EY Advisory クラウド利用時の留意点と保証報告書アドバイザリー事業部公認会計士遊馬正美 • Masami Asuma アドバイザリー事業部に所属。会計監査におけるIT統制評価に携わるとともに、クラウドサービス事業者、データセンター事業者および金融機関向け共同センターの受託業務に係る内部統制の保証業務（SOC 1・SOC 2・SOC 3）に従事。 Ⅰ はじめに 2. クラウドサービスにおけるリスク領域（1）クラウドの標準と操作性クラウド利用はあらゆる業種の企業・組織の注目を急成長しているクラウドサービスでは業界標準が追集めていますが、狙いはIT戦略の効果拡大、社内IT運いついていない状況です。また、クラウド利用者である用コストの削減、経営の柔軟性向上、競争優位の確立企業・組織での既存のITシステムとの円滑な連携も保等、多岐にわたっています。クラウド利用は、運用思証されておらず、効率性を損なう可能性も存在します。考から戦略思考へと転換したIT活用により、優れた戦略さえあれば、企業・組織に多くの可能性をもたらし（2）クラウドのコンプライアンスと法規制ます。クラウドサービスの高い機動力と柔軟性を生かクラウド利用者である企業・組織は、データの所在した、激変するマーケット環境への順応が、顧客ニー場所に関係なく、法規制およびコンプライアンスに関ズや競合企業への対応力向上につながるからです。する責任を有することに変わりありません。企業・組織やクラウドサービス提供者は、事業を営む管轄区域の法規制の要件を十分に理解しておく必要があります。 Ⅱ クラウド利用におけるリスク管理（3）情報セキュリティとプライバシーのリスク 1. クラウドサービスの定義クラウド環境での情報セキュリティに係る重大なリ米国国立標準技術研究所（NIST）によるクラウスクは、ネットワークにおける論理的および物理的領ドサービスの定義は、IaaS（Infrastructure as a service：インフラ）、PssS（Platform as a service：プラットホーム）、Saas（Software as a service：ア域に対する不正アクセス、システムまたはデータの改プリ）の三つになっており、クラウドインフラの設置ティ管理手続きの透明性は低い状況にあります。ざん、データの不正な削除です。通常、クラウド利用者にとって、クラウドサービス提供者側のセキュリ形態により、プライベートクラウド、パブリッククラウド、コミュニティクラウド、ハイブリッドクラウド（4）クラウドサービス提供者の管理とガバナンスが存在します。これら四つの設置形態のうち、プライコモディティ化されたクラウドサービスを利用するベートクラウドの管理を企業・組織が自ら行う場合以場合等コスト意識の高い環境下では、サービスレベル外は、いずれのクラウド設置形態でも企業・組織にお合意書（SLA）または使用許諾契約書における条項は、けるクラウド利用には、しかるべき外部委託先管理が交渉余地のないケースがほとんどであり、管理とガバ必要となります。ナンスの有効性に関する評価が困難な状況にあります。 20　情報センサー Vol.102 March 2015 Ⅲ 外部委託先監査業務のサービス利用者としているため、報告書上の内部統制に係る記載はSOC 2と比較して、非常に簡潔外部委託先に係る留意点には、適切な外部委託先のなものになっています※3。選定、適切な外部委託に関する契約の管理、外部委託先に係る内部統制の整備・運用状況に関する整備などがあります。外部委託先に係る内部統制の整備・運用 Ⅴ 金融機関におけるクラウド利用状況に関する整備には、外部委託先を直接監査、外部委託先が実施した監査結果を利用、第三者による外部委託先の直接監査の三つ評価方法があります。 2014年11月、公益財団法人金融情報システムセンター（FISC）から、「金融機関におけるクラウド利用クラウド利用では、外部委託先を直接監査という手に関する有識者検討会報告書」がウェブサイト上に掲法は通常の利用者では困難であり、また、外部委託先載されました。この報告書では、学識経験者、金融関が実施した監査結果を利用の場合は、当該結果の信頼係者、クラウドサービス提供者など※4における、クラ性が問題になります。クラウドサービスで一般的になウド活用上のネックは何か、どのように当該ネックをりつつある第三者による外部委託先の直接監査の場克服すればよいのかなどの議論を取りまとめています。合、代表的なものとして「SOC 1・SOC 2保証報告クラウド活用上のネックはクラウドサービスの信頼性にあるため、信頼性を担保する一法としての監査の書」があります。重要性に鑑み、当該報告書では「Ⅲ　具体的なリスク管理策」の「2. クラウド事業者に対する監査等」で、 Ⅳ SOC保証報告書クラウドサービス提供者に対する監査が論じられておりSOC 2にも触れられています。 Service Organization Controls（SOC）保証報告書とは、受託業務に係る内部統制の保証報告書であり、米国公認会計士協会（AICPA）では、「SOC 1」「SOC 2」「SOC 3」の三つの保証報告書に分類しています。 SOC 1保証報告書は、財務報告に係る内部統制に関するものであり、「AT 801（旧SSAE 16）」に準拠して作成されます。 ※1 15年の夏ごろに予定されている「FISC安全対策基準」の改訂（第9版）に向けて、JICPAもIT7号の改訂を検討しています。これは米国のSOC 2保証報告書では、五つのTrustサービスの原則と規準以外の「原則と規準」を追加できるのに対し、日本の現状のIT7 号では追加できない仕組みとなっているためです。「FISC安全対策基準」改訂、IT7号改訂を皮切りに、 SOC 2保証報告書は、「Trustサービスの原則と規今後は、一般事業会社も含めたクラウド利用における準」に係る内部統制に関するものであり、Trustサー SOC 2保証報告書などの第三者による監査が、広くビスの原則と規準には「セキュリティ」「可用性」「処認識されていくと思われます。理のインテグリティ」「機密保持」「プライバシー」の五つがあります※2。このSOC 2保証報告書は、前記のクラウドサービスにおけるリスク領域に関するクラウドサービス提供者の対応を評価するために役立っています。 SOC 3保証報告書は、SOC 2保証報告書と同様、 Trustサービスの原則と規準に係る内部統制に関するお問い合わせ先アドバイザリー事業部 Tel：03 3503 3500 E-mail：[email protected] ものですが、報告書の想定利用者を不特定多数の受託 ※1　日本基準では、監査・保証実務委員会実務指針第86号「受託業務に係る内部統制の保証報告書」（旧18号）、国際基準では、ISAE3402 ※2　日本では、IT委員会実務指針第7号「受託業務のセキュリティ・可用性・処理のインテグリティ・機密保持に係る内部統制の保証報告書」がある。なお、現状のIT7号ではTrustサービスの原則と規準の「プライバシー」は対象としていない。 ※3　日本では、IT委員会報告第2号「Trustサービスに係る実務指針（中間報告）」 ※4　日本公認会計士協会（JICPA）からも参加情報センサー Vol.102 March 2015　21