SI企業のシステム監査部門のシステム監査人です。自社の内部監査において、不正があった可能性があることがわかりました。内部監査人としての立場から、内部不正の技術的対策の実施状況を確認するための監査手続きについて、3点にまとめました。
内部不正の技術的対策の実施状況を確認するために、以下の監査手続きを実施します。
1. アクセス制御の監査
システムへのアクセス制御が適切に実施されているかを確認します。特権アクセスや重要なデータへのアクセスに制限がかかっているか、不正な権限の乱用がないかを確認します。具体的には、アクセス権限の割り当て状況やアクセスログの監査、権限の設定手順のレビューなどを実施します。
2. ログ監査の実施
システムログの監査を通じて、不正行為の兆候や異常なアクティビティを検出するための措置が適切に実施されているかを確認します。ログの収集、保管、分析手法やログの検証手続き、不正行為のパターンの識別などに焦点を当てます。
3. 強固な認証およびパスワード管理の確認
システムへのアクセスにおける認証プロセスやパスワード管理が適切に行われているかを確認します。パスワードポリシーの存在や適用状況、パスワードの複雑性や定期的な変更の実施、多要素認証の利用などに着目します。また、不正行為に関与した可能性のあるアカウントや特権アカウントの調査も重要です。
これらの監査手続きを実施することで、不正行為の技術的対策の実施状況を評価し、不正の発生や再発を防ぐための適切な対策を提案します。
