D.出力管理
| （概説）出力管理の内容は、どのようなハードウェア構成でそのシステムが動作しているかということよりも、む
しろアウトプットそのものの内容に左右される側面が非常に強い。よってその管理は、出力するデータの内
容を吟味し、フレキシブルに設定する必要がある。 |
監査目標
(1) 出力管理ルールを定め、遵守しているか。
着眼点
a)出力管理ルールが存在するかどうかを確認する。*1
b)出力管理ルールは、管理者により承認されているかを確認する。*1
c)出力管理ルールの内容をチェックし、誤謬防止、不正防止、機密保護及び個人データ保護等の項目が網羅さ
れているかを確認する。*1
d)情報システムからの出力処理に係る指示や承認等を行う出力管理責任者を定めているかを確認する。*1
e)出力管理ルールが、周知徹底されているかを確認する。*1
f)出力管理ルールは、環境の変化に応じて、見直されているかを確認する。*1
a)データの出力について出力管理ルールを策定する。*2
b)出力管理ルールは周知徹底させる。*2
c)出力管理担当者を明確にする。*2
留意事項
・ルールは定期的に見直す。
・ダウンサイジング・分散化・ＥＵＣ等、個人個人のデータ管理、セキュリティ等がますます重要
になってきている。
監査目標
(2) 出力情報の作成手順、取扱い等は、不正防止及び機密保護の対策を講じているか。
着眼点
a)端末への情報出力の要件として、識別コード、パスワードの管理が適切になされているかを確認する。*1
b)社外に設置した端末について、データの照会およびプリントに関する規定が設置されているかを確認する。*1
c)センタにおける出力処理において、責任者の承認を得たオペレーション指示書等に基づいて出力がなされて
いるかを確認する。*1
d)出力作業が確実に行われ、出力情報を確実に依頼者に引き渡しているかを確認する。*1
e)ミスオペレーションによる用紙の裁断廃棄等、出力情報が漏洩しない仕組みになっているかを確認する。*1
f)センタにおける出力処理において、オペレータは、承認された者に限定されているかを確認する。*1
g)重要データの複写については、記録が残されているかを確認する。*1
h)データの出力について出力管理ルールを策定する。*2
留意事項
・権限者による取り扱いをルール化する、等。
監査目標
(3) 出力情報の引渡しは、出力管理ルールに基づいて行っているか。
着眼点
a)出力情報の引き渡し状況を記録しているかを確認する。*1
b)出力情報の内容が、対象期間、入力件数等から考慮して妥当な内容となっているかを検証の上、発送されて
いるかを確認する。*1
c)出力情報の引き渡しは、出力情報の機密度、重要度、プライバシー保護等の観点を考慮し、適切な方法が採
られているかを確認する。*1
d)データの出力について出力管理ルールを策定する。*2
留意事項
・引き渡しの際、対象物及び関係者を把握する仕組みを作る、等。
監査目標
(4) 出力情報の保管及び廃棄は、出力管理ルールに基づいて行っているか。
着眼点
a)出力情報の保管責任者を定めているかを確認する。*1
b)出力情報は、出力情報の機密度、重要度、プライバシー保護等の観点を考慮し、適切な保管方法が取られて
いるかを確認する。具体的には、保管場所、施錠の有無等を確認する。*1
c)出力情報の廃棄方法が、ルールとして明記されているかを確認する。*1
d)出力情報の廃棄は、ルール通りに行われているかを確認する。*1
e)重要な情報の廃棄には、責任者が立ち会っているかを確認する。*1
f)廃棄業者の選択は、契約条件、廃棄方法、業者の信用等を勘案して行われているかを確認する。*1
g)出力情報廃棄は、ルールに定められたとおりの時期に行われているかを確認する。*1
h)データの保管及び廃棄について出力管理ルールを策定する。*2
留意事項
・災害、侵入者などの存在を考慮した保管場所を設定する。
・廃棄時のシュレッダー処理を徹底する、
・廃棄業務を外部に委託する場合は、契約条件等その内容を厳密に検討する、等。
監査目標
(5) 出力情報のエラー状況を記録し、定期的に分析しているか。
着眼点
a)出力情報のエラー状況を記録しているかを確認する。*1
b)出力情報のエラー状況の原因分析が行われ、対応策が適切になされているかを確認する。*1
c)ログを採取し、一定期間保存する。*2
監査目標
(6) 出力情報の利用状況を記録し、定期的に分析しているか
着眼点
1)出力情報の利用状況を定期的に分析しているかを確認する。*1
2)出力情報の使い勝手についてエンドユーザの意見を聴取しているかを確認する。*1
3)出力情報のうち、使用頻度の低いものなどについて、廃止するなどの見直しが行われているかを確認する。*1
a)ログを採取し、一定期間保存する。*2
ガイドラインの目次に戻る。