5.18.1 a・c・g)。監査の対象期間に加わった人から何件かを選び、承認の日付が使い始めた日より前か、承認した人と設定した人が別かを確かめます。管理基準は、承認の手続が終わった後にだけアクセス権を有効にするとしています(g)。
3. 退職や異動で止めているか(5c-5.16.1 d、5c-5.18.1 d・i)。人事の退職者・異動者の名簿と利用者の一覧を突き合わせ、止めた日を退職日と比べます。辞めた人の ID が残っていれば、その人がまだ入れるおそれがあります。
4. 共有の ID に理由と承認があるか(5c-5.16.1 b)。管理基準は、複数の人で使う ID を、業務上必要で、承認と文書化をした場合にだけ認めています。ID ごとに、承認の記録と使ってよい人の名簿があるかを見ます。
5. 共有の ID のパスワードを、知っている人が辞めたときに変えたか(5c-5.17.3 d)。パスワードを変えた日を、知っていた人の退職日・異動日と並べます。変えていなければ、辞めた人もそのパスワードで入れるおそれがあります。
6. 管理者用のアカウントが人ごとに分かれているか(8a-8.2.2 c・g・j・k)。管理基準は、この管理策を行うときに考える事項を挙げています。強い権限を持つ ID を複数の人で共有しない、与えた権限を記録する、定期的に見直す、使ったときの記録を取る、などです。
7. 定期的な見直しをしたか(5c-5.18.2)。見直しの記録に、誰がいつ見て、何を外したかが書かれているかを確かめます。異動や昇進のあとの権限が見直しの対象に入っているかも見ます。
8. 利用の記録から人が分かるか(8b-8.15.3・8b-8.15.5)。管理基準は、記録に利用者 ID と日時を含め、本人が自分の記録を消したり止めたりできないようにするよう求めています。共有の ID では記録に ID の名前しか残らないため、貸出簿など別の記録と合わせて誰が使ったかを示せるかを見ます。
9. 委託先の担当者を把握しているか(5d-5.20.1 の参考 g、5d-5.19.4 の参考 m 1))。管理基準は、委託先との取り決めや手順に含める例として、使ってよい委託先の担当者の名簿と、取引を終えるときのアクセス権の回収を挙げています。その名簿と回収の手順が実際にあるかを確かめます。

監査調書に残すもの

基準 9 は、監査調書(監査で何をして、どう判断したかの記録)に一般的に含まれる事項を挙げています。実施者と日時、目的、手続、証拠、確かめた結果、発見した事実とそれへの意見、点検した場合は点検した人と日付です。アカウントの監査では、管理画面から取り出した一覧そのものを、取り出した日時と一緒に証拠として残します。利用者の一覧は日々変わるため、いつの状態を見たかが分からないと、あとから同じ照合をやり直せません。基準 9 も、調書を作る目的に、監査の内容が適切であることと、別の監査人がやり直しても同じ結果が得られることを挙げています。