クラウド・物理・可用性の監査

クラウドサービス、物理的なセキュリティ、可用性は、いずれも情報システムを必要なときに利用できる状態に保つための監査の観点である。可用性とは、障害が起きた場合でも情報システムやデータを必要なときに使える性質を指す。監査人は、この可用性を確保する管理策が設計どおりに運用されているかを、クラウドの導入検討、施設の入退室、業務システムの機能ごとに確かめる。

可用性と他の情報セキュリティ特性の区別

情報セキュリティでは、可用性のほかに、権限のない者に情報を見せない機密性と、情報が正確で改ざんされていない完全性を重視する。この三つは互いに別の性質であり、同じ対策でも守る性質が異なる点を理解することが監査の出発点になる。マスタファイルを置くサーバを二重化すると、片方が故障しても処理を継続できる可能性が高まり、可用性の向上につながる。

一方で、マスタファイルの保守を特権アカウントの保有者に限定するのは、不正な変更を防ぐアクセス制御である。この対策は主に機密性や完全性に関わり、サーバ故障への備えとしての可用性には直接は当たらない。

入力チェックは、誤った値や形式の違うデータが登録されるのを防ぎ、マスタファイルの正確さを保つ対策である。 複数件をまとめて検索・加工する機能は処理の効率や性能に関する項目であり、故障時にも利用できるかという可用性を直接確保するものではない。

監査の判断基準と可監査性

情報システムの可監査性とは、コントロールの有効性を監査人が確かめられるように、情報システムが設計・運用されている性質を指す。 監査人の能力や監査報告書の完成度は監査の実施と報告の品質に関する事項であり、システム自体の可監査性とは区別して考える。

部門の協力が得られることは監査を円滑に進めるうえで役立つ。しかし、協力が得られること自体は、システムが監査可能な状態にあることを示すものではない。

クラウドサービスの導入を検討する段階では、保存している情報の消失を予防する観点から、事業者の信頼性と、事業やサービスが継続して提供されるかどうかを検討しているかが重要な確認事項になる。 事業者が事業から撤退したりサービスを終了したりすると、預けた情報にアクセスできなくなるおそれがあるため、継続性の評価が消失の予防につながる。