IT管理が不十分な企業は根本的な見直しに迫られる（イメージ：写真AC）

上場企業における財務報告の信頼性の確保を目的とした内部統制報告制度、いわゆるJ-SOXが15年ぶりに改訂され、2024年度から適用されます。急速な環境変化への対応が求められる上場企業の状況を背景に、いくつかの改訂が行われていますが、ポイントとされるのが情報セキュリティの確保やDX化を含む「IT統制」です。

今までのIT統制では、下記の課題が指摘されていました。

a. IT全社レベル統制
・全社（経営陣、情シス、利用者）でのIT管理の理解不足により、「統制」レベルに達していない

b. IT全般統制
・全社（経営陣、情報セキュリティ担当部門、利用者）での情報セキュリティへの理解不足により、脆弱な統制状況

c. IT業務処理統制
・機械的、形骸的な監査（内部監査を含む）により、リスクが見落とされている

これらの課題に踏み込んだIT統制に対する監査内容の改訂ポイントは、① IT/DXの委託業務、主にクラウド利用環境におけるリスクチェックと、② サイバーセキュリティリスクの高まりを踏まえた情報セキュリティの確保という二つに重点が置かれています。

しかし、本質的なIT管理（IT統制）という点においては、その十分性が求められることになり、IT統制が不十分である、または適合性・有効性に問題がある企業は、IT管理や情報セキュリティを根底から考え直す必要に迫られることになります。

1.クラウドリスクとデータ安全保障

まず、クラウドに対するリスク対応を見てみましょう。そもそもクラウドサービスが始まった2000年代初めにおいて、クラウドに対するリスクマネジメントとして、次のようなリスク要素が挙げられていました。

1.データ保護と保全
2.ID管理
3.認証
4.物理的、人的セキュリティ
5.アプリケーション・セキュリティ
6.脆弱性管理と対策
7.インシデント対応
8.プライバシー
9.可用性
10.DRとIT-BCP
11.コンプライアンス条件
12.ログとシステム利用状況
13.知的財産
14.債務
15.エンドオブサービスのサポート
16.海外データセンターにおけるパトリオット法の取り扱い

上記項目すべてに現状環境におけるリスクチェックが求められるわけですが、特に最後のパトリオット法（米国等）では、データセンターを運用している国の政府が合法的にクラウド内のデータを閲覧したり、差し押さえたりすることができるというもので、過去これを営業的な差別化として、日本のクラウド業者が海外のクラウド業者を排除するために使っていたことがありました。

クラウド環境におけるリスクチェックが求められる（イメージ：写真AC）

アメリカでは、2015年に法律として失効していましたが、2018年にCLOUD ACT (Clarifying Lawful Overseas Use of Data Act)として、米政府が米国内に本拠地を持つクラウド業者に対して、米国外に保存されているデータであってもデータの開示要求をすることができる法律が可決され、再びパトリオット法が復活した状況になっています。

世界的に影響を与えるような機密情報を取り扱う企業やノーベル賞クラスの研究を行っている企業などにとっては、米国のクラウドを利用してデータのやり取りを行っていること自体、大きなリスクとしてとらえることができます。

ただ、現実的には本法律の運用において現地法に優先するものではないことなど、不安を払拭できる要素も多分にあり、取り扱うデータの内容や機密性というポイントを押さえて利用すれば問題は少ないというのが現時点での評価のようです。