統制を追加するセキュリティ対策なら、だれでもできる?
CSR(企業の社会的責任)や個人情報保護法、そして2009年から適用のJ-SOX法(日本版企業改革法)など、企業が求められるコンプライアンスはいっそう厳格化している。
http://www.nikkeibp.co.jp/style/biz/itskill/security/080206_5th/
セキュリティの分野も、その流れに合わせてIT統制を強化している。しかし企業の現場ではピント外れな事態も見受けられる。必要な範囲を超えた統制を定めて業務が遅延、機器やソフトウェアを購入するだけでIT統制をクリアできると思ったがアテが外れる…などの失敗談だ。
現在はノウハウ獲得の模索段階だが、J-SOX適合が一段落する今年の終わりごろには次のステップに踏み出す企業が増える。スリム化しても健全性を確保できるよう組み替えるIT統制の実例を見ることができるかもしれない。
J-SOX法への対応で追い込み作業中
2007年9月30日に日本版SOX法(J-SOX法)が完全施行となり、上場企業は2008年4月に始まる会計年度から適用になる。待ったなしの状況である。ここ数年は内部統制にからんだ業務フローの見直しや、IT統制の強化などを進めてきた企業は多い。その総仕上げがJ-SOX法対応ということになるだろう。
しっかりとした内部統制の確立を目指したはずが、必要以上の統制ポイントを設定してしまう“過剰統制”に悩んでいる企業は多い。何度もチェックを受ける社員が「仕事が進まない」と悲鳴を上げ、結果的に業績が落ちる。定石がわからない段階なので、ピント外れな統制の罠にはまる企業も見受けられる。
ITセキュリティに関わりのある、ピント外れな統制のトラブル例から教訓を読み取ってみよう。
機器を導入するだけでIT統制ルール適合?
入退出管理を強化するために指紋認証ドアを設置したA社。従来はICカード方式だったが、ICカードを貸し借りする社員がいた。誰が入退出したかの正確な記録を取るため指紋認証を選んだ。ICカードを紛失した社員に再発行手続きをしていた管理部門の手間を減らす意図もあった。
スポンサードリンク