情報セキュリティ「外部監査」を足がかりに、「内部監査」を段階的に実施[1]大阪府吹田市

情報化推進体制の一環として情報セキュリティ部会を設置

　吹田市の情報システムは、基幹系システム、業務用システム、事務用ネットワーク（グループウエア）の大きく3つに分かれ、職員が使用するパソコン（端末）は合計で2,000台を超える。

　このほか、住民基本台帳ネットワークシステム（住基ネット）や総合行政ネットワーク（LGWAN）など、さまざまなシステムの運用を通じて大量の住民情報や税情報を共有することによって、事務の効率化と住民の利便性向上が図られる反面、多くの情報システムや情報資産をさまざまな脅威から防御する必要性が高まってきた。

　現在、吹田市では情報化推進体制の一環として情報セキュリティの確保に取り組んでいる。情報化推進本部の本部長には市長が、情報化推進委員会の委員長には総務部長が、情報セキュリティ部会の部会長には情報政策室長がそれぞれ就任。情報セキュリティ監査の実施結果や情報セキュリティを取り巻く環境の変化などに基づき、ポリシーの評価や見直しが必要と判断された場合には、情報セキュリティ部会から情報化推進委員会に提言する。

内部監査への準備として外部監査を実施

　2005（平成17）年度に初めて情報セキュリティ監査を実施するにあたっては、まず予算の獲得が問題となった。

　吹田市の情報政策室では、情報セキュリティポリシーに基づき、ポリシーの遵守状況を確認するためのセキュリティ監査を実施することが重要と判断し、ポリシー策定の翌年から監査実施へ向けた準備に着手した。

　厳しい財政状況のなか、まず経費のかからない内部監査の実施が検討されたが、そのためには監査を実施する監査人を養成しなければならない。また、それまでにない新しい業務となるため、監査を実施するためのノウハウもない。そこで、内部監査に先がけて外部監査を実施し、ノウハウの吸収と蓄積を図る手法が模索された。

　「情報セキュリティ監査は実施せなあかん、予算をつけてくれと、財政部局への説明と説得にあたりました」と、情報政策室情報政策課課長の菊池明彦氏は当時を振り返る。また、監査対象システムを絞り込むと同時に、監査を受けることになる部局への協力依頼にも回る必要があった。

　一方、監査人を養成するための体制づくりも同時進行で進められた。「情報セキュリティ部会を新しくつくりましたが、どの課に部会員となってもらうかがまた問題でした」（菊池氏）。