「IT監査って結局何をするの？」「自分の会社でも必要なの？」

IT部門に配属されたばかりの方や、これから監査業務に携わる方からよく聞かれる質問です。本記事では、IT監査の基本概念から実務で押さえるべきポイントまで、初心者の方にもわかりやすく解説していきます。

IT監査とは：基本概念と背景

IT監査の定義

IT監査（Information Technology Audit） とは、組織の情報システムやIT環境が適切に設計・運用されているかを独立した立場から評価・検証することです。

具体的には、以下の観点から評価を行います。

• 情報セキュリティ：不正アクセスや情報漏洩を防ぐ仕組みが機能しているか
• システムの信頼性：業務システムが正確かつ安定して稼働しているか
• 法令・規制への準拠：個人情報保護法やJ-SOX法などに適合しているか
• IT投資の妥当性：ITリソースが効率的・効果的に活用されているか

なぜ今IT監査が重要なのか

近年、IT監査の重要性が急速に高まっています。その背景には以下の要因があります。

1. サイバー攻撃の増加

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」によると、ランサムウェア攻撃やサプライチェーン攻撃が引き続き上位を占めています。2024年には国内で約1,500件以上のセキュリティインシデントが報告されており、企業の平均被害額は1件あたり約3,000万円に達しています。

2. デジタル化の加速

テレワークの普及、クラウドサービスの活用拡大により、ITシステムへの依存度が飛躍的に高まっています。経済産業省の調査では、2024年時点で国内企業の約75%が何らかのクラウドサービスを利用しています。

3. 法規制の強化

改正個人情報保護法、J-SOX法（内部統制報告制度）、EUのGDPRなど、IT関連の法規制が年々厳格化しています。これらに違反した場合、数億円規模の罰金や社会的信用の失墜につながる可能性があります。

IT監査と内部監査・外部監査の違い

監査には複数の種類があり、混同されがちです。整理しておきましょう。

IT監査は、内部監査の一環として行われることもあれば、外部監査人がシステムの信頼性を評価する際に実施されることもあります。

IT監査の種類と対象範囲

IT監査は対象や目的によって、いくつかの種類に分類されます。

システム監査

業務システムの開発・運用・保守が適切に行われているかを評価します。経済産業省が策定した「システム監査基準」がガイドラインとして広く活用されています。

評価ポイントの例：

• システム開発プロジェクトは計画通り進んでいるか
• 本番環境へのリリース手順は適切か
• 障害発生時の復旧手順は整備されているか

セキュリティ監査

情報セキュリティ対策の有効性を評価します。ISO 27001（ISMS）やNIST Cybersecurity Frameworkなどの国際基準を参照することが一般的です。

評価ポイントの例：

• アクセス権限は適切に管理されているか
• ファイアウォールやウイルス対策は最新の状態か
• 従業員へのセキュリティ教育は実施されているか

コンプライアンス監査

法令や社内規程への準拠状況を評価します。業種によって対象となる規制が異なります。

主な関連法規・基準：

• J-SOX法（金融商品取引法に基づく内部統制報告制度）
• 個人情報保護法
• PCI DSS（クレジットカード業界のセキュリティ基準）
• 医薬品医療機器法（製薬業界）

アプリケーション監査

個別の業務アプリケーションが正確に処理を行っているかを評価します。特に財務に関わるシステムでは重点的に確認されます。

評価ポイントの例：

• 入力データのチェック機能は適切か
• 計算ロジックは仕様通りに実装されているか
• データの改ざん防止機能は有効か

IT監査の具体的な手順【7つのステップ】

IT監査は一般的に以下の7つのステップで進められます。実務担当者の方は、自社の監査プロセスと照らし合わせながら確認してみてください。

ステップ1：監査計画の策定

監査の目的、範囲、スケジュール、必要なリソースを明確にします。

計画策定時に決めるべき項目：

• 監査対象システム・部門の特定
• 監査の観点（セキュリティ、コンプライアンス等）
• 監査期間（通常2週間〜2ヶ月程度）
• 監査チームの編成
• 利用する監査基準（システム監査基準、ISO 27001等）

実務ポイント： 年間監査計画を立てる際は、リスクアセスメントの結果を基に優先順位をつけましょう。高リスク領域は毎年、中リスク領域は2〜3年に1回、低リスク領域は3〜5年に1回といった頻度設定が一般的です。

ステップ2：予備調査の実施

本格的な監査に入る前に、対象システムや業務の概要を把握します。

予備調査で収集する情報：

• 組織図・体制図
• システム構成図・ネットワーク図
• 関連する社内規程・マニュアル
• 過去の監査報告書
• インシデント発生履歴

実務ポイント： 予備調査の段階で被監査部門との良好な関係構築を心がけましょう。監査は「粗探し」ではなく「改善支援」であることを伝え、協力的な雰囲気を作ることが重要です。

ステップ3：リスク評価

システムや業務プロセスにおけるリスクを識別し、評価します。

リスク評価の観点：

リスクは「影響度 × 発生可能性」でスコア化し、高スコアの項目に重点を置いた監査計画を立てます。

実務ポイント： リスク評価にはCOBITやNIST RMF（リスクマネジメントフレームワーク）などのフレームワークを活用すると、網羅性のある評価が可能になります。

ステップ4：監査手続きの実施

実際にテスト・検証作業を行います。監査手続きは大きく3種類に分類されます。

1. 質問（Inquiry）

担当者へのインタビューを通じて、業務プロセスやコントロールの実態を把握します。

【質問例】
「システムへのアクセス権限はどのような基準で付与していますか？」
「権限変更時の承認フローを教えてください」
「退職者のアカウント削除はいつ行われますか？」

2. 閲覧・査閲（Inspection）

文書や記録を確認し、規程通りに運用されているかを検証します。

【確認対象例】
- アクセス権限申請書と承認記録
- システム変更管理台帳
- バックアップ実行ログ
- セキュリティ教育の受講記録

3. 再実施（Re-performance）

監査人自身がコントロールを実行し、有効性を確認します。

【再実施例】
- 退職者IDでのログイン試行（削除されていることを確認）
- サンプル取引の再計算
- バックアップからのリストアテスト

実務ポイント： サンプリングを行う際は、統計的サンプリングの考え方を取り入れましょう。例えば、年間1,000件の権限変更申請がある場合、信頼度95%・許容誤差率5%で約80件のサンプルが必要になります。

ステップ5：発見事項の分析

監査手続きで発見した事項を整理し、重要度を評価します。

発見事項の分類例：

実務ポイント： 発見事項を報告する際は、「現状（事実）」「リスク（影響）」「原因」「改善提案」の4要素を明確に記載しましょう。

ステップ6：監査報告書の作成

監査結果を報告書としてまとめます。経営層向け・実務担当者向けで記載レベルを変えることもあります。

監査報告書の一般的な構成：

1. エグゼクティブサマリー（経営層向け要約）
2. 監査の目的・範囲・期間
3. 監査結果の総合評価
4. 発見事項の詳細
5. 改善勧告
6. 付録（エビデンス、詳細データ等）

実務ポイント： 報告書は「指摘」だけでなく「良好な点」も記載しましょう。バランスのとれた報告は、被監査部門のモチベーション維持につながります。

ステップ7：フォローアップ

改善勧告が確実に実施されているかを追跡確認します。

フォローアップの進め方：

1. 改善計画書の提出を依頼（期限、責任者、具体的対応を明記）
2. 定期的な進捗確認（月次など）
3. 改善完了後の有効性確認
4. 次回監査での再評価

実務ポイント： 改善が進まない場合は、リソース不足や優先度の認識違いが原因であることが多いです。経営層を巻き込んで推進力を高めることも重要です。

IT監査で押さえるべき8つの重要領域

実務でIT監査を行う際に、特に注目すべき領域を解説します。

1. アクセス管理

チェックポイント：

• 最小権限の原則が徹底されているか
• 定期的な棚卸し（四半期に1回程度）が実施されているか
• 特権アカウント（管理者権限）は限定的に付与されているか
• 退職・異動時のアカウント管理プロセスは適切か

よくある指摘事例： 「退職から3ヶ月経過したアカウントが20件残存していた」

2. 変更管理

チェックポイント：

• 本番環境への変更は事前承認されているか
• テスト環境と本番環境は分離されているか
• 緊急変更の事後承認プロセスはあるか
• 変更履歴は適切に記録されているか

よくある指摘事例： 「承認記録なしで本番環境への変更が23件実施されていた」

3. バックアップと復旧

チェックポイント：

• バックアップは定期的に取得されているか
• バックアップの保管場所は適切か（オフサイト保管等）
• 復旧テストは定期的に実施されているか
• RTO（目標復旧時間）・RPO（目標復旧時点）は定義されているか

よくある指摘事例： 「バックアップからのリストアテストが3年間未実施だった」

4. インシデント管理

チェックポイント：

• インシデント報告ルートは明確か
• 対応手順書は整備されているか
• インシデント記録は適切に残されているか
• 再発防止策は講じられているか

よくある指摘事例： 「軽微なセキュリティインシデントの報告基準が曖昧で、報告漏れが発生していた」

5. 物理セキュリティ

チェックポイント：

• サーバールームへの入退室は制限・記録されているか
• 監視カメラは適切に設置されているか
• 機器の盗難・紛失対策は講じられているか
• 環境設備（空調、電源）は適切に管理されているか

よくある指摘事例： 「サーバールームの入退室記録と実際の入室者に不一致があった」

6. ベンダー管理

チェックポイント：

• 委託先のセキュリティ評価は実施されているか
• SLA（サービスレベル契約）は適切に定義されているか
• 委託先のSOC報告書（SOC 2等）は入手・確認されているか
• 契約終了時のデータ取り扱いは明確か

よくある指摘事例： 「クラウドサービス事業者のセキュリティ評価が契約当初から更新されていなかった」

7. 脆弱性管理

チェックポイント：

• 定期的な脆弱性スキャンは実施されているか
• 発見された脆弱性への対応期限は設定されているか
• セキュリティパッチの適用状況は把握されているか
• ゼロデイ脆弱性への対応プロセスはあるか

よくある指摘事例： 「CVSS 9.0以上の重大な脆弱性が6ヶ月以上未対応だった」

8. ログ管理

チェックポイント：

• 必要なログは取得されているか
• ログの保存期間は適切か（法令要件を考慮）
• ログの改ざん防止策は講じられているか
• ログの定期的なレビューは実施されているか

よくある指摘事例： 「認証失敗ログが7日間で上書きされており、インシデント調査に支障をきたした」

IT監査に役立つフレームワークと基準

IT監査を効果的に実施するために、以下のフレームワークや基準を活用しましょう。

COBIT（Control Objectives for Information and Related Technology）

ISACAが策定したITガバナンスとマネジメントのフレームワークです。最新版のCOBIT 2019では、40のガバナンスとマネジメントの目標が定義されています。

特徴： ビジネス目標とIT目標の整合性を重視し、経営層への報告に適しています。

ISO/IEC 27001

情報セキュリティマネジメントシステム（ISMS）の国際規格です。114の管理策が定義されており、セキュリティ監査の基準として広く活用されています。

特徴： 認証取得が可能で、対外的な信頼性証明にもなります。

NIST Cybersecurity Framework（CSF）

米国国立標準技術研究所（NIST）が策定したサイバーセキュリティフレームワークです。「特定」「防御」「検知」「対応」「復旧」の5つの機能で構成されています。

特徴： 柔軟性が高く、組織の成熟度に応じた段階的な適用が可能です。

システム監査基準（経済産業省）

日本国内のシステム監査における基本的な指針です。最新版は2018年に改訂されています。

特徴： 日本の法制度や商慣習に適合した内容となっています。

よくある質問（FAQ）

Q1. IT監査とセキュリティ診断（ペネトレーションテスト）の違いは？

A. IT監査は、規程・プロセス・統制の有効性を評価する「マネジメント視点」のアプローチです。一方、セキュリティ診断（ペネトレーションテスト）は、実際に攻撃を模擬してシステムの脆弱性を発見する「技術視点」のアプローチです。

両者は補完関係にあり、どちらか一方だけでは十分なセキュリティ評価とは言えません。例えば、IT監査で「脆弱性管理プロセスは存在する」と評価されても、ペネトレーションテストで「実際には重大な脆弱性が残っている」と判明することもあります。

実務ポイント： 年1回のIT監査に加えて、四半期ごとの脆弱性スキャン、年1回のペネトレーションテストを組み合わせることをお勧めします。

Q2. IT監査の資格にはどのようなものがありますか？

A. 代表的な資格には以下があります。

実務ポイント： キャリアの初期段階では、まずシステム監査技術者の取得を目指し、その後CISAに挑戦するステップが王道です。CISAは5年以上の実務経験が必要なため、計画的に準備しましょう。

Q3. 小規模企業でもIT監査は必要ですか？

A. 結論から言えば、企業規模に関わらずIT監査は必要です。ただし、実施方法は企業規模に応じて調整すべきです。

小規模企業向けのアプローチ：

1. 自己点検（セルフアセスメント）の活用

   • IPAの「中小企業の情報セキュリティ対策ガイドライン」に基づくチェックリストを活用
   • 年1回の自己点検を習慣化

2. 外部リソースの活用

   • 税理士・社労士事務所と連携する内部統制支援サービスの利用
   • 業界団体が提供する簡易監査サービスの活用

3. 重点領域の絞り込み

   • 顧客情報・決済情報を扱うシステムに集中
   • リモートアクセス環境のセキュリティを優先

実務ポイント： 「Security Action」（IPAの自己宣言制度）への参加から始めることをお勧めします。一つ星から始めて、段階的に取り組みを強化していくアプローチが効果的です。

IT監査の成功に向けた実務ポイント

最後に、IT監査を成功させるための実践的なポイントをまとめます。

1. 経営層のコミットメントを得る

IT監査の結果を改善につなげるためには、経営層の理解と支援が不可欠です。監査計画の段階から経営層に報告し、監査の目的と期待される効果を共有しましょう。

2. 被監査部門との信頼関係を構築する

監査は「敵対」ではなく「協力」の関係で行うべきです。事前のコミュニケーションを丁寧に行い、改善提案として受け入れられるような報告を心がけましょう。

3. 継続的な改善サイクルを回す

IT監査は一度実施して終わりではありません。PDCAサイクルを回し、毎年の監査結果を比較することで、組織のセキュリティ成熟度の向上を可視化しましょう。

4. 最新の脅威動向をキャッチアップする

サイバー攻撃の手法は日々進化しています。IPA、JPCERT/CC、各種セキュリティベンダーの情報を定期的にチェックし、監査の観点に反映させましょう。

5. 自動化ツールを活用する

大量のログ分析やアクセス権限の棚卸しなど、手作業では非効率な作業は自動化ツールの活用を検討しましょう。監査の品質向上と効率化の両立が可能になります。

まとめ

IT監査は、組織のITシステムが適切に管理・運用されているかを評価する重要なプロセスです。

本記事のポイントを振り返ります：

• IT監査は「セキュリティ」「信頼性」「コンプライアンス」「効率性」の観点から評価を行う
• 監査プロセスは「計画→予備調査→リスク評価→手続き実施→分析→報告→フォローアップ」の7ステップ
• アクセス管理、変更管理、バックアップなど8つの重要領域を押さえる
• COBIT、ISO 27001、NIST CSFなどのフレームワークを活用する
• 企業規模に関わらず、適切な方法でIT監査に取り組むことが重要

IT監査は決して「形式的な作業」ではありません。適切に実施することで、セキュリティリスクの早期発見、業務効率の改善、コンプライアンス違反の予防につながります。

本記事が、IT監査に携わる皆様の実務の参考になれば幸いです。

関連キーワード： IT監査、システム監査、情報セキュリティ監査、CISA、内部統制、J-SOX、アクセス管理、変更管理、COBIT、ISO27001