IT監査とは
IT監査は、組織のITシステムが適切に管理・運用されているかを第三者的な視点で評価する活動です。IT統制の有効性を確認し、リスクや改善点を発見することが目的です。
内部監査と外部監査
| 種類 | 実施者 | 目的 |
|---|---|---|
| 内部IT監査 | 社内の監査部門またはIT部門以外の部門 | 自社のIT統制の有効性を自主的に確認 |
| 外部IT監査 | 監査法人、外部コンサルタント | J-SOX対応、第三者認証取得、取引先要求への対応 |
| セキュリティ診断 | セキュリティ専門会社 | 脆弱性の発見、ペネトレーションテスト |
主要な監査項目
| 監査項目 | 確認ポイント |
|---|---|
| アクセス管理 | ユーザーIDの発行・削除手順、退職者アカウントの削除状況、特権アカウントの管理 |
| パスワード管理 | パスワードポリシー（長さ・複雑さ）、MFAの適用状況 |
| 変更管理 | システム変更の承認プロセス、テスト実施の記録 |
| バックアップ | バックアップの実行状況、復旧テストの実施記録 |
| ログ管理 | 監査ログの取得状況、保存期間、定期的なレビュー |
| 物理的セキュリティ | サーバールームの入退室管理、施錠状況 |
| セキュリティ対策 | EDR/ウイルス対策、ファイアウォール、パッチ適用状況 |
中小企業での実施ポイント
中小企業では専門の監査部門を設置するのは現実的ではないため、以下のアプローチを推奨します。
- 年1回の外部セキュリティ診断：外部のITコンサルやセキュリティ会社に依頼（10〜50万円）
- 四半期のセルフチェック：M365テナント監査チェックリストを使って自社で確認
- Secure Scoreの活用：Microsoft Secure ScoreでM365のセキュリティ設定状況を客観的に評価
まとめ
IT監査はITシステムの適正な管理を確認する活動です。中小企業は年1回の外部診断と四半期のセルフチェックを組み合わせて実施しましょう。