第286号コラム：丸山　満彦 監事
（デロイト トーマツ リスクサービス株式会社　パートナー、
公認会計士、公認情報システム監査人）
題：「セキュリティガバナンスはできる範囲だけやればよいのか？」

情報漏えい事件がおこったり、企業のネットワークに侵入された可能性があったりとあいかわらず情報セキュリティにまつわる事件、事故というものはなくなりません。こういった事故や事件が発生するたびに企業全体（もちろん、親会社だけでなくグループ企業も）の情報セキュリティガバナンスの重要性がいわれます。

経済産業省も平成１６年（２００４年）９月から翌３月にかけて「企業における情報セキュリティガバナンスのあり方に関する研究会」を開催し、「社会的責任にも配慮したコーポレート･ガバナンスと、それを支えるメカニズムである内部統制の仕組みを、情報セキュリティの観点から企業内に構築・運用すること、すなわち「情報セキュリティガバナンス」の確立が求められる。」とし、情報セキュリティガバナンスの確立を促進するための施策ツールとして情報セキュリティ対策ベンチマーク、情報セキュリティ報告書モデル、事業継続計画策定ガイドラインを提示しました。問題意識まではよかったものの、その対策のための方策が適切でなかったのではないかと思います。その後の情報セキュリティガバナンスの普及にはあまりつながらなかったように感じています。続いて、平成１９年（２００７年）１月から３月にかけて「情報セキュリティガバナンス研究会」が開催され、「情報セキュリティガバナンス研究会報告書　～情報セキュリティによる企業価値創造に向けて～」が公表されましたが、これもまた普及にはそれほどつながらなかったのではないかと思います。

第285号コラム：上原　哲太郎　理事（立命館大学　情報理工学部　情報システム学科　教授）
題：「我が国における学術界でのデジタル・フォレンジックに関する研究活動」

独立行政法人情報処理推進機構（ＩＰＡ）が実施している情報処理技術者試験は、ＩＴ分野の技術者を対象とした代表的な国家試験として良く知られています。この試験の出題範囲が昨年5月に改訂され、小分類「情報セキュリティ対策」の知識項目例中に「ディジタル・フォレンジックス」が追加されました（ＪＩＳとの整合が配慮されていますので表記が微妙に違うのですが…）。この改訂を受け、今年春に行われた情報セキュリティスペシャリスト試験やシステム監査技術者試験ではデジタル・フォレンジックに関する出題が行われていましたが、先日行われた平成25年度秋期試験では、ついに応用情報処理技術者試験においてもデジタル・フォレンジックに関する出題がなされました。

個人的にはこの出来事は大変感慨深いものがありました。応用情報処理技術者試験はＩＴ技術者が数年の経験を積んだ段階で受験することを想定した試験ですが、実際には多くの情報系学部・学科の学生が座学での知識を基に挑戦する程度の難易度です。さらに、出題範囲の設定上は、さらに下位の基本情報処理技術者試験でもデジタル・フォレンジックに関する問題が出題可能になっています。つまり技術者にとって「デジタル・フォレンジック」は、システム運用におけるインシデントレスポンスや監査の必要から一部の技術者が経験的に学ぶ知識という段階を脱して、全てのＩＴ技術者があらかじめ知っておくべき教科書的な知識として認知されるに至ったのだろうと思います。