6月よりＩＳＡＣＡのＵＲＬが変わりました。小山さん（元大阪支部会長）個人のページに間借りしていたのが、独自のＵＲＬを取得しました。ただし、その内容は、小山さんに負うところがほとんどです。リンクページの充実には目を見張るものがあります。システム監査に関するホームページのほとんどすべてを網羅しているのではないでしょうか。コンピュータシステムの安全性、信頼性、効率性について調べ物をする場合には、小山さんが日々更新されているこのリンク集
が役に立つことは間違いありません。
[up net on 97/6/1]
私はISACAから2015年12月に退会しました。
[up net on 25/01/02]
ＩＳＡＣＡのホームページには、監査基準分科会でまとめた「ネットワーク監査のガイドライン」や「セキュリティポリシィ策定のしかた」が公開されています。最近、帝塚山大学の講義で使うのに久しぶりで「ネットワーク監査のガイドライン」を読み直しましたら、まだまだ新鮮で役に立つことに気がつきました。どなたも是非参考にしてください。
[up net on 01/1/7]
システム監査の研究団体
情報システムコントロール協会のほかにも、システム監査に関わる団体のホームページが次の通りあります。日本システム監査人協会は私も属している団体です。
システム監査をしている人達のホームページを紹介します。
いずれも，ＩＳＡＣＡ大阪で，システム監査の研究をしている仲間です。
ＩＳＡＣＡ東京支部の小浜健二さんからLink依頼がありました。システム監査をテーマにされているホームページですので、ここに紹介します。
井戸田 博樹さん[correct on 96/8/13]
国司 輝夫さん[up net on 96/03/01]
臼井 義美さん[correct on 96/12/15]
入江 孝さん[up net on 96/12/15]
安本 哲之助さん[up net on 97/6/1][correct on 01/3/4]
小浜 健二さん[up net on 00/5/7]
ＩＳＡＣＡ大阪支部の監査基準分科会で、この２月と３月は情報倫理について考えてみました。その内容をメモの形でお見せします。
この分科会は、私の大阪事務所で原則毎月第２水曜日に開いています。システム監査に造詣の深い１０名のメンバーが集ってその月のテーマを議論するだけでなく、ネットワーク社会に関する公式の場では聞けない話題が飛交う会でもあります。
ビールを片手に和気藹々と情報交換をしています。ＩＳＡＣＡ大阪支部の会員であれば、だれでも入会できますので、関心のある方はどうぞお申しでください。ＩＳＡＣＡ大阪支部はこのほかにもユニークな研究活動をしていますので、ＩＳＡＣＡへ入会されることもお勧めできます。
[up net on 00/3/5]
情報倫理というテーマは意外とおもしろく、また奥が深くて、とうとう１２月まで続きました。それでも、情報倫理とは何かというところまでたどりつけていません。とりあえず、中間報告となるものが出来ましたので、ここに掲載します。
[up net on 01/1/7]
あまり定まっているとは言えないシステム監査用語について考えてみました。
[up net on 99/3/7]
最新の改訂版(Ver.3.5)に直しました。
[up net on 02/12/08]
二火会の集りで、西暦２０００年問題について話すことになりました。そのレジメを載せます。
[up net on 99/3/7]
西暦２０００年問題の基礎資料
西暦２０００年問題に関する基礎資料をまとめてみました。あちこちホームページを飛びまわらなくても、ここで資料が入手できます。
[up net on 99/4/4]
ＩＳＡＣＡ大阪支部の監査基準分科会で
「ネットワーク管理のガイドライン」をまとめています。
私の担当したハードウェア管理とドキュメント管理にリンクします。
[up net on 98/1/4]
デマウィルスではないけれど・・・ （ある日のメールから）
私もROMってばかりいましたので、少しコメントしてみます。 というのは、2日の監査基準分科会（ISACA大阪支部）で”PE_CIH”の面白い話を聞いたばかりなのです。 そこで高瀬さんからの受け売りながらお知らせしておきます。
x san> なお新種のウイルス（と言ってもコンピュータウイルスのことですが
x san> 愛称はＰＥ＿ＣＩＨ）が地球規模で流行っていますので、お気をつ
x san> け下さい。
x san> このウイルスは毎月２６日になるとハードディスクをフォーマットし
x san> てしまうという手強い奴で、先月８月２６日にも世界中で発生し、ア
x san> メリカでは１企業だけで５００台も感染したそうです。
x san> 毎月２６日にはパソコンの電源を入れない、もしくは２５日中に日付
x san> を２７日にしてまた戻す、などの防止策がありますが、このウイルス
x san> に対応したワクチンがトレンドマイクロから無料配布しているので
、
x san> これを使って除去してもいいでしょう。
実は、このウィルスにはバージョンが、Ver.1.4と Ver.1.2の２種類があって、Ver.1.2は４月２６日に発病し、Ver.1.4は毎月２６日に発病する。
www.jcsa.or.jp/win95cih2.html
確かに、８月１２日から１７日まで、ロジテック株式会社がWebサイトで公開していたSCSI用ドライバの一部がPE_CIHのウィルスに感染していたのは事実だったのですが、そのバージョンはVer.1.2（４月２６日に発病）の方だったのです。
つまり、毎月２６日に発病するウィルスではないので、８月２６日には発病の心配はなかったわけです。
ところが、情報は「毎月２６日に発病するウィルス」ということで流れたのです。
ロジテックの「ウィルス感染のご報告とお詫び」というニュース（８月１７日付）では、バージョンを正しく記載しているのに、「緊急に」ウィルスの駆除をしてくださいとアナウンスしていた。PC Watch のホームページは、「毎月２６日に」フラッシュメモリの内容を破壊するウィルスであるとその日のうちにニュースを流した。
マスコミも、２５日の朝刊で読売新聞が、被害は３、４千人に上るだろうという推測記事を載せたほか、TVでも２局以上がその防止策について報道したそうです。○○さんもTVをみて、あわててパソコンの日付を変えたほどです。
なぜこんな事になったかというと、シマンテックやトレンドマイクロ（いずれもウィルスを退治するワクチンソフトを販売している企業）が、「毎月２６日に」発病するとして、このウィルスを紹介したからです。
一時期、デマウィルスが流行ったことがありました。そのとき頼りになったのがワクチンソフトを販売している企業だったのです。
こうした企業は、継続的に最新のウィルス情報を発信し、ワクチンソフトを販売して、信用を培ってきたのです。だから、皆がこの情報を信じたわけです。
この話をしてくれた人は、「何か裏があるように勘繰ってしまうな」と言っていました。
[トレンドマイクロのサイト]
www.trendmicro.co.jp
[up net on 98/9/8]
インターネット川柳
日本システム監査人協会の近畿会で、川柳を会員から募集して、E-Mailエチケット集を作ろうとしています。
私も作ってみましたが、E-Mailエチケット以外の句が出来ましたのでこちらに載せてみます。
[up net on 97/11/30]
パスワード（暗証番号）について
簡便運用方法（Ｆ−ＳＴＹＬＥ）
コンピュータシステムの運用上の安全性を考えるときに，必ず議論されるのが，パスワードの問題です。
コンピュータへの不正侵入やデータの破壊などが日常起こっている事実を目の当たりにしていると，安全性の確保は，避けては通れない課題であることに間違いはありません。
ただ，パスワードは出来るだけ長い方がよく，出来るだけ短い周期で変更しなければならないとか，類推されやすい誕生日や名前等を含んではいけないと言っても，現実には，難しいことです。アメリカでは，毎月新しいパスワードがシステム部門から強制的にあてがわれる例もあるそうです。しかし，最近のようにアルファベットの大文字小文字と数字の混在した意味をなさないパスワードを，毎月覚えるなんてことは，土台無理なことです。
そこで，私は，次のようにするのが次善の策ではないかと考え，皆さんに薦めようと思いますが，いかがなものでしょうか。御意見をお聞かせ下さい。
@パスワードを，二つの要素で構成する。オフィシャルな部分と，プライベートな部分の二つです。
Aオフィシャルな部分は，毎月といった短い周期で変更します。システム部門から強制的に配布するやり方でもいいでしょう。
Bプライベートな部分は，本人が覚えておける４文字程度の長さにし，各人で決め，変更する周期も任意に任せます。固定していてもかまいません。
Cオフィシャルな部分は，各自が手帳などの私物にメモしてもかまいません。（コンピュータに張付けたり他人と共有することは，もちろん許されません。）
Dプライベートな部分は，オフィシャルな部分の中に，ばらして，一つのパスワードにします。何文字目にプライベートな部分をはめ込むかは，各自の任意です。但し，オフィシャルな部分が変る都度，はめ込む位置は変えることとします。はめ込む位置は，各自でルールを決めて覚えておきます。
[例]オフィシャルな部分G8qe，プライベートな部分abcd。
初回−−−−−−abcdG8qe
２回目−−−−−Ga8bqced
３回目−−−−−G8abqecd
４回目−−−−−Gb8cqdea
はめ込む位置の変え方がわかりやすいように，この例では，パスワードのオフィシャルな部を変えていませんが，実際に運用する場合には，オフィシャルな部分は毎回変ります。はめ込む位置の変え方は，上のような例では，8*7*6*5=67通りあるでしょう。
このやり方は，パスワードの−−−破られにくくしようとすると覚えきれないが，覚えやすくすると破られやすいと言う−−−ジレンマを，少しでも解決しようとする折衷案なので，同じ長さのパスワードに比べれば，どうしても見破りやすくはなってしまいます。
[up net on 96/03/09][mend on 97/02/11]
推理小説をひとつ
新幹線に乗る間際になって、車中で読む暇つぶしの在庫が切れていることに気がつき、駅の売店で買ったのが、「コンピュータから出た死体」という文庫本である。サリー・チャップマン作、吉沢康子訳（集英社文庫）。著者がＩＢＭ出身だと言う帯の宣伝文句につられて買ってしまった。
推理小説としては、ひねりや「陽転の快感」に欠けるので、余り薦められたものではないが、シリコンバレーのソフト業界の様子や、そこで脚光を浴びる新世代の人たちの生態を知るノウハウ本としては面白く読め、お薦めだ。
主人公が、あるソフトウェアの開発責任者の地位を剥脱されたと宣言された時点で、開発用端末機での彼女のＩＤが抹消されていたといった、システム監査の立場から見て、アメリカの現場は進んでいるなと感心させられる場面がいくつか出てくる。
そんな一場面に、施設への入室の際、ＩＤカードを差し込んで扉を開けるシステムは、ＩＤカードを持たない者もＩＤカードを持った者と一緒に入り込める欠陥があるとして、一カードに付き一人しか入ることが出来ない回転ドア方式に改善するようにと、システム監査人が勧告する場面がある。
成る程と思う一方で、現実にそこまで実施している企業があるのだろうか、これは単なる小説の上のジョークではないのだろうかと迷ってしまった。
去年、ある先進企業のシステム監査をさせて貰う機会があったのだが、現場の施設を見学する際、我々はＩＤカードを持たず、先方のシステム部門の責任者がカードを差し込み暗証番号を入力して扉を開ける方式であった。我々は、案内者の後をぞろぞろとついて入って行った訳だ。これでは、間の抜けているには違いない。実際、その施設のある敷地に入る際に、守衛室に、訪問の目的、訪問先、訪問者の氏名、人数等を記入して、入門許可証を受け取るのだが、出門の際に、入門許可証を返しても、人数のチェックはしていなっかったからだ。
果たして、回転ドア方式を勧告すべきなんだろうか。
[up net on 96/8/1]
ＫＪ法を利用したパソコン授業の試み
これは、この１０月２４日に東大駒場キャンパスで開催された、平成14年度情報処理教育研究集会
で発表した論文です。
発表時間が１０分と限られており十分意を尽くせなかったのが心残りです。質疑応答も質問された先生の主旨を踏まえた回答となっていたのか不明です。どうも振り返ってみると、ＫＪ法を使ってみるとバラエティに富む結論が出ることを、その先生は指摘されたかったようです。一番残念だったのは、後に発表された方（薬学部で実験データの集計にエクセルを利用することで実験内容によい効果を及ぼすことを発表された）が、その質疑応答の中で、エクセルを使うことが目的ではなく実験に役立つものを考えたときにエクセルを使うことになったのだという回答をされて、ＫＪ法は紙切れですればいいのであって、コンピュータを無理に使うことはないのだとコメントされたことでした。
私の発表の際の質疑応答でそうコメントしてもらったら答えることが出来たのに、別のところで言われてしまうと答えようがなく淋しい気分になりました。
情報処理教育の世界では、経験を積んできて、なぜコンピュータを使うのかを考え始めてきたようです。これまでは、他の大学でコンピュータを使っているからとかインターネットを使っているから内の大学でもコンピュータを使わなければという傾向が強かったようです。それがおかしいことに関心が向きはじめたようです。そのことは当然のことです。
しかし、私がＫＪ法を提唱したのは、コンピュータで無理してもＫＪ法を使おうと言ったわけではありません。システム監査といった学問的に確固たるパラダイムが形成されてないような学科（他にも該当する学科があるでしょう）を大学生に教えるのに、ＫＪ法を利用すると、学生が能動的にかつ深く理解して学ぶことが出来るという利点を言おうとしたわけです。ＫＪ法をコンピュータでしたかったわけではありません。
ということを答える機会がないところで、一方的にコメントされたのが残念でした。
もうひとつ残念だったことがあります。
情報処理を高校でも教えることになりカリキュラムの内容が発表されていました。今年度のメインテーマはそのカリキュラムであったようです。ところが、プライバシや知的財産権や情報セキュリティは取り上げられていても、システム監査はどのカリキュラムにも載っていません。システム監査の世間的な認識の低さは分かっていましたが、学問的にも認識が低調であることを知って愕然としました。
「ＫＪ法を利用したパソコン授業の試み」はこちらです。
[up net on 02/11/03]
御質問は，fujino@mbox.kyoto-inet.or.jpまで御願いします．