LINE2019.03.09今回は先日以下の勉強会で発表した内容について記事にしてきます。勉強会に参加してきましたなお、内容についてはかなり個人的見解を含んでいますので、私の所属や特定の団体等は全く関係ありませんのであらかじめご了承ください。仕事の流れまずは何しているか全くわからない人も多いと思いますので仕事例(私が知っている範囲での)についてです。記事に登場する絵は私が作成し、実際に勉強会で使用したものを流用します。監査時の関係についてです。登場人物?は三人です。関係性は以下に図で示しています。監査人を内部で準備する場合ももちろんあります。(内部監査等)ただ、外部にその資料を公開する場合などは外部の独立した会社に頼むのが一般的になるかと考えています。(独立性や客観的な指摘などを考慮して)今回は外部監査会社に依頼するケースを例にしています。事務局から監査会社に依頼がきます。監査会社は事務局の指示通りに被監査部門に対して監査を行います。本格的な監査に入る前に顔合わせだったり、必要資料(マニュアルや他社との契約内容がわかるもの、出せる範囲で)の提示を求めるのが一般的かと思います。この時点で、かなり非協力的な場合もあります。ただでさえ忙しいのに監査の対応もしなければいけなく、提示するマニュアル等の準備や提示できるものの判別等を行わなければいけません・・・そして、マニュアルの提示だけではなく、実際に時間をかなり用意してヒアリングや現場を監査人に案内したりもします。(もちろん通常の業務も怠ってはいけません)その結果を基に監査人は監査結果報告書を作成します。(大体報告会が開催されます。)実際に監査を行うと、現実での業務のやり方とマニュアルに相違がある場合があります。その際は指摘事項として提示される可能性もあります。忙しい中協力していた側としてはかなりきつい可能性も非常にわかりますね。その結果、組織に対して不信感が湧いてしまい、意欲の低下や退職、最悪の場合は不正行為等に手を出してしまう可能性もあるかもしれません。(少し過剰に表現しています)じゃあ監査ってどうすればいいの?私自身もそこまで多くの監査実績があるわけではないので、偉そうなことは言うことができませんが、経済産業省から2018年4月に出た、システム監査基準を基に考えていきます。例に出した監査の場合、独立性に若干の問題が発生するのでは?と考えています。それぞれであり、正三角形のような関係性である事が求められるのではないかと考えています。監査側については仕組みとしては理解していても、依頼を受けることもあり、事務局側に偏っている傾向があるのではないでしょうか。監査会社が行う指摘としては被監査部門に関しての指摘が一般的かと思いますが、事務局側の対応や組織全体の仕組み自体に問題がある可能性もあると思います。その場合、指摘は被監査部門だけに留まらず、組織全体への問題として提示される必要があるのではないでしょうか。事務局側についても、監査の意義を理解する必要があります。話を聞くのはISMSの維持や取得のためだけに監査を受けている等の場合です。いった話を聞くと本来の監査の意味から大きく逸脱しているなぁ~と感じます。以下にシステム監査基準に記載の目的と意義を紹介します。ガバナンス、マネジメント、コントロールの適切性等に対する保証を与える、又は改善のための助言を行う監査の一類型である。システム監査は、情報システムにまつわるリスク(以下「情報システムリスク」という。)に適切に対処しているかどうかを、独立かつ専門的な立場のシステム監査人が点検・評価・検証することを通じて、組織体の経営活動と業務活動の効果的かつ効率的な遂行、さらにはそれらの変革を支援し、組織体の目標達成に寄与すること、又は利害関係者に対する説明責任を果たすことを目的とする。[1]システム監査の意義と目的より最後に色々書きましたが、私自身実際の監査になった場合、こういったことがちゃんとしっかりできるかは自信がありません。「上記のようになるように努めます!」が現状精一杯です。監査については「知識」だけではなく「コミュニケーション能力」や「プレゼンテーション能力」等々色々な能力を求められる仕事です。やりがいを感じるところでもあり、また苦労する部分でもあるかと思っています。このシステム監査基準や同じく経済産業省から出ている「システム管理基準」についは今後内容を読み込んで自分の考えを記事にしていきたいと思っています。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。Ripperを使ってみる超大型の台風が日本を通過し少し安心しました。Ripper」について解説していきます。内容については個人的なやり方でもあるため、あくまで使用方法の一例として見て頂ければと思います。前回に引き続きPGPの記事を記載します。今回は実際に検証環境でPGPを試していきます。概要を知っていても、実際に手を動かさないと分からないことも多くあります。皆さんも是非とも手を動かして検証してみてくださいね。Security)を活用しよう先日の以下の勉強会で発表した内容について記事にしていきます。CIS自体を知らない方も多かったので、興味がある方は読んでいっていただければと思います。18でLAMP環境を作るよ!1セキュリティに興味がある人は社会人、学生問わず多いかと思います。18」で作っていきたいと思います。2018.06.13セキュリティARPとARPスプーフィング2前回に引き続き、ARPスプーフィングを記事にしていきます。今回はツールのインストールと動作確認を行っていきます。私は自分の管理する環境で実施しており、該当ツールを外部の自分の管轄外の環境で他人に対して実施した場合、犯罪になりますのであらかじめご認識ください。7そろそろこのサイトにも新しい機能を実装したいなと思いお問い合わせフォームを実装しようと思います。今までなかったの?と言われると言葉に詰まってしまいますが、そこら辺は流してもらえると助かります。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。