BEC _ note 2-2 (IT & corporate governance) Flashcards

Question

data governanceとは、またその体系書とその構成要素（７つ）は

Answer 1

・data governanceとは、データを経営資産として管理・統制することを指し、その管理の在り方を規定すること。・DMBOK（Data Management Body of Knowlege、DAMA international作成） ``` ・DMBOK構成要素（７つ） ① data governance（DMに関する全体計画、管理、統制） ② data architecture（データ管理のための戦略や計画） ③ data modeling & design（データベースの設計、実装、維持） ④ data storage & operation（データ管理・処理の運用） ⑤ data security（データの機密性、プライバシーの維持） ⑥ data integration & interoperability（データの収集、統合の仕組み） ⑦ documents content（文書など非構造化データの管理） ```

Answer 2

``` ① feasibility study（実現性研究） ② requirements definition（要件定義） ③ system design（設計） ④ development（開発） ⑤ implementation（導入） ⑥ post-implementation（導入後レビュー） ```

Answer 3

・非伝統的なSDLCを総称して、RAD（rapid application development）という。 ① prototyping 　→ 最初に試作モデルを作り、機能や操作性を確認し、ユーザーの要求や評価を本番のシステムに反映して完成させる開発手法。プロトタイピングの利点は、開発途中で処理内容や使い勝手を確認・修正できるため、利用者が望むシステムとのズレや不具合を早期に発見できることである。 ② agile development 　→ 小単位で開発・テスト・実装を繰返し、開発を進める手法。開発途中で仕様変更や追加等が予想されるプロジェクトに向いている。 ③ object-oriented development 　→ プロジェクトをオブジェクト構成単位で分けて考える。 ④ computer-aided software engineering（CASE）　→ ソフトウェア開発に管理ソフト（CASEツール）を利用し、繰返しの作業を減らすなど効率的な開発を目指すもの。

Answer 4

IDとパスワードで、権限のあるユーザかを確認すること。

Answer 5

・銀行振込（EFTとは、紙幣や硬貨、手形、小切手などの受け渡しによらず、コンピューターネットワークを通じて決済・送金など行うこと）・入力回数を減らすなど、人間の関与を減らす。入力エラーだけではなく、修正コストの削減も可能とする。

Answer 6

① firewall 　→ 組織の内部と外部の間に設置され、外部から保護するためのシステム。 ② intrusion detection system（侵入検知システム）　→ firewallを補足し、組織内のネットワーク上の異常を監視するシステム。

Answer 7

・resiliencyとは、企業が事業の停止などを余儀なくされるような状況に直面した際、影響範囲を最小化し、復旧や事業の継続推進する能力。 ① BCP（business continuity plan）　→ 地震や水災害などの緊急事態に対応するもの。 ② incident response plan 　→ 情報漏洩や不正アクセスなどのcyber securityに重大な影響を与える出来事に対応するもの。

Answer 8

① confidentiality（機密性、ある情報資産にアクセス権限を持つ者と、そうでないものを明確に区別するもの） ② integrity（完全性、情報の改ざんがなく整合性のとれた正確な情報であること） ③ availability（可用性、アクセス権限を持つ者が、必要な時にいちでも情報にアクセスできること）

Answer 9

・check digit（数学的に計算した数値をデータ末尾に付加し、元データが改ざんされないか確認する統制）・field check（特定のフィールドに入力できるキャラクターのタイプ（数字、英文字、カナなど）を制限する統制）・validity check（予め定められた基準によって妥当なデータのみを許可する統制＜application control：processingの有効性＞・control total（入力したデータの合計値と、処理したデータの合計値を照合する統制）・hash total（例えば処理した従業員の社会保険番号の合計値など、統制のためにだけ取る統計値のこと）

Answer 10

① malware（悪意のあるプログラムの総称） ② DoS攻撃（denial of service、特定のサーバーやウェブサイトに対し大量のデータを送り付け、過剰な負荷をかけて正常に稼働できない状態に追い込む攻撃） ③ phishing（実在する企業を装った電子メールを送信し、偽ウェブサイトに誘導し、暗証番号などを盗み取るもの） ④ spam（迷惑メールの一種で、無差別かつ大量に送付される電子メールのこと） ⑤ cracker（悪意をもって他人のコンピュータに不法に侵入すること） ⑥ social engineering（権限のある利用者などから、心理的な策略によりパスワードなどの情報を盗み取ること） ⑦ piggybacking（他人のwi-fiへの無断接続など）

Answer 11

① identify（特定。脅威を認識し、対応が必要なリスクを特定） ② protect（防御。適切な防御策の検討・実施） ③ detect（検知。催場攻撃の発生を検知） ④respond（対応。検知したサイバー攻撃への対処） ⑤ recover（復旧。サイバー攻撃を受けたデータやサービスの復旧）

Answer 12

① classification & identification of information assets 　→ 企業の持つ情報を重要性や機微性で分類し。管理。 ② thrests, vulnerability, impact & assessment 　→ 分類した情報を、脅威・脆弱性・影響などを考慮し、全体的なリスクを測定。 ③ controlの導入　→ 測定されたリスクへの対応を検討。 ④ residual riskの受け入れ　→ 許容水準を設定。それを越えるリスクについては、厳格なコントロールの導入によって軽減する。

Answer 13

・database administrator（データの保管、DBシステムの保守・運営（DBに関するセキュリティ責任も含む））・system analyst（利用者のニーズ把握、システム設計文書の作成）・programmer（system analystが作成した設計文書をもとに、プログラミング）

Answer 14

``` ・デリバリー方式の分類 ①SaaS (Software as a Service) 　→ 特定のアプリを提供するサービス形態。電子メール、グループウェア、顧客管理DBなど。 ②PaaS (Platform as a service) 　→ アプリの実行環境を提供するサービス。OSやミドルウェアなど。 ③IaaS (Infrastructure as a Service) 　→ 仮想化されたコンピュータ環境を提供するサービス。 ``` ``` ・テナント方式の分類 ①private cloud 　→ 単独の利用者のみが利用。 ②community cloud 　→ 特定の共同利用者のみが共同で利用。 ③public cloud 　→ 不特定多数の利用者が共同で利用。業界・業種を問わず企業・個人に向けてクラウドコンピューティング環境を提供。 ④hybrid cloud 　→ privateとhybridの双方の利点を活かす形で、両方とも利用するもの。例えば、データセンターにパブリッククラウドを、アプリにプライベートクラウド環境を組み合わせることなど。 ```

Answer 15

``` ①利点・ハードの投資や人的リソースを抑制できる。・利用料に応じた課金体系のため、利用コストの無駄が少ない。・どこからでもインタネットを通じてアクセスできる。・メモリやストレージなどの拡張が用意。 ``` ``` ②欠点・データ量によっては、自社内設置よりも利用料が高くなる。・利用企業ごとのカスタマイズの余地が少ない。・サービスベンダーの事業継続性の検証が困難。・サービス品質に絶対ということはなく、バックアップデータが完全に保証されない。・サイバー攻撃の対象となりやすい。 ```

Answer 16

（参考）SOC2レポートの「type1」「type2」。なおSOC3についてはType分類は存在しない。・type1はある一日について評価。・type2では一定の期間（半年以上）について評価。

Answer 17

・SOC1は、受託企業（service organization）の内部統制に関する報告書。・type 1は「特定日における、内部統制の適合性」の報告書。他方、type 2は「ある期間における内部統制の適合性および運用の有効性」の報告書。　→ もし受諾企業（user entity）がtype1レポートを受取った場合、運用の有効性（operating effectiveness）を自ら検証する必要が生じるため、type2レポートの方が望ましい。

Answer 18

・CGとは、企業不祥事の防止、企業価値の増大を目的に「企業経営（経営者）を規律する仕組み」のこと。・RMは、GCを達成するための手段。自社が取るべきリスクの度合いを見極め、応じた事業戦略を策定すること。・ICは、受け入れたリスクに応じ、適当なコントロールを組織内に構築すること。・以上の関係をchain of ends and means（目的と手段の連鎖）という。

Answer 19

・経営者は時に、自己の報酬や名誉の最大化を優先し、株主の利益を相反する行動を取る可能性がある。いわゆる委託者と代理人の利害が必ずしも一致しないといった「agency problem」。・主な対応策は２つ。 ① 株主と経営者の利害の一致　→ モニタリング・システム（株価など市場の評価、社外取締役による監視）、インセンティブ・システム（stock option） ② 情報の非対称性の緩和

Answer 20

・義務は、fiduciary duty。機能は、decison-making functionおよびsupervisory function。 ① nominaring committee（取締役候補者の作成） ② compensation committee（取締役および執行着員の報酬） ③ audit committee（会計監査人の指名、会計監査人からの報告）　→ 原則、全ての委員会の委員は、independent directorである必要。　→ audit comitteeのうち、一人はfinancial expert（NYSE規則では、全員がfinanciallu literateである必要）。

Answer 21

・SOX法は、CGに関し（これまで市場重視型から、）組織重視型へと変化。 ``` ・301条（監査委員会）全員をindependent directorに。・302条（財務報告に関する責任）CEOおよびCFOの宣誓書の提出。・404条（内部統制）ICFRも監査の対象に。・406条（倫理規範）財務担当役員に対する倫理規定の策定・開示。・407条（監査委員会の財務専門家）監査委員会に１人以上の財務専門家。・906条（財務報告に関する刑事責任）20年以下の禁固、500万ドル以下の罰金。 ```

Answer 22

取締役会に報告を行うinternal auditのスタッフ

Answer 23

・Treadway Commissionが、2004年に公表。2017年に改訂。 | ・戦略や事業目的の達成、そして価値の創造と一体をなすリスク管理のフレームワーク。

Answer 24

① governance & culture 　→ 組織のtoneを定め、全社的なRMの重要性を強固にし、RMに関する監督責任を確立。文化は、意思決定に反映。 ② strategy & objective-setting 　→ 組織は「risk appetite」の設定を、戦略の設定と連動して行う。 ③ performance 　→ リスクを識別し、アセスメントを行う。「risk response」を選択し、パフォーマンスへの変化を確認。　→ その際、Business context、Prioritization of risk、Risk severityなどを考慮。 ④ review & revision 　→ 目標に対する実績のレビュー。 ⑤ information, communication & reporting 　→ 内外の情報を収集し、組織全体で共有するプロセス。

Answer 25

① accept（リスクの重大性を変更するための行動を取らない。risk apperiteの中に納まている場合には適切） ② avoid（リスクを除去すえうための行動。製品ラインの廃止、事業部の売却など） ③ pursue（増加したリスクを受入れ） ④ reduce（リスクの重大性を低減するための行動） ⑤ share（外注、保険の購入など）

Answer 26

``` ① human judgement（判断ミス） ② breakdown（機能停止） ③ collusion（社員同士による共謀） ④ cost versus benefit（費用対効果） ⑤ management override（経営者による無効化） ``` （参考） management overrideは不正な目的のため、方針や手続きを無効にすること。他方、management interventionは正当な目的にために、無効にすること。

Answer 27

・Treadway Commissionが、1992年に公表。2013年に改訂。・2009年、Guidance on moniteringを公表。・COSO-ICは、経営者の組織に対する統制力、取締役会のICに対する監督力を強化を目的。（参考）COSO-ERMは、2004年に公表。2017年に改訂。

Answer 28

・objectives ① operations ② reporting ③ compliance ``` ・components ① control enviroment ② risk assessment ③ control activities ④ infomation & communication ⑤ monitering activities ```

Answer 29

・5 components are present and functioning. | ・5 components are operating together in an integrated manner.

Answer 30

``` ① control baseline（現行のICの設計・実施状況を理解） ② change identification（変更の要否を識別）　→ ongoing activities（日常的監視活動）、separate evaluation（個別的評価） ③ change management（変更の設計および導入評価） ④ control revalidation（再検証） ```

BEC _ note 2-2 (IT & corporate governance) Flashcards

(60 cards)