今や日常語として世間に定着した感のある「コンプライアンス」。日本語では「法令遵守」と訳されるのが通例ですが、反社会的勢力との関係や脱税のような経済事犯といった、法令違反の根絶に加え、近年は環境保護や多様性への配慮といった社会的な規範まで、企業が守るべきものを指して、幅広い意味で用いられます。

近年はITの分野でも、コンプライアンスという用語が使われるようになりました。個人情報保護やサイバーセキュリティなどの文脈で出てくることが多いです。また、ITにおけるコンプライアンスの関連語彙として、「システム監査」という用語も時折目にします。

「システム監査」とは何か

「監査」という用語は、一般的には税務・会計や法務などの分野で使われます。
本来の意味は、法人やその他の組織、それに準ずる対象（個人事業主など）に対し、活動の正確性や妥当性、適切性などを、利害関係のない第三者が確認し、評価することです。
会社には法律（会社法）で「監査役」が定義されていたり、会計の世界には公認会計士による「監査法人」が存在したりと、制度としての（狭義の）監査は、社会に根付いているものです。

「ISMS（情報セキュリティマネジメントシステム）」や「プライバシーマーク（Pマーク）」などの第三者機関等によるコンプライアンス認証制度では、該当の認証機関による監査に加え、定期的な社内でのコンプライアンス調査実施が条件となっています。これらは、第三者ではなく当事者（社内組織など）による活動（内部監査）であり、広義の監査とでも呼ぶべきものでしょう。

「システム監査」は用途によって定義が異なる

「システム監査」という用語は、クライアント、サーバー、ストレージ、ネットワーク機器、クラウドサービスといった、企業やその他の事業主体が利用するITシステム全体において、構成や変更、その他利用状況全般を確認することを指す例が多いです。

システム監査は、先に述べたような、公的なコンプライアンス監査への対応を目的に実施されることもありますが、法的観点は含まれない場合もあります。法律等で規定されている用語ではないので、使う人によって、定義はさまざまです。
「ログ監査」「アクセス監査」「（設定）変更監査」のように、システム監査という括りの下で、さらに対象を限定して言及されることも少なくないです。

ITインフラにおいて「システム監査ツール」とか「システム監査機能」と呼ばれるものは、一般にサーバーやネットワーク機器の基本的な環境設定（configurationを略してコンフィグと呼ばれることが多い）、アカウントやパスワードを含むユーザー情報、アクセスログ、その他のログなどの変化を追跡できる、ツールや機能を指します。

OSやミドルウェア、アプリケーションを含むソフトウェアのインストールやアンインストール、ハードウェアの追加や取り外しなどの履歴管理や追跡は、構成管理に分類されるのが普通ですが、目的の観点からは、システム監査の枠内に含めても構わないでしょう。

システム監査はなぜ必要なのか

では、システム監査はどういったケースで利用されるのでしょうか？
管理者や持ち場ごとの実務者など、システムの規模が拡大すればするほど、1つのシステムに多くの関係者が携わることになります。

OSやアプリケーションにはたくさんのユーザーが作成され、1つのコンフィグが複数の実務担当者によって管理された結果、誰かが行った設定変更により、別の誰かが実施した変更との衝突が発生して想定外の挙動となり、システムトラブルなどの原因となることも少なくありません。

もちろん、コンフィグごとに特定の担当者にのみ変更権限を設定するなど、事前の対策方法もなくはないですが、実際の運用において、そうした細かい管理権限の適用は困難な場面があったり、逆に非常時の対応可能性を狭め、障害回復を遅らせる原因になったりするかもしれません。

本来の「監査」という用語が持つコンプライアンスの観点からも、システムの変更管理は大変重要です。
セキュリティ事案の原因は、ソフトウェア・ハードウェアそのものが持つ脆弱性によることも多いですが、権限やファイアウォールなど、人為的な設定ミスが招く場合も少なくありません。悪意を持った担当者がコンフィグやユーザー設定を勝手に変更し、意図的にセキュリティホールを開けてしまったり、マルウェアを内部から侵入させてしまうようなケースも、ひょっとしたらあるかもしれません。

セキュリティインシデント対応にシステム監査が必要

以上のようなシステム設定上のミスやセキュリティインシデントに対し、適確に、かつ素早く対処できるのが、システム監査機能です。クリティカルな設定項目を履歴追跡の対象にしておけば、いつ、誰がその変更を行ったのかを追跡できるとともに、復旧させるのも容易だからです。

システム監査機能を上手に活用し、安定したITインフラ運用を

コンプライアンス管理に限らず、日頃から定期的にシステム監査機能を用いて変更の追跡管理を行うことは、複数人が関与する運用上のトラブル防止を通じ、システム全体の安定した運用にも大いに役立つものです。

ITインフラ運用自動化ソリューション・POLESTAR Automationには、ここまで述べてきたようなシステム監査機能が搭載されており、あらかじめ対象として設定しておいたファイルやディレクトリ（フォルダー）などに対する、変更の追跡が可能です。
複数ユーザーが管理を共有するコンフィグファイル、ログなどを対象に、変更の追跡やキーワードの検出などを実行できるので、変更による不具合の原因特定、復旧に役立ちます。また、ディレクトリ監査により、意図しないファイルのダウンロードや、USBメモリーなどによる外部からの持ち込みも追跡できます。
効果的なシステム監査にも、POLESTAR Automationをお役立てください。