ソフトウェア・コンプライアンス
今回は、ソフトウェア・コンプライアンスについて書いてみます。
ソフトウェア・コンプライアンスとは、ソフトウェア・ライセンスを遵守することであり、また、それを守ることにより、法的刑罰または財務上の損失を防ぎ、さらには情報システムを守る（ライセンス切れ等の撲滅）ことができます。
一般には、ライセンスの遵守はよく知られていることですが、組織内の情報システムユーザーは多数いるため、いつどこでソフトウェアが不正にインストールされているか、検出が難しいものです。
実際に内部統制では、その部分をできる限り明らかにして、組織活動の透明性を図る必要があります。
内部統制上、ソフトウェア・コンプライアンスを確保する際に要求されていることは、下記のようなものです。
使用中の、すべてのソフトウェアに有効な（支払済みの）ライセンスがあり、それに従い使用されていることを確認するための手順が存在すること。
保有しているライセンスに照らし合わせて、ソフトウェアの使用を定期的に確認し、使用中のソフトウェアが法律、規制、契約上の義務を遵守していることを証明するための手順が存在すること。
上記の2点に尽きます。
しかしながら、実際問題、これらのことを行うことは非常に労力がかかり、自動ソフトウェア監査ツールを使用したり、ソフトウェアライセンス購入記録を一元的に把握したりしないと、これは困難です
けんぢは、その部分を補完するため、自動監視ツールを導入しました。
いろいろなツールが市販されていますが、当該ライセンス・コンプライアンスの問題だけでなく、ITILに即したサービスデスク運営も行っているため、その部分も包括したアプリケーションを導入し、運用しています。
ManageEngine ServiceDesk Plus がそうです。
ドメインスキャンや、その他のライセンス管理（購買数、インストール台数管理等）、結構簡単に行なえます
評価版もあるため、興味のある方は是非お試しください。
次回は、IT機器の費用管理について書いてみたいと思います。
安全な情報システム基盤
情報システムの内部統制に関する説明ですが、今回は、安全な情報システム基盤について書いてみます。
読んでいただければわかりますが、かなり堅苦しいことがたくさん書いてあります。
これらをすべて備えているものが、一般的に強固な情報システム基盤、ということになります。
しかしながら、これらのことをゼロから備えていく場合、それを一気に行う必要もありません。
また、一気に備えた場合（かなりの財力と人員を有している、という羨ましい状態ですが）でも、統制上問題なし、という訳ではありません。
その理由が、内部統制の要求事項の中に、『継続的なモニタリング』があるからです。
一気に備えても、それまでのログ等の蓄積がないわけですから、まず蓄積する部分から始めましょう。
実際には、数多くの要求事項を優先順位付け（それは各組織内で当然違うでしょう）し、その緊急度と、リスク発生の頻度、さらにはそのリスクが顕在化した際の影響を加味し、適宜備えていくものです。
そのようなわけで、比較的気楽に目を通していただけましたら幸いです。
安全な情報システム基盤とは、情報セキュリティの基盤でもあり、それを実現する唯一の方法は、情報セキュリティの適切な検討を実施、伝達、処理した上で、設計、構成、管理、さらには配置を行うことです。
さらに運用中は、重要な運用指標を絶えず監視し、問題や問題を示す可能性のある、異常な活動や現象に迅速に対応することでのみ、安全な基盤を確保できます。
以下に記す部分に何らかの手を施すことにより、複数階層で構成される保護システムは構築されます。
各組織は、固有の情報システムおよびそのセキュリティ基盤のリスクを評価し、必要な部分のさらなる詳細分析や、セキュリティ対策の追加または代替対策を決定する必要があります。
1 脆弱性の評価
a. 重要なアプリケーションを支援するシステム基盤では、その脆弱性を評価する必要があります。通常の運用では、異常な活動や現象に速やかに対応する機能を備えた何らかの検知ツールや、セキュリティ・ログの監視などを行い、評価する必要があります。また、ネットワークの内部および外部からの侵入テスト（これは外部の専門業者が行うことが望ましい）を、年に一度実施することが、より好ましいとされています。
2 マルウェア（ウィルス、ワームなど）からの保護
a. 情報システム基盤は、以下の条件を満たし、その驚異から保護されていることが好ましいとされています。
i. ネットワークに接続されている、または定期的に接続される全コンピュータを自動的に更新するシステムによって、マルウェアから保護する。つまり、ユーザーやローカルシステム管理者は保護を無効にできない。
ii. 保護システム、または選択されたシステムで必要とされる、最新のパッチ、ソフトウェア、データファイルを速やかにプッシュ配信する。
iii. 社内システムで識別された脆弱性の悪用を防止するため、適切なセキュリティパッチの識別、優先順位の設定、テスト、実装を速やかに行う。
iv. 脆弱性のあるコンピュータを体系的にレビューし、不正なコンピュータを識別する。
v. 各組織は、安全なPCのハードウェアおよびソフトウェアの標準を規定し、組織全体にその標準を適用する。それにより更新漏れが起こる可能性を下げ、セキュリティ侵害のリスクを軽減できる。
3 安全な保管
a. 重要なシステム、バックアップメディア、システム構成情報、およびソフトウェアライブラリは、許可された人員しか許可されないような、安全な方法で行わなければなりません。そのような人員の管理と許可をコントロールする必要があります。
b. 上記を行う区域では、電気や空調が停止した場合にも、データやシステムが破損することのないよう配慮しなければならなりません。
4 専用広域ネットワーク（WAN）
a. ローカルの専用ネットワークと、他のネットワークの間の相互接続は、ファイアウォールによって保護し、開いているポートの数は最小限に留めなければなりません。これは、すべてのインターネット接続に適用されます。
5 ローカルネットワーク（LAN）
a. インターネットからアクセス可能なすべてのサーバは、ファイアウォールによって、ローカルネットワークから分離された専用セグメントやインフラストラクチャとして配置されなければなりません。
b. ネットワークに接続するのは、許可されたコンピュータのみとしなければなりません。それらのコンピュータはウィルス対策、および最新のソフトウェア・セキュリティパッチによって保護され、無許可のソフトウェアがインストールされていてはなりません。
6 無線接続
a. 無線接続の使用については、組織および情報システム責任者から許可を受け、認証には適切な暗号化手法を使用しなければなりません。多くのノートパソコンには、無線インタフェースカードが搭載されており、それが有効であることをユーザーが知らずに、セキュリティリスクが発生する可能性があります。これらの理由から、情報システム部門は、安全でない無線接続を見つけ出して無効にするため、特に尽力する必要があります。
7 モバイルコンピュータ（ノートパソコン、PDA、スマートフォンなど）によるリモートアクセス
a. 組織の専用ネットワークに接続するモバイルコンピュータは、直接接続する場合と同じ標準を満たしていなければなりません。これにはウィルス対策や、パッチの更新を常に最新の状態にしておくための特別な取り組みが必要です。
b. インターネットに直接接続する組織のモバイルコンピュータに、ソフトウェアファイアウォールをインストールすることは適切であり、感染リスクを軽減できます。モバイルコンピュータが、組織内ネットワークから切り離されていた時間が長いほど、最新のセキュリティ更新が適用されていないため、そのリスクも高まります。そのため、組織内ネットワークに長期間接続していないコンピュータを感染から適切に保護し、またモバイルコンピュータを再接続する場合に、組織内ネットワークの適切な保護を確実に行うため、特別な注意が必要です。
c. インターネット経由で組織内ネットワークに接続するモバイルコンピュータでは、VPNなどの暗号化接続を使用しなければなりません。電話回線を使用してRASに接続する場合は、強力な暗号化を施してユーザー認証を行う必要があります。
d. モバイルコンピュータによる、インターネットへの公共無線アクセスの利用については、常に強力な暗号化を使用するとともに、デバイスでユーザー認証を行い、安全な方法でのみ可能なようにすることを確認することで制御しなければなりません。そのためには、保護されていない無線アクセスに潜む危険性と、組織内ポリシーを遵守することの重要性について、各デバイスのユーザーを教育する必要があります。モバイルデバイスの安全性確保は困難ですが、教育を受けた責任のあるユーザーが十分な暗号化と認証技術を利用すれば可能です。情報システム部門は、無線接続の使用を許可し、必要な場合は、これが安全に行われている事を確認するため、専門家の助言を求めなければなりません。
e. Webベースの電子メール・アクセス・サービスをユーザーに提供する場合、そのサービスではログイン認証に（例えば、SSLによる）暗号化を使用する必要があります（添付ファイルを含むすべてのデータの伝送にも使用することが望ましい）。
8 インターネットアクセス
a. 不適切なコンテンツへのアクセスの防止、帯域幅消費の制御、また不適切なファイルの取得防止のため、インターネットへのアクセスを制御しなければなりません。多くの場合、これには何らかのフィルタリング・ソフトウェアとプロキシ・サーバが必要です。
b. 専用ネットワークにコンピュータを接続したまま、モデムや無線カードを使用して、そのコンピュータをインターネットに接続することは、いかなる場合も禁じなければなりません。
9 監査システム情報
a. 不正アクセスを確実に拒否するため、ファイアウォール、ルータ、スイッチ、ネットワーク・オペレーティング・システムなどのシステム基盤の監査を定期的に実施する必要があります。これは適切に構成されたセキュリティ・ログの日常的な監視によって可能です。適切なソフトウェアを使用して、大量のログ・データを概括し、不審な活動や現象が発生した場合にはアラートを送信することは、適切な方法です。この監視タスクのサポートのために、侵入監視ツールをインストールすることも有益です。
b. 異常な記録を識別して是正措置をとるため、セキュリティ・ログのほか、重要なアプリケーションやインターネット接続、およびサイトのアクセスログも定期的に分析しなければなりません。
以上、堅苦しいこと、この上ないでしょう・・・
次回は比較的身近な、ソフトウェア・コンプライアンスについて書いてみます。
【具体例】情報システム利用規定
今回は若干長くなりますが、情報システム利用規定の具体例について記しておきます。
最後までお付き合いくださいませ
下記に情報システム利用規定の具体例を記しておきます。
利用規定に記載する項目（目次項目）としては、下記にようなものが代表的です。
1. 目的および基本方針
2. 責任および権限に関して
3. ハードウェアに関して
4. ソフトウェアに関して
5. セキュリティに関して
6. データのバックアップに関して
7. 電子メールの使用に関して
上記でお判りになるかと思いますが、電子メールに関して、別途抜粋して特筆しています。
現在は情報システムだけでなく、生活におけるコミュニケーションの手段として、携帯電話網も含め、電子メールは浸透しています。
そのため、適切に使用されないと、情報の漏洩や、誤送信等による混乱、その他、負の影響を受ける場合が多いため、あえて特筆しております。
では、下記に具体例として、例文を記しておきます。
実際には、各組織により、注力する部分や、加筆修正を施す場合がほとんどでしょう。
そのため、あくまで参考としてお取り扱い下さい。
【情報システム利用規定例】
1. 目的および基本方針
本利用規定は、組織における情報システムの使用に適用するものとし、ネットワークおよび情報システムを展開する際にとるべき責任と、その手続きおよび手順について規定するものとする。この利用規定は、ネットワークおよび情報システムのセキュリティ環境を、満足できるレベルに構築する際の、支援および指針となることを目的としている。
また、組織の情報システムネットワークおよびアプリケーションを、以下の項目から守るために、有効な手段や手続き、および手順をとることを基本方針とする。
未認可および不適切な使用
組織に関する情報開示・破棄
ネットワーク・サービスへの妨害行為
2. 責任および権限
2.1. 組織の代表者
組織の代表者は、組織のネットワークシステムに、適切な情報システムインフラを、確実に提供する責任を負う。
2.2. 部門の責任者
部門責任者は、自分の統括する、部門スタッフに、情報システム・セキュリティおよびソフトウェア著作権に関する方針を確実に全うさせる責任を負う。
2.3. 情報システム部門の責任者および情報システム担当者
情報システム部門責任者および情報システム担当者は、以下のことを行うことを責任を負う。
自己の関連分野での、適切な情報システム方針の運用を監視する。
ネットワークのバックボーンを構築し、自組織と内外の事業パートナー間での、電子通信を促進する。
基幹ネットワークの性能向上に適した、技術を調べ、特定、導入する。
データおよび情報を保護するため、情報システム・セキュリティ、およびそのソフトウェアを導入する。
データおよび情報を保護するため、適切なバックアップ、およびリカバリー手順を実施する。
許認可を受けた会社のソフトウェアおよびハードウェア・ライセンスの管理に責任を持ち、許認可を受けたハードウェアおよびソフトウェアの登録を維持する。
2.4. ユーザー（情報システム利用者）
ユーザーは、以下のように、自己に与えられたPC、およびその周辺環境を管理する義務を負う。
PCハードウェア本体
パスワード（ネットワーク、メール、およびその他のビジネス・アプリケーション）
ライセンスを受けたソフトウェア
ライセンスを受けていない、組織内で未認可のソフトウェアをインストールしない
ファイルサーバー以外に保管しているデータのバックアップ
スクリーンセーバーの使用
コンピューター・ウィルスからの保護
電子メールの適切な使用
情報システム担当者からの、その他の要求事項に対する協力
3. ハードウェア
情報システム担当者は以下のことを行う。
以下に記す、ユーザーのハードウェア仕様を管理・記録する。
a. CPU速度
b. ハードディスク容量
c. CD/DVDリーダー/ライターの仕様
d. メモリー容量
e. モニターのサイズと種類（LCD、CRT等）
f. その他のハードウェア情報
情報システム環境に従って、ユーザーに貸与した、ハードウェアのアップグレード計画をたてる。
記憶容量、ソフトウェア、およびネットワーク通信仕様と速度など、すべてのPC が、十分な能力と、情報システムへの接続を確保できるような仕様（デスクトップ、ラップトップ、PDAやスマートフォンに関して）を規定する。
ユーザーからのサービス要求事項、および情報システム関連物品の購入を評価・確認する。
ユーザーは以下のことを行う。
自己に貸与されたPC を管理し、未承認および未認可のハードウェア等を接続してはいけない。
私物のハードウェア機器を組織 内で使用する場合は、情報システム担当者に、私物ハードウェア機器（例：USB メモリー、外付けハードディスク等）の利用について相談する。
4. ソフトウェア
情報システム担当者は、全てのユーザーに、ライセンス許諾を受けたソフトウェアのみを提供する。
ユーザーは、例えシェアウェアであっても、ライセンス許諾、およびIT スペシャリストによる承認を受けていないソフトウェアを使用してはならない。
購買責任者、情報システム担当者の要求事項に従って、ソフトウェア・ガイドラインの手順を踏んで購入を行う。
5. セキュリティ
5.1. ファイアウォール
ネットワークには、ファイアウォールをインストールする。ファイアウォールがサーバーで利用できる場合は、ユーザー個々のPC にファイアウォール・プログラムの導入、およびその設定は必要ない。
5.2. コンピューター・ウィルスからの保護
サーバーには、ウィルス除去ソフトウェアをインストールする。サーバーにウィルス除去プログラムがインストールされていたとしても、ユーザー個々のPC には、それぞれウィルス除去プログラムをインストールする。
ウィルス除去プログラムは、最低でも週に1 回、または危険なソフトウェア・ウィルスの流行等の理由により、特別な新規リリースがあった場合には、できるだけ早く更新される。
5.3. 悪意のあるソフトウェアからの保護
ユーザーおよび情報システム担当者は、予防的管理、または日常業務として、コンピューターと、接続されているメディアをスキャンする、ウィルス検知および修復アプリケーションを、定期的に更新（自動更新も含む）する。
ユーザーは、信頼できない供給元から受け取ったいかなるファイルも、使用前にウィルスをチェック（自動チェックを含む）する。
ユーザーは、Microsoft Word/Excel 等のマクロ付きファイルや、以下の拡張子付きファイル（例：.exe, .bat, .pifなど）といった、信頼できない供給元から受け取った実行可能ないかなるファイルも開いてはならない。
ユーザーは、組織 のPCおよびサーバー上に、未承認のスクリーンセーバーを読み込ませてはいけない。
情報システム担当者は、ユーザーによるウィルス検知管理について、その理解と手順を明確にし、支援を行う。
5.4. パスワード
ユーザーは以下のことを行う。
パスワードの秘密を守る。
パスワードを記録した紙等を、保管しない。
疑わしい症状が示された場合は、パスワードを変更する。
電子メールのパスワードなど、そのシステム制限により、システムが強制的に変更することのないパスワードがある場合は、特に意識して定期的に変更する。
最低6文字で、電話番号、氏名、誕生日など、簡単に推測できるものは避け、パスワードを選ぶ。
パスワードを、ファンクションキーなどの、いかなる自動実行プロセスに含めない。
個人のパスワードを絶対に共有しない。
5.5. PCのアクセス管理
ユーザーは以下をこと行う。
使用されるすべてのPCは必ず、未使用時には電源が落とされているか、スクリーンロックされているか、ログオフされているようにする。
PC、プリンタ、モデムなどの、使用されるすべてのコンピューター機器類は必ず、就業時間後には、電源が落とされており、火気のないところにあるようにする。サーバー等、常時稼動しなければならない装置類は、この限りではない。
5.6. 機密情報の廃棄
ユーザーは以下のことを行う。
顧客の請求書、クレジット限度額などを例として、機密情報が載った、コンピューターによる印刷物や古い印刷物、レポート等は、組織の方針に従って安全に保管、または廃棄されなければならない。
5.7. インターネット上のファイルへのアクセスおよびダウンロード
インターネット用上の、ファイルやソフトウェアを、ダウンロードする時には、以下の理由から細心の注意を払わなければならない
ダウンロードするファイルには、組織のPCや、ネットワークに影響を及ぼすような、ウィルスを持っていることがある。
ダウンロードしたソフトウェア等は、法的措置を受けるようなライセンシング（使用料金の支払い）を要求してくる恐れがある。
大容量のファイルのダウンロードは、コンピューターネットワークに負荷をかけすぎることとなり、システム障害の危険や機会を増やすこととなる。
また、ウェブ・ブラウザは安全な方法で使用すること。
インターネット上にある特定のホームページへのアクセスは、事前に、スタッフ監督者または経営陣により承認を受けること。
6. データのバックアップ
ユーザーは、自分の業務上のデータ（書類、シート、メール、プレゼンテーション等）を、バックアップ手順に従って保存するものとする。CD、DVD、フロッピーディスクなどの保存メディアを使用することができる。
バックアップサーバーが利用できる場合、バックアップはサーバーに対して行う。しかし、特に重要なデータはCD、DVDなど、その他の記録メディアに、定期的に保管するものとする（メディアの適切な保管管理のもと）。
情報システム担当者は、サーバー内ファイルの、バックアップに対して責任を負う。ユーザーは個人/共通のフォルダー（例：サーバーに接続された「マイドキュメント」など）に、自分の重要なデータを保管する。
7. 電子メール
7.1. 電子メールの利用
全てのユーザーは、後述の 『電子メール利用方針』に述べられている、電子メールの利用方針について理解していること。
定期的に、または疑わしい症状が示された場合には、電子メールパスワードを変更する。
電子メールを通して、機密・極秘データを送信するときは、多大な注意を払わなければならない。そのためには、例えば書類をパスワード付きで保存するなど、可能限りの複数の認証を行うことを推奨する。
社内メールは、組織の業務目的用に使用されるべきである。組織のネットワークシステムを通した、個人間の私的な電子メールは、組織から、業務上の必要性に応じ送信されてきたものと誤解され、情報セキュリティ問題が発生する可能性がある。
情報システムのセキュリティ方針に従い、「悪意のあるソフトウェアまたはファイル」を、組織の電子メールシステムを経由、使用して送受信してはならない。
添付ファイルがある受信メールは、慎重に扱わなければならない。疑わしい場合は、アンチウィルスソフトウェアを使用してまずスキャンすること。
定期的に電子メールボックスを整理し、メールの破損、容量過多を防ぐ。
-------------------------------------------------------------
補足資料『電子メール利用方針』
A. はじめに
本書は、電子メールシステムを、組織の事業部門内で利用する際のガイドライン、ルール、および推奨事項を定めるものである。
本書は組織ネットワークに接続される、内部電子メールシステムのすべてに適用される。
B. 配布
本方針は、電子メールシステムへの接続が許される、すべてのスタッフ、および請負業者に対し提供されるものとする。情報システム責任者は、電子メールシステムを利用する人全員が、本方針を入手でき理解することができるよう責任を負う。
所有権について
組織 は、すべての業務関連電子メールシステムを所有し、その中には、それを通して送受信された情報も含む。電子メールサービスは、業務目的に提供されており、その中でのメッセージ等は、業務内容のみに限定すべきである。
それぞれの組織は、組織の業務システムへの接続についての資源調達、および支援に責任を負い、その業務システムのための手順やガイドラインに従わなければならない。
C. 従業員の権利および責任
全従業員は、自らの電子メールの使用について責任を負い、自分の名前で出された、すべてのメッセージについて責任を課されることとなる。
D. 利用ガイドライン
メールは、定期的、または最低1 日に2 回は確認すべきである。メッセージを無視したり、返信せずにメッセージを削除（スパムメールやメールマガジン等を除く）することは、送信者に対し失礼であり、相手を困惑させる恐れがある。
ユーザーは、保管しておきたい電子メールメッセージについて、ユーザーのメールボックスフォルダー内等に整理する仕組みを管理・作成しておくべきである。
ユーザーのメールボックスは、定期的に清掃すること。受信トレイ、送信済みアイテム、削除済みアイテム、およびその他のフォルダから、古いメッセージを取り除くことは、メール環境の効果的な運用に大いに役立つこととなる。
ユーザーは、その電子メールメッセージのデザインをする際に、プロフェッショナルなスタイルに達するよう努力すべきである。プロフェッショナルな印象を、電子メール受信者（特に外部受信者）に対し提示すべきである。色とりどりのメッセージテンプレート、および画像や、クリップアートで飾られた署名の使用は避けるべきである。このような強調を用いると、電子メールメッセージのサイズが極めて大きくなり、ネットワーク性能に影響を与える。
E. 電子メールの不正使用
システムが不正に使用されていると判断された場合、電子メールを利用する権利（またはその構成要素）は取り上げられる。
中傷、誹謗、悪口、差別的、わいせつ、または悪趣味なメッセージを送ってはならない。
大きい添付ファイルを送信してはならない。これはサーバーおよびネットワークを圧迫し、性能を低下させる恐れがある。
他のユーザーがアクセスできるようなファイルを作る望ましい方法は、そのファイルを共有フォルダまたはディレクトリ内に置き、他の人たちに、ショートカット（リンクを含む）から利用できることを知らせることである。もう一つの方法はファイルを送信前に圧縮ユティリティ等で圧縮することである。
著作権法には従うこと。著作権法を侵害している可能性があるソフトウェア、ゲーム、その他の素材を配布してはならない。組織 は、全従業員に対し、著作権法を守らせる法的責任があり、違反者は告発されることになる。
ネットワークへの圧迫をもたらすことを承知の上での使用、または知らず知らずのうちに、他人の作業の妨げになるような電子メールの使用、作成、送信は不正使用とみなされる。
F. 電子メールのエチケット
礼儀正しく
簡潔さを良しとする一方で、決して礼儀を無視してはならない。
ユーザーに対しては丁寧な物言いをし、感謝を述べること。
メッセージ内での大文字は、「大声を上げている」という印象を与える。多くの人々が、電子メール内の大文字羅列の使用を、大声を上げていたり、怒りや無礼さを示すものと解釈している。大声をあげるようなやり方は、特別な場合にとっておくと最も効果的である。
送信前の見直し
送信前に、メッセージを読み返すことは、スペルや文法上の間違いを明らかにするだけでなく、送信者が、自らを受信者に置き換えることで、そのメッセージが分別のあるもので、正しく受け取られ、理解されるかどうかが良く分かる。不確かなときは、相手に好意的に解釈することが良い経験則である。送信者が相手を良く知らず、お互いに離れている場合は特にそうである。受信者が、メッセージの内容や意図を誤解して、送信者を不快にするような、メッセージへの返信例がこれまでにある。
他人のメッセージを転送する前に考える
電子メール内で、送信者が他人をどう言っているかについて、プロフェッショナルらしく、注意を払うこと。
ユーザー自身のメッセージの場合、送信者はそのメッセージの中で、その内容のすべて、または一部を広めないで欲しい、と明確に述べるべきである。
他の人からメッセージを受け取った場合、それを転送する前に、最初の差出人が、何らかの損害、または気まずい思いをする可能性がないか、まず考えること。他の人に送信する前に、メッセージの微妙な部分を取り除くことが必要な場合もある。
受信者は、受信したメッセージを、オリジナルに変更を加えたことを示すことなく、編集、再送信してはならない。
電子メールは極秘のものではないことに注意すること。また、完全に私的なものでも、完全に安全なものでもない。メッセージの受信者は、その内容を管理し、好きなように使用することができる。
メッセージを過剰配布しない
受信者リスト、およびカーボンコピー（CC）先を最低限にとどめること。あまり役に立たないメッセージや、ほとんどの受信者にとっては何の興味もわかないメッセージ（一般的にジャンクメールと呼ばれる）を広くばら撒くのは非常に簡単なことである。
配信通知および開封通知
メッセージが重要なものの場合、送信者はそのメッセージが受信され、読まれたことを確認する必要がある。
このような場合は、必ず送信者が、配信通知および開封通知を要求するようにする。これにより、受信者に送信されたメッセージが、受信者のメールボックスに配信された時、および受信者がユーザーのメッセージを開封して呼んだ時に、自動的に送信元へ通知されることになる。これは非交換型メールシステムには適用できないことがあるので注意してください。
永続的な公的記録として電子メールを扱う
送信者が書いたものは、送信者にとっての、または受信者に対する証拠として使用することができる。
送信者は、送信ボタンをクリックする前に、このことを心に留めておくこと。例え送信者がコピーを取るほど重要な問題ではないと考えたとしても、受信者はそうではないかもしれない。
送信者が送信するいかなるメッセージも、永続的なものであり、修正され、かつ/または送信者の認識や同意なく、世界中に転送される恐れがあると考えること。
G. 監視および管理
情報システム担当者は、折に触れ組織内のシステムとゲートウェイを監視する。
問題の発見、修正、およびシステムの現行サポートに関連したコストの再配分を支援するために、メッセージのログを取ったり分析したりすることがある。
メッセージは時々監査を行うことが可能であり、そのように計画すること。
H. セキュリティ
電子メール使用の認証は、その基礎となるOS の認証スキームに依存する。従って、すべての電子メールアカウントは、正しく構成された認証システムのユーザーIDおよびパスワードと関連付けられているべきである。
これらのユーザーID とパスワードの共有は、いかなる条件下においても許されない。
省略値では、内部ネットワークを流通する電子メールは暗号化されていない。重ねて述べるが、メールシステムの責任を負う、情報システム担当者により、監視または調査されることがある。
更に、インターネットへ向けて、またはインターネットから来たメールは、暗号化されていなければ、ほとんどの場合認証も受けていない。インターネットを介すときは、何の通知や警告もなしに、閲覧したり変更されたりすることがあるので、いかなる機密情報も送信してはならない。
以上、非常に長くなりましたが、お付き合いいただき、ありがとうございました。
次回は、安全なシステム基盤の構築について、内部統制からのポイントをご紹介します。
情報システム利用規定
今回は、情報システムに係る利用規定（倫理規定）について記しておきます。
利用規定や倫理規定、と聞くと、何やら堅苦しく感じ、「常識の範囲でしょ」と言われてしまうかもしれません。
確かに、企業情報システムの利用は、使用する方々の常識や倫理観に任せておけば良い場合が多いです。
しかしながら、残念なことに、それらの性善説の抜け道を掻い潜り、よろしくないことが行われていることも事実です。
そういうことを犯した人たちの言い訳の第一声が、『そんなことをやってはいけない、ということは聞いていない』という場合が非常に多いものです。
確かに、暗黙知で倫理が守られている場合、どこにも書いていませんし、聞いてもいません。
内部統制では、そのような事態を避けるために、「そこまで書くか」とも感じられる文書を用意し、それを周知することが非常に重要です。
以下に、内部統制の確保を図る上でのポイントを記しておきます。
組織内で情報システムを適切に運用するための基礎基盤として、ユーザーによる、情報システムの適切な利用を定める、文書化された利用規定が必要となります。
利用規定では、ユーザーがその利用規定に従う責任があり、従わない場合は懲戒処分の対象となることを明確に述べなければなりません。
利用規定には以下の点を盛り込んでおくとよいでしょう。
1. 管理層からの書面による明確な承認なしで、情報およびシステムを、職務に関連しない目的で使用させないこと。
2. 有害なコンテンツを、システム内に置いたり、個人に送信させないこと。
3. 許可なく情報や機器を敷地外に移動させないこと。
4. 情報、施設、機器を無許可で使用させないこと（無許可のソフトウェアのインストール、インターネットへのアクセス、電子メールシステムの私用も禁じる）。管理層がそのような使用を許可あるいは容認する場合は、利用規定で、私用についての制限事項を明らかにし、遵守を確実にするため監視対象になることを明記すること（ただし、国によっては、プライバシー法によって、組織による私用の監視に制限がある場合があります。そのため、利用規定は、現地の法律を遵守するよう、慎重に文言を定める必要があるでしょう）。
5. 情報やソフトウェアを不正にコピーさせないこと。
6. ユーザーにパスワードの機密性や、複雑性に関する規則を確実に遵守させること。
7. ユーザーに、メディアや文書を安全な方法で保管させること。
8. （会議や昼休み、夜間などに）ユーザーが、PCから離れる場合には、システムからログオフさせること。
9. ユーザーに、電子メディア上の企業情報の安全な保管に関する、管理層の指示を遵守させること。
当該利用規定は、従業員と組織の情報システムの使用が許可されている部外者（保守担当のアウトソーサー等）の両方に適用されるものでなければなりません。
また、これらの利用規定は、その使用者に確実に周知伝達されていなければなりません。
その際のポイントは、下記のことを考慮し、また、その必要に応じ、施策が実施されることです。
1. 組織の情報システム利用規定は、当該従業員とシステムにアクセスできる部外者に連絡し、必要な場合は研修を行う必要があります。通常、利用規定は、従業員向けマニュアルやハンドブックに記載するなどの方法で、雇用契約に具体的に表現したり、入社時の導入研修等で説明されます。
2. 情報システムの利用者に更新を通知したり、最新版を容易に入手できることを確実に行うプロセス（文書化され、共有閲覧ができるストレージやポータルサイトがあることが望ましい）が存在しなければなりません。
以上、利用規定の概念について述べてみました。
もし組織内にまだこのような規定がない場合、あまり堅苦しく考えずに、作成してみてはいかがでしょうか？
このような規定を作成することに反対する経営管理層は、たぶん存在しないはずです。
次回は、情報システム利用規定を具体的に記してみます。
例文としてご活用いただけましたら幸いです。
情報システム計画
しばらくブログを休んでいました、再開します。
ここまでは、比較的自分自身の生活の報告中心だったのですが、読者から見ればそれはどうでも良いことでしょう。
ここいらで、情報システム部長として得たノウハウをある程度公開し、困っている人のために、少しでも役に立つことが出来れば、という思いが強くなってしまいました。
そのため、心機一転、ブログを引越し、情報システムの業務に特化した内容を発信していきます。
さて、今回は、情報システムの内部統制に関わる項目です。
情報システム計画、という言葉は、そのような職種で働いているかたは聞いたことがあるでしょう。
現在のけんぢの会社の計画は、公表するわけにはいきませんが、その計画を建てる上で、内部統制の観点からの注意事項を記しておきます。
【情報システム計画の立案と文書化】
情報システム計画は、その母体組織（会社や団体）の企業理念やビジョン、成長戦略を反映し、それが細分化されたものの一部である、と考えることができます。
また、情報システムに関する投資や成果物は、単年度だけではなく、中長期にわたり、その影響を及ぼします。
そのため、情報システム計画書は、その上位組織の事業目標を達成できるよう、経営管理層による承認と定期的なレビューが必要です。
情報システム計画書では、以下の点に留意し、作成、見直しを行うことが重要になってきます。
1. 複数年（1年以上3年未満）先までを範囲とし、少なくとも年に一度レビューを受けること。
2. 情報システム・セキュリティ計画を含んでいること。
3. 投資に関する意思決定の支持、承認を確実に行うためのフレームワーク（枠組み）として機能すること。
4. より詳細な計画の基盤、および次の計画の基礎となること。
5. 情報伝達や、目的意識の醸成、意欲促進、プロセス改革やプロジェクトへの積極的な参加を促すため、情報システム部門の使命を他者に説明できること。
6. 経営管理層によって、正式に承認されること。
情報システムに関する技術革新は目覚ましいものがあり、現在の標準は、2年後にはすでに廃れていたり、陳腐化しているかもしれません。
そのため、長期に渡る過剰な投資は、そのような新技術を放棄せざるを得ない理由となってしまいます。
設備のリースやネットワーク等の最低契約期間が足枷になる場合もあります。
情報システム計画では、常にそれらの起こりうる変化を念頭に置き、変化に対し、いかに柔軟に対応できるのか、また、それが組織の成長戦略をいかに補佐できるのか、経営管理層との相互理解を高めることが、経営の透明化や資金計画の健全化につながります。
そのような意味では、この情報システム計画書は非常に重要な書面である、と言えるでしょう。
次回は、情報システムに係る利用規定について書いてみようと思います。
花を食べるなんて、虫じゃないか！
ディナーに連れて行って、刺身のツマとして出てきた食用菊を何も知らずに食べて、その後、事実を教えられて出てきた一言。
だったら、サラダを食べるのは全部虫だろ・・・
ちなみに右が鳩ﾟ。
派遣社員＝パートタイマー
従業員の区分けを議論していたときに出てきた暴言。
「従業員は、正社員とパートタイマーだろ？事務作業は、パートタイマーにやらせればいいじゃないか！」
けんぢは即座に席を立ちました、ハイ。
運動会
本来は昨日の予定であったが、雨天のため本日に延期。
昨日は開会式だけは行われたのだが、その後延期決定。
仕切りなおし。
写真は昨日のものだが、さすがに肌寒く、決行はかわいそうだわ。
変わって、本日は天気も上々。
しっかり一日楽しんだ。
息子の成長は早いものだ・・・
ある意味楽しみだし、ある意味不安だし、ある意味寂しいような、そんな感覚。
ま、これも大人としての成長過程ですな。
タコ
勉強になる人、ならない人。
見習って見たくなる人、ならない人。
共感できる人、できない人。
それでもみんな大切な仲間。
もちろん、「このタコ助！」と思うような人もいる。
さすがにそうはいえないが、タコに対する不満は募る。
それをすこしでも解消するため、釣ることにした。
正午に富津到着。
今回は息子と2人。
船が出る防波堤には海鳥満載。いかにも釣れそうな雰囲気。
午後1時出航。目的地は富津沖。10分以内の行程。
さて、釣り開始。
釣り糸を垂らして5分、早速ヒット。でもバラシ。メリハリが足りず、もたもたしている間に逃げられた。
すんげー悔しい。このタコ助！
さらに待つこと5分。ヒット。来ました来ました。本日の第1号♪
体長15㌢ほどの良形。
釣りは3時間ほどで終了。
息子と2人で12匹。
ちょっと不満だが、午後船だから仕方ない。周りのみんなもそんなもん。
午後6時、けんぢ邸到着。
さっそく下ごしらえ。
墨袋を取り出して、塩で揉んで、水洗いして、また塩で揉んで・・・
やっと下ごしらえ完了。
今日はこれをタコしゃぶにすることに。
昆布を敷いた湯にしゃぶしゃぶしゃぶしゃぶ。10秒ほど。
ハイ、タコしゃぶの出来上がり。
ポン酢でいただく。
ｳﾏｰ♪
こんなタコであれば、人生もそんなに悪くない。