• 「CIO特別フォーラム2007 Winter」リポートトップページへ
• インフォコム株式会社
• サイベース株式会社
• トリップワイヤ・ジャパン株式会社
• LANDesk Software株式会社

内部統制を実現するにあたって、多くの企業はルール作りや文書化といった“予防的コントロール”に注力している。しかし、どんなルールもそれが順守されていなければ意味はない。そうしたなか、トリップワイヤ・ジャパンでは、企業が作ったルールが順守され、有効に機能していることを証明するための仕組みを整えるべく、システムに加えられたあらゆる変更を自動的に検知するツールを提供している。本稿では、トリップワイヤ・ジャパンが提唱する内部統制の考え方と同社が提供するツールの有効性に迫る。

予防対策と事後対策のバランスをとる

現在、多くの企業が通称、日本版SOX法への対応に伴い、内部統制を強化している。そうしたなか、多くの企業が行っているほとんどの対策が、問題発生の防止を目標とした“予防的コントロール”に偏ったものになっていると警告するのが、トリップワイヤ・ジャパンだ。

同社でテクニカルディレクターを務める永谷剛一氏は、「多くの企業でセキュリティ問題がいまだに発生しているのは、侵入されないシステムを目指すあまり、攻撃や改竄をいかに防ぐかといった予防対策にのみ重点を置き、事後対策を軽視するところが多かったからだ。これと同じことを日本版SOX法対策で繰り返してはならない」と厳しく指摘する。

もちろん、業務プロセスの文書化やルールの策定といった予防的コントロールは、内部統制の実現を目指す企業にとっては不可欠であるが、トリップワイヤ・ジャパンではそれと同時に、ルールが順守されていることを証明し、順守されなかった場合にはそれを即時に発見できるような“発見的コントロール”の仕組みを整えることも重要であると提唱しているのである。

「立派な内部統制ルールを作っても、それが順守されていないのではまったく意味がない。内部統制の仕組みとルールが順守され、正常に機能していることを証明するために、ITシステムに対するすべての変更を監視し、致命的な変更が加えられていないことを証明できるようにしておくことが重要なのだ」（永谷氏）

トリップワイヤ・ジャパンでは、このように予防対策と事後対策のバランスをとることが、内部統制を実現するうえできわめて重要であるとの考えに基づき、システムに加えられたあらゆる変更を検知する、変更管理ツール「Tripwire Enterprise 5.5 日本語版（以下、Tripwire Enterprise）」を提供している。

「業務上の不正やミスなどが起こった場合、その事実を即座に認識することができれば、それがシステムや業務にどのような影響を与えるのかを把握することができるようになる」（永谷氏）

システムのあらゆる変更を検知

トリップワイヤ・ジャパンが提供するTripwire Enterpriseは、データのあらゆる変更を検知して、変更内容を記録したり、リポートを作成したりできるツールだ。この製品の仕組みはきわめてシンプルで、システムが正常に稼働しているときのスナップショットを作成しておき、そのスナップショットとの差を変更として検知し、記録する。次に、その変更が予定されたものかどうか、変更結果が計画どおりになっているかどうかを評価するというものだ。

こうした仕組みによって、変更が計画どおりに正しく行われていなかった場合や、管理プロセスを無視した計画外の変更、作業ミス、不正アクセスなどを自動的に検出することができるわけである。他の変更管理ツールを参照して予定された変更を自動的に承認する機能なども搭載されているため、変更評価業務を完全に自動化させることが可能だ。

また、一定期間内の正当な変更の数や、いつ、だれが変更を行ったのか、場所やサービスごとの傾向などを、グラフやダッシュボードで確認することもできる。こうしたリポートを新たな対策の立案に役立てて、監査のサイクルを継続的に回すことで、内部統制のPDCAサイクルを有効に機能させることもできるようになるわけである。

ITインフラの変更を自動的に評価し、その正当性を検討するトリップワイヤの変更管理ツール。セキュリティの侵害からのスピーディな復旧と、内部統制の基盤となるITインフラの有効性の証明を望む企業にとって、Tripwire Enterpriseは有力な選択肢となることだろう。

なお、Tripwire Enterpriseの評価版は、同社のWebページからダウンロードすることができる。■