情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

内部不正防止・ログ監視（SIEM・UEBA）の監査

ないぶふせいぼうしろぐかんしのかんさ / Internal Fraud Prevention and Log Monitoring Audit

従業員や委託先要員などの内部関係者による情報持ち出し、データ改ざん、着服等の内部不正を予防・早期発見するため、不正のトライアングル（機会・動機・正当化）に基づく統制とログ監視の実効性を検証する監査です。

3行速習ポイント

従業員や委託先要員などの内部関係者による情報持ち出し、データ改ざん、着服等の内部不正を予防・早期発見するため、不正のトライアングル（機会・動機・正当化）に基づく統制とログ監視の実効性を検証する監査です。
特にシステム監査では、不正の「機会」を潰すための職務分離・アクセス制御・私物端末（BYOD）制限・記憶媒体制御と、「必ず発覚する」という抑止力を生むログの改ざん防止・異常検知を重視します。
試験対策：午後I（令和7年問2、令和5年問2、令和3年問2、平成28年問2等）・午後IIで一貫して問われる最重要テーマです。

図解

図内部不正防止における3大システム統制と監査の着眼点構成要素・基本原則

権限・経路の遮断（予防）、ログの改ざん防止（保全）、独立した異常監視（発見）

🏛 内部不正防止における3大システム統制と監査の着眼点（中核を構成する 3 つの柱）

機会の排除（予防）

1. 不正の機会を奪うアクセス制御と持ち出し経路遮断

職務分離・最小権限・USB/私用クラウドへの書き出し制限

業務上不要なDBテーブルへのアクセス遮断、申請・承認の分離、およびDLP・プロキシによる大量データダウンロード・外部送信ブロックが有効かを確認する。

証跡の完全性保全

2. ログの網羅的取得と改ざん不能な分離保管

特権管理者であっても自己の操作痕跡を消去できないログ基盤

システム管理者（運用担当者）とログ管理者の権限を分離し、操作ログがリアルタイムに別サーバ（SIEM・WORMストレージ）へ転送・保護されているか確認する。

独立監視（発見）

3. 独立した第三者・CAATによる異常操作ログの継続監視

申請外作業・深夜休日アクセス・大量検索のアラート検知と査閲

取得したログが放置されず、作業申請書との突合や、通常業務と異なるアクセスパターン（大量照会・権限変更）の自動検知・第三者レビューが運用されているか確かめる。

💡 午後I令和7年問2（システム管理者S氏による不正設定の未発覚）のように、「ログを取っているか」ではなく「不正実行者以外の第三者がログを検証し、ログ自体が改ざん不能か」が問われます。

概要と本質

従業員や委託先要員などの内部関係者による情報持ち出し、データ改ざん、着服等の内部不正を予防・早期発見するため、不正のトライアングル（機会・動機・正当化）に基づく統制とログ監視の実効性を検証する監査です。特にシステム監査では、不正の「機会」を潰すための職務分離・アクセス制御・私物端末（BYOD）制限・記憶媒体制御と、「必ず発覚する」という抑止力を生むログの改ざん防止・異常検知を重視します。

重要ポイント・コア概念

予防的統制（機会の排除）：職務の分離、最小権限の付与、USBメモリ等の外部記憶媒体および私用Webメール・クラウドストレージへのアップロード遮断の確認
発見的統制（ログ保全と異常監視）：操作ログ・DBアクセスログを管理者自身も改ざんできない別領域へリアルタイム転送・保管し、深夜アクセスや大量検索等の異常兆候を第三者が定期点検・自動検知しているかの確認
定量的効果・監査目標例：特権操作ログおよび顧客DB検索ログの別環境保管とSIEMによる深夜・大量検索アラートを実装し、内部不正の隠蔽可能性を排除して監査指摘ゼロを達成