企業IT統制における外部委託先管理の重要性

　相変わらず，個人情報の漏えい事件が後を絶たない。最近の国内のニュースでは，「大日本印刷の業務委託先の電算処理室勤務元社員，クレジットカード番号などの個人情報を863万件持ち出し」の事件が記憶に新しい。個人情報保護法の施行以来の最大規模のセキュリティ事件で，業務の外部委託時のセキュリティ対策についての重要な問題提起となった。

　そもそも個人情報保護法では，外部委託先の監督責任を問われることになっているが，それが委託元企業に与える影響は無視できない（参考：「個人情報漏えい事件を斬る(83)　情報誤廃棄でKDDIに発動された総務省勧告」）そこで今回は，「企業IT統制における外部委託先の管理の重要性」に注目してみる。

想定リスクは十分か

　重要情報を扱う企業が，想定されるリスクに対してセキュリティ管理策を検討・実装しているにも関わらず，このような事件が発生するのは一体なぜなのかと疑問を感じるところである。それには大きく二つの原因が考えられる。
原因（1）　セキュリティ対策の運用管理の不徹底
原因（2）　リスク分析における想定リスクが不十分

　原因（1）に対する改善策は，「モニタリング（監視活動）」の実現である（「今週のSecurity Check」第184回を参照）。実装されたセキュリティ対策を実行し，見直すために定期的な監視活動が重要である。原因（2）については，リスク分析において「想定外リスク」を残さないように，保護すべき情報資産の環境・資源・状況に応じたリスクを網羅的に想定することしかない。この際に重要になってくるのが，今回のテーマである「外部委託先の管理」だ。外部委託先管理の問題は委託先を有する多くの企業において生じており，　IT企業統制においても重要な統制目標として挙げられている。

　2007年3月31日，経済産業省が「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」を公開した。この追補版は，内部統制と情報セキュリティの関係を明確にすること目的として，汎用的な情報セキュリティ・ガイドラインである「システム管理基準」を補うように策定された。「第!)章　IT統制の導入ガイダンス（IT統制の例示）」には，システム管理基準とIT統制との関係が具体的に書かれていて，外部委託先の管理に関しても， （1）外部委託先との契約，（2）外部委託先とのサービスレベルの定義と管理，という2項目が含まれている。

（1）外部委託先との契約
　外部委託先の管理の対象は，財務報告に係るITの運用及び財務情報作成等を目的とした外部委託業者である。その統制目標は企業の実現すべきセキュリティ対策に広く共通する内容を含むものである。統制目標の例を以下に挙げる（システム管理基準 追補版（財務報告に係るIT統制ガイダンス）から抜粋）。

　企業において特に重要視する統制目標としては，委託先選定後の「委託業務の実施状況を把握し，適宜，確認すること」になるだろう。統制目標が確実に実現できているかを評価するためには「モニタリング（監視）」は重要となる。企業は，監視方法をより具体化して，手順化（手順書作成・周知・徹底・評価及び見直し含む）することが推奨される。

（2）外部委託先とのサービスレベルの定義と管理
　外部委託業務のサービスレベルの定義と管理のプロセスは，委託元企業の期待及び要求に応えることが重要であり，提供サービスが確実に提供されるための委託業者の役割及び責任を規定することである。統制目標の例を以下に挙げる（システム管理基準 追補版（財務報告に係るIT統制ガイダンス）から抜粋）。　委託先とのサービス・レベル契約を締結するためには，ITサービス・マネジメントの国際規格である「ISO/IEC20000：2005　情報技術－サービスマネジメント」が参考となる。

■統制の例　（システム管理基準 追補版（財務報告に係るIT統制ガイダンス）より抜粋）

■統制の例　（システム管理基準 追補版（財務報告に係るIT統制ガイダンス）より抜粋）

【参考情報】 ITサービスマネジメントは，ベンダー任せではいけない！（ISO/IEC20000に学ぶ） http://itpro.nikkeibp.co.jp/article/Watcher/20060912/247829/