最後にはじめにシステム、セキュリティに関する監査は通常の業務監査以上に未経験の方にはハードルが高いものかもしれません。監査上の評価尺度云々以前に、被監査部門となるシステム開発・運用部門の業務自体が上手く理解できない、技術用語についていけない等の問題が生じるためです。最低限の技術的な知識や概念を理解すること、そのうえでシステム監査のやり方の基本を学ぶこと、その両方の観点からお勧めできる書籍をご紹介してみたいと思います。―基礎からネットワーク・クラウド・ビッグデータまで―』(2015)システム、セキュリティ監査をはじめる人に最適いわゆる「システム監査」に関する知識・監査の進め方・留意事項を分かりやすくまとめています。システム開発のライフサイクル、ネットワーク、情報セキュリティ、事業継続管理、クラウド、ソーシャルメディアなど各種テーマが網羅的に収録され、それぞれの基本的な技術知識やチェックポイントも紹介されています。実務上の監査要点、つまり具体的に確認するポイントに落とし込むにはやや情報量が足りない面がありますが、それでも全体感や重点監査項目となり得る要点などを把握するには十分です。具体的な基準設定していくという形で、本書を活用していました。古い本になってしまいましたが、分量もそれほど多くなく、読みやすい一冊です。Selection)』(2008)非エンジニアには心強いシステムの「振る舞い」が分かる本これは内部監査系書籍ではありませんが、システム監査の際に大変役に立ったので紹介します。システム監査やセキュリティ監査を行う際大きな壁に直面します。本書はふんだんにイラストや図で概念や遷移、処理の流れを解説しています。『TCPレイヤの役割』『ストレージとOSの関係図』などを教えてくれます。かみ砕いてくれているとはいっても、基本的にはエンジニア向け書籍なので、非エンジニアには理解が難しい箇所もありますが、これを読み終えるとシステム監査では格段にヒアリングでの理解力が向上したことがわかるでしょう。※2019/9/13に新装版がでました。試験対策本ですが、セキュリティに関するあらゆる知識が網羅されており、セキュリティに関する監査を行う者の知識習得には適した本といえます。セキュリティの基礎概念から始まり、脅威と脆弱性、セキュリティマネジメント、暗号化やアクセス制御・認証等のセキュリティ技術対策、さらには各種法制度に至るまでセキュリティ、特に情報セキュリティのみならず近年とみにリスクを増しているサイバーセキュリティ分野について体系的に学ぶことができます。技術的な内容が多いですが、必ずシステム上の振る舞いやイメージが図示されているので、予備知識が十分でなくても一定の理解ができるように構成されている点もポイントです。難点は700ページを超えるボリュームです。精読するには相当の根気と時間は必要とするでしょう。逆にいえば、時間を掛けて理解すれば必ず力になるでしょう。※2019年に新版が出ています。筆者はまだ購入していないので参考として紹介します。最後にシステム・セキュリティ監査は技術的な知識や理解をビジュアルに保持したうえで行えるかが、大切なポイントになります。非エンジニアでこれからシステムやセキュリティの監査に本格的に取り組む方は、一定以上の時間を掛けてその点をクリアすることが必要でしょう。今回ご紹介した書籍がそうした参考になれば幸いです。室長J-SOXバブル時に内部統制コンサルに。リスクマネジメント・セキュリティ業務に従事しています。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。