IT統制の具体例：現場担当者が知っておくべきポイント

はじめに：なぜ今、IT統制が重要なのか

「IT統制って、結局何をすればいいの？」

現場で働く担当者の方から、このような質問をよく受けます。J-SOX法（内部統制報告制度）の施行から15年以上が経過し、IT統制という言葉自体は広く知られるようになりました。しかし、具体的に何をどう管理すべきか、実務レベルで理解している方は意外と少ないのが現状です。

2024年のIPA（情報処理推進機構）の調査によると、中小企業の約60%が「IT統制の整備が不十分」と回答しています。また、サイバー攻撃の被害額は年間平均で1社あたり約4億円に達するというデータもあり、IT統制の重要性は年々高まっています。

本記事では、IT監査・セキュリティの実務経験を踏まえ、現場担当者が押さえておくべきIT統制の具体例を詳しく解説します。専門用語はできるだけ噛み砕いて説明しますので、IT部門以外の方もぜひ最後までお読みください。

IT統制の基本：まず押さえておくべき概要

IT統制とは何か

IT統制とは、企業がITシステムを適切に管理・運用するための仕組みやルールのことです。もう少し具体的に言えば、「情報システムの信頼性・安全性・効率性を確保するための管理活動全般」を指します。

IT統制は大きく分けて以下の2種類に分類されます。

なぜIT統制が必要なのか

IT統制が必要な理由は、主に以下の3点に集約されます。

1. 財務報告の信頼性確保：会計システムのデータが正確であることを担保
2. 情報セキュリティの維持：機密情報の漏洩や不正アクセスを防止
3. 業務の効率化と標準化：属人化を排除し、継続的な業務遂行を可能に

特に上場企業や上場準備企業では、J-SOX法に基づく内部統制報告書の作成が義務付けられています。IT統制は内部統制の重要な構成要素であり、監査法人による評価対象となります。

IT統制の具体例：現場で実践すべき8つのポイント

ここからは、実際の現場で取り組むべきIT統制の具体例を8つのカテゴリに分けて解説します。

1. アクセス権限管理（ID・パスワード管理）

アクセス権限管理は、IT統制の中でも最も基本的かつ重要な項目です。「誰が」「どのシステムに」「どのような権限で」アクセスできるかを適切に管理します。

実務で押さえるべきポイント

① 最小権限の原則（Principle of Least Privilege）を徹底する

ユーザーには業務に必要な最小限の権限のみを付与します。例えば、営業担当者に経理システムの管理者権限を与える必要はありません。

② 定期的な棚卸しを実施する

退職者のアカウントが残存していないか、権限が適切かを定期的に確認します。推奨頻度は以下の通りです。

• 重要システム（基幹系、財務系）：月次
• 一般システム：四半期ごと
• 全システム一斉棚卸し：年1回

③ パスワードポリシーを設定する

実務で一般的に推奨されるパスワードポリシーの例を示します。

・最小文字数：12文字以上
・複雑性要件：大文字・小文字・数字・記号のうち3種類以上
・有効期限：90日（ただし最新のNIST基準では定期変更は推奨されない場合も）
・履歴管理：過去12世代のパスワードは再利用不可
・ロックアウト：5回連続失敗で30分間ロック

④ 特権IDの管理を厳格化する

システム管理者など高い権限を持つ「特権ID」は、特に厳格な管理が必要です。

• 共有IDの使用禁止（個人IDに一対一で紐づけ）
• 特権ID使用時のログ取得と定期的なレビュー
• 可能であれば特権ID管理ツール（PAM）の導入を検討

実務で使える具体例

ある製造業の事例では、アクセス権限の棚卸しにより以下のような問題が発覚しました。

• 退職者のアカウント：全体の約8%が残存
• 過剰権限：異動後も旧部署の権限が残っていたケースが15%
• 共有ID：5つの基幹システムで計12個の共有IDが使用されていた

この会社では、棚卸し結果を受けて3ヶ月間の改善プロジェクトを実施し、上記の問題をすべて解消しました。

2. 変更管理（チェンジマネジメント）

変更管理とは、ITシステムに対する変更（プログラム修正、設定変更、バージョンアップなど）を適切にコントロールする仕組みです。無秩序な変更はシステム障害や不正の温床となります。

実務で押さえるべきポイント

① 変更申請・承認プロセスを確立する

すべての変更は、以下のフローで管理します。

変更申請 → 影響分析 → 承認 → テスト → 本番適用 → 事後確認

② 職務分離を徹底する

「開発担当者」と「本番環境への適用担当者」は分離すべきです。同一人物が両方を行うと、不正なプログラム変更が容易になります。

中小企業など人員が限られる場合は、せめて「適用前の第三者レビュー」を必須とし、ログを残すことで代替統制とします。

③ 緊急変更のルールを決めておく

システム障害時など緊急対応が必要な場合のルールをあらかじめ定めます。

• 緊急変更の定義と条件
• 事後承認の期限（例：24時間以内）
• 緊急変更の事後レビュー実施

実務で使える具体例

変更管理台帳に記録すべき項目の例を示します。

3. システム開発管理

システム開発管理は、新規システムの開発や大規模な改修プロジェクトを適切に管理するための統制です。

実務で押さえるべきポイント

① 開発標準・規約を整備する

コーディング規約、命名規則、ドキュメント標準などを定め、属人化を防ぎます。

② 環境の分離を行う

開発環境、テスト環境、本番環境を物理的または論理的に分離します。

開発環境 → テスト環境 → ステージング環境 → 本番環境

本番データをテスト環境で使用する場合は、個人情報のマスキング処理が必須です。

③ テストの網羅性を確保する

単体テスト、結合テスト、システムテスト、ユーザー受入テスト（UAT）の各段階でテスト計画書・結果報告書を作成し、エビデンスを残します。

④ ソースコード管理を徹底する

GitやSubversionなどのバージョン管理システムを使用し、変更履歴を追跡可能にします。

4. 運用管理

運用管理は、システムの日常的な稼働を維持するための統制です。バッチ処理の監視、障害対応、バックアップなどが含まれます。

実務で押さえるべきポイント

① ジョブスケジュール管理

定期実行されるバッチ処理（夜間バッチ、月次処理など）のスケジュールを文書化し、実行結果を監視します。

② 障害管理プロセスの確立

障害発生時の対応フロー、エスカレーションルール、報告基準を明確にします。

障害検知 → 初期対応 → 影響範囲特定 → 復旧作業 → 原因分析 → 再発防止策

③ バックアップとリストア

バックアップは取るだけでなく、定期的にリストアテストを実施し、実際に復旧できることを確認します。推奨頻度は年1回以上です。

バックアップの3-2-1ルールを意識しましょう。

• 3：データのコピーを3つ保持
• 2：2種類以上の異なる媒体に保存
• 1：1つは遠隔地（オフサイト）に保管

5. セキュリティ管理

セキュリティ管理は、情報資産を脅威から保護するための統制です。サイバー攻撃の高度化に伴い、その重要性は増す一方です。

実務で押さえるべきポイント

① ウイルス対策

• エンドポイント保護ソフトの全台導入
• パターンファイルの自動更新
• スキャンログの定期確認

② 脆弱性管理

• OSやソフトウェアのセキュリティパッチを計画的に適用
• 脆弱性診断の定期実施（年1回以上推奨）
• 脆弱性情報の収集体制整備（JPCERT/CC、IPAなど）

③ ネットワークセキュリティ

• ファイアウォールによる通信制御
• 不要なポートの閉塞
• ログ監視とアラート設定

④ インシデント対応計画

セキュリティインシデント発生時の対応手順を文書化し、年1回以上の訓練を実施します。

実務で使える具体例

セキュリティインシデント報告書に含めるべき項目の例です。

1. インシデントの概要（いつ、どこで、何が起きたか）
2. 検知の経緯（いつ、誰が、どのように発見したか）
3. 影響範囲（影響を受けたシステム、データ、ユーザー数）
4. 初期対応の内容（封じ込め措置など）
5. 原因分析結果（根本原因の特定）
6. 再発防止策（短期・中長期）
7. 報告先への通知状況（経営層、監督官庁、顧客など）

6. 物理的セキュリティ

ITセキュリティというとネットワーク上の脅威に注目しがちですが、物理的セキュリティも重要なIT統制の一部です。

実務で押さえるべきポイント

① サーバールームの入退室管理

• ICカード、生体認証などによる入室制限
• 入退室ログの記録と保管（最低1年間推奨）
• 定期的な入室権限の棚卸し

② 環境管理

• 適切な空調（温度20〜25℃、湿度40〜60%が目安）
• 無停電電源装置（UPS）の設置
• 火災検知・消火設備

③ 媒体管理

• USBメモリ、外付けHDDなどの利用制限
• 廃棄時のデータ消去（物理破壊または専用ソフトによる消去）

7. 外部委託管理

システム開発や運用保守を外部委託している場合、外部委託先の管理も重要なIT統制です。

実務で押さえるべきポイント

① 委託先の選定基準

• セキュリティ体制（ISMS認証、Pマークの取得状況）
• 財務状況の健全性
• 過去の実績と評判

② 契約書への統制要件の反映

以下の項目を契約書に明記します。

• 情報セキュリティに関する遵守事項
• 再委託の可否と条件
• 監査権（立入検査の権利）
• インシデント発生時の報告義務
• 契約終了時のデータ返却・消去義務

③ 委託先の定期評価

年1回以上、委託先のセキュリティ状況を評価します。

• セルフチェックシートの提出依頼
• 可能であれば実地監査の実施
• SOC2レポート（受託会社の内部統制報告書）の入手・確認

8. ログ管理と監視

ログ管理は、システムの操作履歴やイベントを記録・保管し、必要に応じて調査・分析できるようにする統制です。

実務で押さえるべきポイント

① 取得すべきログの種類

② ログの改ざん防止

ログは別サーバーへの転送や、書き込み専用のストレージへの保存により、改ざんを防止します。

③ 定期的なログレビュー

取得したログは定期的に確認します。すべてを目視で確認するのは現実的ではないため、以下のアプローチを取ります。

• 異常検知ルールの設定とアラート
• 特権ID操作は全件レビュー（または高リスク操作を抽出）
• SIEM（Security Information and Event Management）ツールの活用

よくある質問（FAQ）

Q1. IT統制はどこから手を付ければいいですか？

A1. まずは「アクセス権限管理」から始めることをお勧めします。

アクセス権限管理はIT統制の基盤であり、他の統制の多くがこれに依存しています。また、比較的着手しやすく、効果も実感しやすい領域です。

具体的なステップは以下の通りです。

1. 現状の棚卸し（どのシステムに誰がアクセスできるか）
2. 問題点の洗い出し（退職者ID、過剰権限、共有IDなど）
3. 改善計画の策定と実行
4. 継続的な運用ルールの確立（申請・承認フロー、定期棚卸し）

中小企業の場合、まず「退職者のアカウント削除」と「共有IDの廃止」に取り組むだけでも、大きな改善効果が期待できます。

Q2. 人員が少ない中小企業でも職務分離は必要ですか？

A2. 必要ですが、完全な分離が難しい場合は「代替統制」で補完できます。

中小企業でよくある課題として、「IT担当者が1〜2名しかいない」というケースがあります。この場合、開発と運用を完全に分離することは困難です。

代替統制の例として、以下の方法が考えられます。

• 変更作業前の上長レビュー・承認
• 変更作業のログ取得と事後レビュー
• 重要な変更は必ず2名以上で実施（ダブルチェック）
• 外部の第三者によるコードレビュー（外部委託）

監査においては、「なぜ分離できないのか」「どのような代替統制で補っているか」を説明できることが重要です。

Q3. IT統制の文書化はどこまで必要ですか？

A3. 「誰が見ても同じ運用ができる」レベルの文書化が理想です。

IT統制において文書化は極めて重要です。なぜなら、統制は「ルールを決めて運用している」だけでは不十分で、「ルールが文書化され」「その通りに運用されている」ことが求められるからです。

最低限、以下の文書は整備すべきです。

文書化のポイントは以下の3点です。

1. シンプルに書く：複雑すぎると誰も読まない
2. 最新状態を維持する：年1回以上の見直し
3. アクセスしやすくする：関係者が必要な時に参照できる

まとめ：IT統制成功のための5つの心得

本記事では、IT統制の具体例として8つのカテゴリを解説してきました。最後に、IT統制を現場で成功させるための心得を5つにまとめます。

1. 完璧を求めすぎない

IT統制は一度に完璧を目指すのではなく、段階的に整備していくものです。まずは重要度の高い領域（アクセス管理、変更管理など）から着手し、徐々に範囲を広げていきましょう。

2. 形式より実質を重視する

監査対策のためだけの形式的な統制は、長続きしません。「なぜこの統制が必要なのか」を理解し、実務に役立つ形で運用することが大切です。

3. ツールに頼りすぎない

セキュリティツールや監視ツールは有効ですが、それだけでは統制は成り立ちません。人による判断、レビュー、改善活動が不可欠です。

4. 経営層の理解を得る

IT統制には、システムの導入・維持コスト、人員の工数、運用ルールの遵守など、組織全体の協力が必要です。経営層にリスクとコストを適切に説明し、理解と支援を得ることが成功の鍵です。

5. 継続的に改善する

サイバー攻撃の手法は日々進化し、法規制も変化します。一度整備した統制も、定期的に見直し、改善を続けることが重要です。PDCAサイクルを回し続けましょう。

IT統制は、決して難しいものではありません。「何を守るか」「どう守るか」「誰が責任を持つか」を明確にし、組織全体で取り組むことで、確実に成果を上げることができます。

本記事が、皆様の現場でのIT統制整備・改善の一助となれば幸いです。ご質問やご相談があれば、ぜひコメント欄でお知らせください。