ISMAPから考えるデジタルサプライチェーン管理
クラウドサービスやIoT、AIなどのデジタル技術の発展とともに、新たなセキュリティリスクが生じています。本レポートでは、デジタルサプライチェーンのリスクに焦点を当て、ISMAP（政府情報システムのためのセキュリティ評価制度）を活用した効率的な管理方法を考察します。
システムレジリエンス強化支援
重要性が高まるシステムレジリエンス
ITの進展に伴い、社会や企業においてシステムの利用が急速に広がる中、システムの信頼性を確保し安定したサービスを提供することが一層重要になっています。システム障害が発生した場合、企業は通常通りの業務を行うことが困難になり、顧客に多大な悪影響を与えるリスクがあります。特に、取引先や顧客の定常業務や日常生活にかかわるサービスチャネルシステム、基幹系システムなどにおいて障害が発生した場合には、取引先や顧客の信頼だけでなく、社会全般や株主、監督当局を含めさまざまなステークホルダーからの信頼をも失います。その結果、損害賠償を負ったり、事業や業績に深刻な影響を及ぼしたり、企業価値を著しく棄損するリスクがあります。
システム障害の主な原因
システムの信頼性が不十分であるために、重大なシステム障害が発生してしまった事例は後を絶ちません。障害にはさまざまな原因が考えられますが、例えば、次のような具体例が挙げられます。
構築・変更時
- 障害発生時の切替や自動復旧の挙動の確認が不十分であり、潜在する不具合を発見・対応しないままシステムがリリースされている
- 障害発生時の業務影響分析（BIA）が不十分であるため、実際の業務で満たすべき目標復旧時間に対応できないシステムがリリースされている
保守・運用時
- 障害対応手順を定期的に確認せず、古い手順が見直されないままになっている
- システム運用委託先との間でサービスレベルを明確にしておらず、運用委託先は休日夜間の障害発生に備えた体制を十分に確保していない
障害発生時
- 障害の発生個所や原因分析に必要な情報が収集されていない
- 障害発生時の組織間でのコミュニケーションを十分に考慮しておらず、関係者間で情報伝達の漏れや誤り、認識齟齬などが生じてしまう
レジリエンス強化の着眼点
システム障害など想定外の事象からの回復力あるいは復元力を意味するレジリエンスという概念が注目されています。レジリエンスを強化することで、システム障害発生時に被害の極小化と速やかな回復が可能となります。レジリエンスを高めるためには、システム構築時や平常運用時の取り組みも重要です。
また、昨今は複数のシステムが連携することで提供されるサービスが増えてきており、外部のシステムも含めたサービスのサプライチェーン全体でレジリエンスを考慮しなければなりません。
PwCのサービス
クライアントの状況に応じ、PwCが有するさまざまなサービスメニューをカスタマイズ・組み合わせて支援します。
事業影響度分析
重要業務を特定し、これを維持するために必要な経営資源の整理や、重要業務の目標復旧時間などの検討を支援します。
レジリエンス構築支援
リスクアプローチでレジリエンスに関する現状の取り組み状況を調査・分析し、レジリエンス強化に向けたアクションプランの策定と実行支援を行います。
障害対応の評価
発生したシステム障害への初動対応や恒久対応の有効性および再発防止策の有効性について評価を行い、今後に向けて、障害の予防や早期回復に資する助言を行います。
現行システムの品質評価
システムの障害発生状況、開発・保守プロセス、作成物（設計書等のドキュメント、プログラムなど）を把握し、品質上の問題分析と改善に資する助言を行います。
システム開発プロジェクトの品質評価
システム開発プロジェクトに対して、品質管理プロセスのレビュー、成果物（要件定義書、設計書、プログラム、テストケースなど）のレビュー、テスト工程で発生した障害分析などを行い、品質上の問題分析と改善に資する助言を行います。
※事業影響度分析、レジリエンス構築支援は、ビジネスレジリエンスの強化、システムのレジリエンスに関する診断・分析サービスもご参照ください。また、現行システムおよびシステム開発プロジェクトの品質評価は、プロジェクトアシュアランスサービスもご参照ください。
また、システムレジリエンスの強化を推進するために必要な有識者と診断ツールを有し、クライアントの実状に合わせて支援します。
最新情報
18 results
Loading...
サイバーセキュリティインシデント報告における重要性判断
SECは2023年12月発効の新たなサイバーセキュリティ開示規則により、「重要」と判断されたサイバーインシデントに関する特定の情報の開示を義務付けます。企業が検討すべき、かかる情報の収集から文書化、開示に至るプロセスや手順などについて解説します。
SECの新たなサイバーセキュリティ開示規則 透明性が問われる新たな時代における情報開示への対応
米国証券取引委員会（SEC）は、新たなサイバーセキュリティの開示規則を採択し、2023年12月中旬からの適用を公表しました。このサイバーセキュリティ開示規則は、米国企業のみならず、米国外の企業にも適用されるため、SECに上場している日本企業にも対応が迫られます。
注目が高まるAIと人権リスク―人権マネジメント担当者はどのようにしてAIによる人権リスクに向き合うべきか―
AIの利用が進むにつれて社会に及ぼす負の影響への懸念が増大し、AIの責任ある利用に対する規制当局や機関投資家等ステークホルダーからの要請が高まっています。本稿では、AIが抱えるリスクの取り扱いについて、企業の人権マネジメントの観点から検討します。
Loading...
リスク・アシュアランス部コラム
Loading...
企業価値向上に資するセキュリティガバナンスの実現に向けて ──デジタルガバナンスで捉えるべきサイバーセキュリティ管理態勢
本稿では、企業がDXを進めるための行動指針として経済産業省が定めた「デジタルガバナンス・コード」を前提に、企業価値向上に資するサイバーセキュリティ対応のあり方や、その態勢構築のアプローチについて考察します。
価値創造のためのDX経営の要諦 デジタルガバナンス・コード3.0改訂を踏まえた経営の行動変革
経済産業省の「企業価値向上に向けたデジタル・ガバナンス検討会」での政策背景を踏まえながら、「デジタルガバナンス・コード3.0」への準拠にあたり、日本企業における経営者とDX推進担当者が押さえるべき論点を考察します。
DXバリュードライバーの活用によるDX戦略の具体化──腹落ちしたDXを実現するために必要なデジタルガバナンスとは
多くの企業はDXに取り組む中で、その達成度を図る指標を設けていますが、指針や基準が少ないため、試行錯誤している状況です。DX成果指標にガバナンスを効かせるにあたっての課題や、DX戦略の蓋然性と実効性を高めるためのポイントについて解説します。
Audit Management Officeの組成によるDX監査態勢の強化 ～DX監査を契機とした経営に資するリスクベース監査の実現に向けて～
内部監査部門では、慢性的な監査要員不足に加え、デジタルガバナンスに関する専門的な知識やスキルの不足が課題となっています。これらの課題への打ち手として、内部監査部門に監査推進事務局（AMO：Audit Management Office）を組成することによる、リスクベース監査にも対応できる効率的な監査態勢について考察します。
Loading...
