JP2004295590A - 監査システム、監査方法、監査サーバ及び監査プログラム - Google Patents
監査システム、監査方法、監査サーバ及び監査プログラム Download PDFInfo
- Publication number
- JP2004295590A JP2004295590A JP2003088202A JP2003088202A JP2004295590A JP 2004295590 A JP2004295590 A JP 2004295590A JP 2003088202 A JP2003088202 A JP 2003088202A JP 2003088202 A JP2003088202 A JP 2003088202A JP 2004295590 A JP2004295590 A JP 2004295590A
- Authority
- JP
- Japan
- Prior art keywords
- question
- audit
- assessment
- answer
- terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims description 41
- 238000011156 evaluation Methods 0.000 claims abstract description 24
- 238000004891 communication Methods 0.000 claims abstract description 19
- 238000012550 audit Methods 0.000 claims description 287
- 238000012423 maintenance Methods 0.000 claims description 45
- 239000000284 extract Substances 0.000 claims description 8
- 230000006870 function Effects 0.000 description 28
- 230000008569 process Effects 0.000 description 14
- 230000004044 response Effects 0.000 description 13
- 238000010586 diagram Methods 0.000 description 12
- 238000012545 processing Methods 0.000 description 10
- 238000004458 analytical method Methods 0.000 description 9
- 238000007689 inspection Methods 0.000 description 9
- 230000002776 aggregation Effects 0.000 description 8
- 238000004220 aggregation Methods 0.000 description 8
- 238000007726 management method Methods 0.000 description 8
- 238000003860 storage Methods 0.000 description 6
- 238000002360 preparation method Methods 0.000 description 5
- 238000003745 diagnosis Methods 0.000 description 4
- 230000000694 effects Effects 0.000 description 4
- 230000008520 organization Effects 0.000 description 4
- 238000012937 correction Methods 0.000 description 3
- 238000004364 calculation method Methods 0.000 description 2
- 230000008859 change Effects 0.000 description 2
- 239000012141 concentrate Substances 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 238000003825 pressing Methods 0.000 description 2
- 238000004092 self-diagnosis Methods 0.000 description 2
- 238000000605 extraction Methods 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008707 rearrangement Effects 0.000 description 1
- 238000012502 risk assessment Methods 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Images
Landscapes
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
【課題】監査において、アセスメントの出題アルゴリズムを自動生成するとともに、重み付け集計により複数のアルゴリズム結果の適切な比較表示を行う。
【解決手段】通信ネットワーク５０を介して接続された監査用端末１０とＩＳＯ監査サーバ３０を有するＩＳＯ監査システムであって、ＩＳＯ監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立て、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計するＩＳＯ監査システム。
【選択図】 図２
【解決手段】通信ネットワーク５０を介して接続された監査用端末１０とＩＳＯ監査サーバ３０を有するＩＳＯ監査システムであって、ＩＳＯ監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立て、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計するＩＳＯ監査システム。
【選択図】 図２
Description
【０００１】
【発明の属する技術分野】
本発明は、監査において、アセスメントの出題アルゴリズムを自動生成するとともに、重み付け集計により複数のアルゴリズム結果の適切な比較表示を行う監査システム、方法、サーバ及びプログラムに関する。
【０００２】
【従来の技術】
従来、ＩＳＯ（国際標準化機構、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）監査におけるアセスメントは、監査者個人のノウハウと膨大な準備時間、結果分析時間が必要とされていた。
すなわち、ＩＳＯ条文の十分な理解のもとに、被監査企業属性や対象者属性を考慮して、１つ１つのアセスメント項目を監査の都度作成して行われていた。
また、従来の情報セキュリティ監査システムは、被監査企業の監査対象システム情報の入力をもとにして自動的なセキュリティ診断を提供するものであり（例えば、特許文献１参照。）、人間という監査対象の属性に応じた監査の進行や、人間の回答結果分析の手段を提供するものではなかった。
一方、定量的な情報によって、監査結果を記録および分析することにより、監査の品質や生産性を向上させることのできる監査システムが提案されている（例えば、特許文献２参照。）。
【０００３】
【特許文献１】
特開２００１−２７３３８８号公報
【特許文献２】
特開２００１−３５０９１０号公報
【０００４】
【発明が解決しようとする課題】
しかしながら、このような従来の監査システムを用いても、経験の浅い者が、高い品質で監査を実行することのできるものではなかった。
すなわち、この従来の監査システムによれば、監査結果の分析精度を向上させることはできるが、アセスメントをどのように実施するかということを支援するものではなかった。
【０００５】
本発明は、上記の事情にかんがみなされたものであり、監査において、アセスメントの出題アルゴリズムを自動生成するとともに、重み付け集計により複数のアルゴリズム結果の適切な比較表示を行うことの可能な監査システム、方法、サーバ及びプログラムの提供を目的とする。
【０００６】
【課題を解決するための手段】
上記目的を達成するため、本発明の請求項１記載の監査システムは、通信ネットワークを介して接続された監査用端末と監査サーバを有する監査システムであって、監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信する被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信し、監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を監査サーバに送信する構成としてある。
【０００７】
監査システムをこのような構成にすれば、アセスメントの実施にあたり、履歴ＤＢからそのアセスメントの質問を選択するための情報を抽出するとともに、そのアセスメントに必要な質問を質問ＤＢから抽出して、適切な出題アルゴリズムを自動生成することができる。また、監査用端末からの回答に応じて、以降に出題する質問し、アルゴリズムの組み直しを行うこともできる。
このため、監査者は、監査そのものに集中しながらその進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
また、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。
【０００８】
本発明の請求項２記載の監査システムは、監査サーバが、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信する構成としてある。
【０００９】
監査システムをこのような構成にすれば、質問セット、被監査者の属性、そのアセスメントの重要度などを識別するアセスメントタイプにもとづいて、適切な質問を質問ＤＢから抽出して、出題アルゴリズムを構成することができる。
このため、被監査企業、被監査者等に応じて、適切な出題アルゴリズムを柔軟に構成することが可能となる。
【００１０】
本発明の請求項３記載の監査システムは、監査サーバが、監査用端末から受信した回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する構成としてある。
【００１１】
監査システムをこのような構成にすれば、質問ＤＢにおいて、関連質問が登録されている質問については、監査用端末からの回答に応じて、関連質問を回答したものと擬制し、以降の質問の出題アルゴリズムを組み直すことが可能となる。このため、被監査者の回答にもとづいて、出題アルゴリズムを柔軟に構成することが可能となる。
【００１２】
本発明の請求項４記載の監査システムは、監査サーバが、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計する構成としてある。
【００１３】
監査システムをこのような構成にすれば、自動生成された出題アルゴリズムに従った質問に対する回答を集計するにあたり、各質問項目の配点に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができる。
このため、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベル（アセスメントタイプ）の選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
また、このような重み付けを用いた集計を行うことにより、同一企業内においても被監査者属性ごとのアセスメント実施結果を適切に比較することも可能となる。
【００１４】
本発明の請求項５記載の監査システムは、監査サーバが、評価軸ごとの集計結果を、少なくとも一覧表またはグラフの形式により表示する構成としてある。
監査システムをこのような構成にすれば、各評価軸のバランスを一覧表やグラフにより表示することができる。
このため、ＩＳＯの求めるトータルなマネジメントの基準中、どの領域が問題かを一目で判断することが可能となる。
【００１５】
本発明の請求項６記載の監査システムは、監査サーバが、監査用端末から受信した企業属性、または対象者属性にもとづいて、企業ＤＢから当該企業属性、または対象者属性を有する企業または対象者を抽出し、この抽出した企業または対象者のアセスメント実施結果を履歴ＤＢから抽出して、評価軸ごとの得点を集計する構成としてある。
【００１６】
監査システムをこのような構成にすれば、他の企業とのアセスメント実施結果の比較が行えるのみならず、同一企業内においても、担当者や組織によるセキュリティ意識の違いなどを、グラフおよび各回答内容の参照により比較分析することができる。
このため、同一企業内におけるこのような矛盾点を明確化することが可能となる。
また、過去の結果とグラフ上での比較ができるため、セキュリティ基準のレベルの推移を一目で確認することが可能となる。
さらに、業種／業界別や、組織属性別などに、結果を集計してグラフで比較することも可能となる。
【００１７】
本発明の請求項７記載の監査システムは、監査サーバに、通信ネットワークを介してメンテナンス用端末が接続され、当該メンテナンス用端末が、メンテナンス対象となる質問項目に対応するＩＳＯの条文番号を監査サーバに送信するとともに、監査サーバから受信した質問項目編集画面を表示し、かつ、編集入力された質問項目を監査サーバへ送信し、監査サーバが、メンテナンス用端末から受信した条文番号にもとづいて、質問ＤＢを検索し、当該条文番号に対応する質問項目が存在する場合は、この質問項目を表示した質問項目編集画面を、当該条文番号に対応する質問項目が存在しない場合は、ブランク表示の質問項目編集画面を、メンテナンス用端末に送信し、かつ、メンテナンス用端末から受信した編集入力された質問項目を質問ＤＢに保存する構成としてある。
【００１８】
監査システムをこのような構成にすれば、ＩＳＯ条文ごとの質問を、メンテナンス用端末から容易に作成し、編集して、監査サーバに登録することが可能となる。
そして、このようにして作成・編集した質問項目を、上述の出題アルゴリズムの生成や組み直しを通じて、アセスメントにおいて利用することが可能となる。
【００１９】
本発明の請求項８記載の監査方法は、通信ネットワークを介して接続された監査用端末と監査サーバを用いた監査方法であって、監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信し、監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を監査サーバに送信する方法としてある。
【００２０】
監査方法をこのような方法にすれば、監査者は、熟練者の監査ノウハウを反映して監査サーバにより自動生成される出題アルゴリズムに従って、アセスメントを実行することができる。
このため、経験の浅い監査者であっても、熟練者と同じ品質で、監査を行うことが可能となる。
【００２１】
本発明の請求項９記載の監査方法は、監査サーバが、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信し、監査用端末が、受信した質問項目に対する回答を、監査サーバに送信し、監査サーバが、受信した回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する方法としてある。
【００２２】
監査方法をこのような方法にすれば、監査サーバに、監査者により選択され、履歴ＤＢに登録された質問タイプを有する質問セットのうち、被監査者の属性や、そのアセスメントの重要度等にもとづき抽出された質問により構成された出題アルゴリズムに従って、アセスメントを実行することができるとともに、被監査者からの回答に応じて、その出題アルゴリズムを組み直すことができる。
このため、監査者は、従来のように出題アルゴリズムの作成に時間を取られることがないため、監査そのものに集中することができ、監査の質を向上させることが可能となる。また、周到な準備時間や監査ノウハウがない監査者がアセスメントを実施しても、アセスメント結果の出力内容に差が出ないという効果も得られる。
【００２３】
本発明の請求項１０記載の監査方法は、監査サーバが、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計する方法としてある。
【００２４】
監査方法をこのような方法にすれば、アセスメント実施結果の集計に、重み付け配点を考慮することができる。
このため、熟練者の監査ノウハウを出題アルゴリズムの生成に、より効果的に取り入れることが可能となるとともに、被監査者間の比較をより適切に行うことが可能となる。
【００２５】
本発明の請求項１１記載の監査サーバは、通信ネットワークを介して、監査用端末に監査のための質問およびアセスメント実施結果を送信する監査サーバであって、重み付けや配点情報を含んだ質問データを格納する質問ＤＢと、アセスメント実施結果としての回答データを格納する履歴ＤＢと、監査を行う監査者情報を格納する会員ＤＢと、監査用端末から受信した会員ＩＤおよびパスワードにもとづいて会員ＤＢを検索し、当該会員ＩＤおよびパスワードが会員ＤＢに登録されているか否かにより認証を実行する会員認証部と、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信するアセスメント実行部と、監査用端末からの要求にもとづいて、アセスメント実施結果を表示するアセスメント集計画面を監査用端末に送信する結果表示部と、を有する構成としてある。
【００２６】
監査サーバをこのような構成にすれば、熟練者の監査ノウハウを取り込んだ出題アルゴリズムを自動生成することができる。
このため、監査の準備や、監査スキルの違いにより、監査者間でアセスメント実行結果に差が生じる事態を防止し、質の高い監査を短期間で実施することが可能となる。
【００２７】
本発明の請求項１２記載の監査サーバは、アセスメント実行手段が、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索し、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出して、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信し、監査用端末から受信した質問項目に対応する回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する構成としてある。
【００２８】
監査サーバをこのような構成にすれば、質問タイプ、被監査者の属性、アセスメントの重要度などにもとづいて、質問ＤＢから問題を抽出して出題アルゴリズムを構成することができるとともに、回答にもとづいて、その出題アルゴリズムを再構成することができる。
このため、監査の重要度や、被監査者の状況等に応じた出題アルゴリズムを、その回答内容も考慮して、柔軟に構成することが可能となる。
【００２９】
本発明の請求項１３記載の監査サーバは、結果表示部が、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計して、少なくとも一覧表またはグラフを作成し、この一覧表またはグラフを監査用端末に送信する構成としてある。
【００３０】
監査サーバをこのような構成にすれば、被監査者の属性などに応じて、質問項目等に重み付けを設定することができる。また、この重み付けを考慮して、集計結果を一覧表やグラフに表示することができる。
このため、被監査者の属性ごとの差異を際だたせることができ、被監査者間の意識のズレなどを明確に把握することが可能となる。
【００３１】
本発明の請求項１４記載の監査プログラムは、監査用端末に、監査のための質問およびアセスメント実施結果を、通信ネットワークを介して監査用端末へ送信させる監査プログラムであって、監査サーバに、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索させて、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出させ、この抽出させた質問項目を質問番号順に並び替えさせて監査用端末に送信させ、監査用端末から受信した質問項目に対応する回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直させ、この組み直させた出題アルゴリズムに従い質問を監査用端末に送信させるとともに、回答および擬制した回答を履歴ＤＢに保存させる構成としてある。
【００３２】
監査プログラムをこのような構成にすれば、監査サーバに、質問タイプ、被監査者の属性、アセスメントの重要度などにもとづいて、質問ＤＢから問題を抽出させて出題アルゴリズムを構成させることができるとともに、回答にもとづいて、その出題アルゴリズムを再構成させることができ、監査の重要度や、被監査者の状況等に応じた出題アルゴリズムを、その回答内容も考慮して、柔軟に構成させることが可能となる。
【００３３】
本発明の請求項１５記載の監査プログラムは、監査サーバに、監査用端末から受信させた回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算させ、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計させる構成としてある。
【００３４】
監査プログラムをこのような構成にすれば、監査サーバに、被監査者の属性などに応じて、質問項目等に重み付けを設定させ、この重み付けを考慮して、集計結果を一覧表やグラフに表示させることができるため、被監査者の属性ごとの差異を際だたせ、被監査者間の意識のズレなどを明確に把握することが可能となる。
【００３５】
【発明の実施の形態】
以下、本発明の実施形態につき、図面を参照して説明する。
［第一実施形態］
まず、本発明の第一実施形態のＩＳＯ監査システムの運用について、図１を参照して説明する。同図は、本実施形態のＩＳＯ監査システムの概略図である。
なお、以下の実施形態において、ＩＳＯ監査システムは、ＩＳＯ１７７９９の監査を実行するものとしているが、これに限定されるものではなく、他の監査や、他のバージョンのＩＳＯ監査にも適用することができる。
【００３６】
同図に示すように、監査者はアセスメントを実施するにあたり、ＩＳＯ監査システムのアセスメント実行機能を用いて、被監査者に対してヒアリングを実施して、セキュリティ診断およびアドバイス等を行う。
このヒアリングにあたっては、本システムより予め提供されたＩＳＯ１７７９９に関する質問項目を利用するか、あるいは新たに質問項目を設定して、これを利用することができる。質問項目には、被監査企業の属性と対象者属性による重み付けと、ＩＳＯ条文内での質問としての重要度の設定が可能である。
監査者は、このＩＳＯ監査としてのアセスメント実施に際して、被監査企業の業種や社員数などの属性を本システムに登録し、さらに被監査者の所属や役職などの被監査者属性を登録する。
【００３７】
そして、ヒアリングにおいては、被監査企業属性、被監査者属性、および予め設定された質問項目への重み付けにもとづき作成された出題アルゴリズムにより、質問が展開される。また、各アセスメント開始時にアセスメントのレベルを選択することにより、全質問項目による詳細なアセスメントか、重要な質問のみの簡易なアセスメントかの切り分けに応じた、質問展開が行われる。さらに、質問項目やその重み付け，重要度等については、ＩＳＯ監査システムにおけるアセスメントメンテナンス実行機能により追加，変更，削除等を行うことができる。
【００３８】
被監査企業における被監査者に対する一通りのアセスメントが終了すると、回答結果は、本システムにより提供されている、あるいは監査者により設定された評価軸と質問事項への配点にしたがって集計され、グラフおよび一覧形式で表示される。
この評価軸とは、集計の際に、得点をどのカテゴリーに分類するかを示すものであり、例えば、ＩＳＯ自体の条文の章のタイトルそのもの（１．セキュリティポリシー，２．セキュリティ組織，・・・，９．アクセス制御等）を用いることができる。その他、セキュリティ上にあげられるリスク分析の観点からの評価軸（情報資産，脆弱性，脅威等）を挙げることもできる。
また、ＩＳＯ監査システムにおけるこれらのアセスメント実行機能、アセスメントメンテナンス実行機能、およびアセスメント実施結果集計機能への利用権限は、会員管理システムなどにおいて管理される会員情報にもとづく会員認証機能により制限されている。
【００３９】
［ＩＳＯ監査システム］
次に、本発明の第一実施形態におけるＩＳＯ監査システムの構成について、図２を参照して説明する。同図は、本実施形態のＩＳＯ監査システムの構成を示すブロック図である。
図２に示すように、本実施形態のＩＳＯ監査システムは、監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０，データベース装置４０，通信ネットワーク５０を有している。
【００４０】
［監査用端末１０］
監査用端末１０は、アセスメントの実施に用いられる端末であり、パーソナルコンピュータや、携帯電話、ＰＨＳ、ＰＤＡ等とすることができる。
この監査用端末１０は、通信ネットワーク５０を介してＩＳＯ監査サーバ３０からアセスメント実行画面や、アセスメント集計結果画面等を受信するとともに、質問項目に対する回答などを入力し、ＩＳＯ監査サーバ３０に送信する。
【００４１】
［メンテナンス用端末２０］
メンテナンス用端末２０は、質問項目や重み付けの設定に用いられる端末であり、監査用端末１０と同様に、パーソナルコンピュータや、携帯電話、ＰＨＳ、ＰＤＡ等とすることができる。
このメンテナンス用端末２０は、通信ネットワーク５０を介してＩＳＯ監査サーバ３０からアセスメントメンテナンス画面などを受信するとともに、新規アセスメント情報や既存アセスメントの質問項目の修正情報等を入力し、ＩＳＯ監査サーバ３０に送信する。
【００４２】
［ＩＳＯ監査サーバ３０］
ＩＳＯ監査サーバ３０は、プログラム制御により動作し、会員認証，アセスメントの実行，アセスメントメンテナンス，アセスメント実施結果表示等を実行する情報処理装置であり、例えば、ワークステーションやサーバ、パーソナルコンピュータ等を用いることができる。
このＩＳＯ監査サーバ３０は、図２に示すように、会員認証部３１，アセスメント実行部３２，結果表示部３３，アセスメントメンテナンス実行部３４を有している。
【００４３】
［会員認証部３１］
会員認証部３１は、利用できる監査者を限定する。
すなわち、監査用端末１０から送信されてきた会員ＩＤおよびパスワードにもとづいて、会員ＤＢ４４を検索し、アセスメント実行部３２，結果表示部３３，アセスメントメンテナンス実行部３４による各機能を利用することができるかどうかを判断する。
このとき、会員ＤＢ４４は、各会員ごとに、上記各機能の利用権限情報を備えた会員属性情報を有しており、会員認証部３１は、これにもとづき各会員の利用端末（監査用端末１０）に利用可能な機能を表示し、以降認証された利用者はその機能の利用が可能となる。
【００４４】
［アセスメント実行部３２］
アセスメント実行部３２は、被監査者に対するアセスメントを実施する。
このアセスメント実行部３２は、アセスメントの実施に必要な被監査企業属性の管理機能，アセスメント実行機能，アセスメント履歴管理機能を備えている。被監査企業属性管理機能は、被監査企業の企業名、住所、電話などの基本情報の他に、業種や人員数など、アセスメントアルゴリズムや回答の重みづけに影響を与える属性も含めて、企業ＤＢ４３に格納し、検索、参照する。
アセスメント実行機能は、企業ＤＢ４３に登録されている企業から選択した被監査企業と、その中の監査対象となる人物の所属部署や役職などの個人属性と、実施する監査またはアセスメントの重要度のレベル情報とから、質問項目の重みづけを考慮したアセスメントのアルゴリズムを生成し、質問ＤＢ４１に格納された質問項目をアルゴリズムに従って監査用端末１０に表示する。また、その際、監査用端末１０から入力された被監査者の回答を、履歴ＤＢ４２に保存する。
アセスメント履歴管理機能は、履歴ＤＢ４２上に格納されたアセスメント実施結果と、企業ＤＢ４３に格納された企業情報と、質問ＤＢ４１に格納された質問情報から、各企業で行われたアセスメントの履歴情報を検索、参照する。
【００４５】
［結果表示部３３］
結果表示部３３は、アセスメント実施結果を集計表示する。
すなわち、結果表示部３３は、履歴ＤＢ４２に格納された一回のアセスメントの回答群を、質問ＤＢ４１に登録されている配点にもとづき評価軸ごとに集計し、監査用端末１０に一覧表とグラフ形式で表示する。また、アセスメント実行部３２のアセスメント履歴管理機能と連携して、過去のアセスメント実施結果を同時に表示し、視覚的な比較を実現する。
【００４６】
［アセスメントメンテナンス実行部３４］
アセスメントメンテナンス実行部３４は、質問項目やその重み付け、配点を設定する。
すなわち、アセスメントメンテナンス実行部３４は、アセスメントの質問内容を質問ＤＢ４１に登録、修正する。このとき、一回のＩＳＯ１７７９９監査の中で質問すべき全項目について、質問の該当するＩＳＯ１７７９９条文内の章・節、質問内容文、回答の選択肢、各回答選択肢の配点、質問自体の重み付け、質問の対象となる被監査者属性、関連質問項目を設定し、質問セットとして質問ＤＢ４１に登録する。質問セットは、登録する利用者（監査者など）のノウハウや、アセスメントを実施する対象企業属性など、様々な状況に合わせていくつでも登録し、利用することができる。
【００４７】
［データベース装置４０］
データベース装置４０は、ＩＳＯ監査サーバ３０により使用される記憶装置である。このデータベース装置４０は、図２に示すように、ＩＳＯ監査サーバ３０の外部記憶装置とするほか、ＩＳＯ監査サーバ３０内に保有させるようにしてもかまわない。
データベース装置４０は、同図に示すように、質問ＤＢ４１，履歴ＤＢ４２，企業ＤＢ４３，会員ＤＢ４４を有している。この企業ＤＢ４３や会員ＤＢ４４を本発明のＩＳＯ監査システムとは、別個に管理される会員システムなどで利用されているものを用いるようにしてもかまわない。
【００４８】
質問ＤＢ４１は、重み付けや配点情報を含んだ質問データを格納する。そのデータ構造は、例えば、アセスメント名，質問タイプ，質問セットガイド説明文，質問セット利用許可者属性，質問番号，条文番号，質問文，対象者属性，重要度レベル，回答選択肢，配点，重み付け（配点または係数），評価軸，関連質問等とすることができる。質問番号，条文番号，質問文，対象者属性，重要度レベル，回答選択肢，配点，重み付け（配点または係数），評価軸，関連質問等は、複数登録することができる。
履歴ＤＢ４２は、アセスメント実施結果としての回答データを格納する。
そのデータ構造は、例えば、履歴番号，ステータス，アセスメント名，バージョン，開始日，最終回答日，中断質問番号，被監査者属性，質問タイプ，アセスメントタイプ，質問番号，回答内容，得点，合計点，表示タイプ等とすることができる。質問番号，回答内容，得点等は、複数登録することができる。
企業ＤＢ４３は、被監査企業情報を格納する。例えば、企業ＩＤ，各種企業属性情報，被監査者ＩＤ，各種被監査者属性情報等とすることができる。被監査者ＩＤ，各種被監査者属性情報等は、複数登録することができる。
会員ＤＢ４４は、本システムを利用可能な監査者情報を格納する。例えば、会員ＩＤ，パスワード等とすることができる。
【００４９】
通信ネットワーク５０は、従来公知の任意好適な公衆回線、商業回線又は専用回線を用いることができる。また監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０のそれぞれの間においては、同一又は別個の通信回線で構成することができる。
さらに、通信ネットワーク５０は、監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０のそれぞれの間を、無線あるいは有線で接続可能な回線であり、例えば、公衆回線網、専用回線網、インターネット回線網及びイントラネット網により構成することができる。
【００５０】
次に、本実施形態のＩＳＯ監査システムにおける処理手順について、図３〜図６を参照して説明する。図３は、本システムにおけるアセスメント実行処理手順を示す動作手順図である。図４，図５，図６は、それぞれ本システムにおけるアセスメント履歴画面および監査情報画面，アセスメント実行画面，アセスメント集計結果表示画面を示す図である。なお、図３において、スタートが「監査用端末１０（ＩＳＯ監査サーバ３０）」となっているが、これは、入出力端末として監査用端末１０が使用され、処理の実行主体がＩＳＯ監査サーバ３０であることを意味しており、以下に示す各処理の実行は、監査用端末１０、ＩＳＯ監査サーバ３０、およびデータベース装置４０が協働して行っている。この表示形態は、以降に示すフローチャートにおいても同様である。
【００５１】
まず、アセスメント開始時に、利用者の操作により、監査用端末は、監査システム利用のための認証情報を入力し、ＩＳＯ監査サーバ３０の会員認証部３１は、その認証機能により、会員ＤＢ４４上の情報から利用者を識別し、アセスメント機能の利用が可能かどうかを判断する（図３のステップＡ１）。この認証は、会員ＩＤおよびパスワードにもとづいて行うようにすることができる。
そして、認証が成功した場合、アセスメント実行部３２は、アセスメント実行画面（検索／選択／登録用）を表示する（ステップＡ２）。
【００５２】
次に、監査用端末１０からの入力情報にもとづいて、ＩＳＯ監査サーバ３０は、監査対象の企業情報を検索する（ステップＡ３）。一般に、企業ＤＢ４３上に複数企業が登録され、履歴ＤＢ４２上に複数のアセスメント実施結果が保存されているが、それぞれを参照できる範囲は、ステップＡ１の認証機能を経由した監査者ごとに限定される。すなわち、ステップＡ３における企業情報の検索は、この権限の範囲で可能となる。さらに、ステップＡ３では新規に対象企業情報を登録することが可能である。
【００５３】
対象企業を絞った後、その企業の過去の監査において実行されたアセスメント履歴を検索することができる（ステップＡ４）。このとき、監査用端末１０からの要求にもとづいて、ＩＳＯ監査サーバ３０のアセスメント実行部３２は、そのアセスメント履歴管理機能により、対象企業の企業ＩＤにもとづいて、履歴ＤＢ４２と質問ＤＢ４１から過去に実行したアセスメントのメタ情報（監査情報，アセスメント対象者，利用した質問のタイプ（質問セットＩＤ等）など）を抽出し、監査用端末１０に一覧表示する。図４は履歴一覧が表示されたアセスメント履歴画面を示す図である。
また、アセスメント内の１つ１つの質問への回答やその集計結果は、結果表示部３３により、ステップＡ１１において監査用端末１０に表示される。
【００５４】
ステップＡ５のアセスメント実行は、新規のアセスメント登録（ステップＡ６）、または、中断中のアセスメントの再開（ステップＡ７）のいずれかの指示により動作する。
ステップＡ６の新規アセスメント情報登録は、まず、監査用端末１０によるアセスメントのメタ情報（日時などの監査情報，アセスメント対象者，利用する質問のタイプ（質問セットＩＤ等），アセスメントタイプ（重要度等）など）の入力情報を、ＩＳＯ監査サーバ３０のアセスメント実行部３２が、履歴ＤＢ４２に登録する。そして、ステップＡ８のアセスメントの全質問に対する回答が終了するか、監査用端末１０から中断の指示が出されるまで、この登録を繰り返し実行する。
【００５５】
また、ステップＡ７のアセスメント途中再開において、アセスメント実行部３２は、履歴番号等にもとづいて、履歴ＤＢ４２上に保存されている中断アセスメントのメタ情報と中断情報を検索して抽出し、ステップＡ８を呼び出す。この中断情報とは、いつ、誰が、どこまでの回答を行った状態かという情報と、「終了」または「中断」の監査進捗管理的なステータス情報を意味するものである。
図４に示す監査情報画面は、このステップＡ７の処理によって表示される画面であり、同図における「アセスメント開始」を押下すると、アセスメント途中再開要求が、監査用端末１０からＩＳＯ監査サーバ３０へ送信され、ＩＳＯ監査サーバ３０のアセスメント実行部３２が、ステップＡ８の処理を実行する。
【００５６】
このステップＡ８のアセスメントの実行にあたり、アセスメント実行部３２は、履歴ＤＢ４２に登録された今回のアセスメント情報と、質問ＤＢ４１上にあらかじめ登録されているＩＳＯ１７７９９条文に関連する質問情報と、監査用端末１０から入力される被監査者の回答とにもとづいて、出題アルゴリズムの組み立てを行う。
すなわち、ステップＡ９において、アセスメント実行部３２は、質問ＤＢ４１上に登録されている複数の質問セットから、ステップＡ６で選択された質問セットを検索し、この質問セットにおける各質問属性にもとづいて、アセスメント対象者、および今回のアセスメントタイプに合致した質問項目を抽出して、質問番号順に質問内容を監査用端末１０に表示する。図５は質問項目と回答選択肢が表示され、回答を入力後に次の質問表示を指示するアセスメント実行画面（回答用）を示している。
【００５７】
ここで、出題アルゴリズムの組み立てについて、具体例を用いて説明する。
監査の対象者情報として、企業ＤＢ４３に、「情報システム部門」，「ライン部門」，「スタッフ部門」，「トップ（経営者）」が登録されていたとすると、被監査者の属性が総務担当者であった場合は、ステップＡ３の対象企業検索において、企業ＩＤ等にもとづいて当該企業の登録情報を企業ＤＢ４３から検索して抽出し、「スタッフ部門」を選択する。
さらに、アセスメント実行画面（検索／選択／登録用）上で、重要度を示す「Ａ．大変重要なもののみ」，「Ｂ．比較的重要なものを含む」，「Ｃ．全て」の各項目のうち、「Ａ」を選択する。
ＩＳＯ監査サーバ３０のアセスメント実行部３２は、上記「スタッフ部門」および「Ａ」の入力情報にもとづいて、質問ＤＢ４１から「スタッフ部門」属性をもつとともに、重要度「Ａ」に該当する質問セット群の質問だけを抽出して出題する。
【００５８】
次に、重要度「Ａ」に該当する質問セット群の質問だけを抽出して出題する処理について、具体例を用いて説明する。
この説明において、重要度の設定基準として、一問あたりの配点が、７．５点以上の場合は「Ａ」と、５点以上７．５点未満の場合は「Ｂ」とする。
また、条文３．１．１は、満点が１５点であり、次の３つの設問から構成されるものとする。
設問１ ある（５点），ない（０点），わからない（５点）
設問２ している（５点），していない（０点），わからない（５点）
設問３ 明確である（５点），不明確である（０点），わからない（５点）
また、条文３．１．２は、満点が１５点であり、次の２つの設問から構成されるものとする。
設問１ している（５点），していない（０点），わからない（５点）
設問２ 明確である（１０点），不明確である（０点），わからない（５点）
【００５９】
この場合、条文３．１．１の質問セット群と条文３．１．２の質問セット群は、どちらも満点が１５点であるが、一問あたりの配点は、条文３．１．１が５点、条文３．１．２が７．５点となるため、条文３．１．１は重要度「Ｂ」、条文３．１．２は重要度「Ａ」と判定される。
したがって、この場合は、条文３．１．１の質問は、抽出されず、条文３．１．２の質問は抽出され、出題されることとなる。
なお、この例の場合は、重要度を配点にもとづいて算出する方法としたが、質問ＤＢ４１に各質問ごとに重要度情報をもたせ、この重要度情報にもとづいて、上記抽出および出題処理を実行することが可能であることはいうまでもない。
【００６０】
次に、ステップＡ１０では、監査用端末１０から出題された質問への回答が入力されると、アセスメント実行部３２は、回答内容が影響する質問番号情報に従って出題アルゴリズムを組み直し、監査用端末１０に表示すると同時に、回答内容を履歴ＤＢ４２に保存する。
ここで、出題アルゴリズムを組み直しについて、具体例を用いて説明する。
例えば、ステップＡ３において、対象企業の検索／選択／登録を行う際に、オプションとして、「効率的なアセスメント」を選択可能とするとともに、あらかじめ質問ＤＢ４１には、各質問への回答時の関連質問を登録しておくことで、回答内容によって、同じ観点からの質問をスキップするようにすることができる。
【００６１】
具体的には、質問「９−１３：パスワードの重要性、更新ルール等を利用者は知っているか。」に対して、回答１「知っており、遵守されている」が選択された場合は、以降に９−１３との関連が設定されているパスワードの利用に関する質問、例えば、「９−１６：パスワードは、他人が想像し得ない６文字以上の文字＋数字を実現しているか」や、「９−１７：パスワードの定期的な変更を実践しているか」を回答済み（肯定回答）としてスキップする。
回答２「知っているが遵守できていない」が選択された場合は、以降のパスワード利用に関する質問をスキップしない。
回答３「知らない」が選択された場合は、上記質問「９−１６」や「９−１７」を回答済み（否定回答）としてスキップする。
ただし、出題アルゴリズムを組み直しとして、このような効率的なアセスメントを用いた場合、回答内容間の矛盾がシステムにより自動的に排除されてしまうため、時間をかけずに簡易な監査を実施したい場合にのみ選択することが好ましい。
【００６２】
ステップＡ１１において、ＩＳＯ監査サーバ３０の結果表示部３３は、履歴ＤＢ４２に保存されたアセスメントに対する１つ１つの回答を、質問ＤＢ４１上の評価軸と、各質問項目の回答に設定されている配点に従って集計し、一覧表およびグラフの形式で表示する。
この集計は、各質問項目の属するＩＳＯ１７７９９条文の章・節ごとの重み付け配点と、章・節内での各質問項目のレベルに対する重み付け配点と、質問への回答に設定されている配点とを加味した計算式により行われる。この重み付け配点は、質問ＤＢ４１に登録されている「重み付け」をそのまま用いるのみならず、所定の属性に出題された場合にのみ適用したり、所定の属性に出題された場合には、１．５倍等にするなどといった制御を行うことができる。さらに、アセスメントタイプなどとして指定された監査の重要度に応じて、重み付け配点を使用したり、その大きさを制御することもできる。また、章・節ごとの重み付け配点は、質問ＤＢ４１とは、別個のテーブルに記憶させておくこともできる。
これにより、評価軸同士のグラフ上での表現を、平準化して行うことが可能となる。図７は、アセスメント回答を集計した一覧表とグラフを表示したアセスメント集計結果表示画面である。
【００６３】
ここで、集計処理について、次の具体例を用いて説明する。
【００６４】
この場合、被監査者が、スタッフ部門である場合には、Ａ章の条文ａ１の設問２の肯定的回答の配点を２倍とすることが、質問ＤＢ４１において、条文ａ１の設問２の属性情報として保有され、また、この場合、Ｂ章におけるすべての条文の設問について、肯定的回答の配点を１．５倍とすることが、質問ＤＢ４１のＢ章における設問の属性情報として保有されている場合、Ａ章の条文ａ１の設問２、およびＢ章の配点は、次のように重み付け換算される。
【００６５】
このとき、Ａ章の条文ａ１の設問１，設問２，Ｂ章の条文ｂ１の設問１，設問２の順に、回答として、「していない，している，わからない，している」が得られた場合、その得点は、重み付けを行わないときの配点によれば、「０，５，−５，５」となり、条文ａ１は、１０点満点中５点で５０点と、条文ｂ１は、１０点満点中０点で０点となる。
一方、上記のような重み付けが行われたときの配点によれば、その得点は、「０，１０，−５，７．５」となり、条文ａ１は、１５点満点中１０点で６７点と、条文ｂ１は、１５点満点中２．５点で１７点となる。
【００６６】
このような重み付けを用いた集計を行うことにより、属性ごとの差異をはっきりと現すことが可能となる。すなわち、被監査者の企業属性（業界・業種や規模など）や、企業内の組織属性（総務，ライン，情報システム部門など）によって、監査の観点から検討したい項目が異なっている場合に、より適切な質問、およびその集計を行うことが可能となる。特に、ネットワークセキュリティに関しては、情報部門と一般部門における意識の違いや、セキュリティの重要度とその担当者の意識のズレなどをはっきりとさせるために、重み付けによる比較を行うことが極めて有効である。
【００６７】
さらに、ステップＡ４において表示するアセスメント履歴一覧から、ステップＡ１１を呼び出すことにより、アセスメント実施結果としての一覧表およびグラフ表示の際に、他のアセスメント履歴の結果との比較表示が可能である。
すなわち、図４に示すアセスメント履歴画面における「結果」を押下することによって、アセスメント集計画面表示要求が、監査用端末１０からＩＳＯ監査サーバ３０に送信され、ＩＳＯ監査サーバ３０の結果表示部３３は、図６に示すようなアセスメント集計結果表示画面を表示する。
また、図６のアセスメント集計結果表示画面の「比較グラフ」におけるプルダウンを押下することにより、結果表示部３３は、履歴ＤＢ４２から同一企業内の同一部署または他の部署において実施されたアセスメントの履歴一覧を表示し、選択された履歴の一覧表やグラフを表示する。
【００６８】
次に、図７を参照して、アセスメントメンテナンスについて説明する。まず、監査者などの利用者により、メンテナンス用端末２０は、アセスメントメンテナンス利用のための認証情報を入力して、ＩＳＯ監査サーバ３０の会員認証部３１による会員認証を実行する（ステップＢ１）。
会員認証部３１は、会員ＤＢ４４上の情報から利用者を識別し、メンテナンス機能の利用が可能かどうか判断後、利用可能である場合は、アセスメントメンテナンス画面を表示する（ステップＢ２）。そして、新規に質問セットを登録するか、既に登録されている質問情報をメンテナンスするかの選択を行う。
新規に質問セットを登録する場合は、利用者の入力により、アセスメントメンテナンス実行部３４が、新たな質問セットを他の質問セットと識別するための属性として、アセスメント名と、アセスメント時に利用する質問セットの選択のガイドとなる説明文、該当質問セットの利用を許可する利用者属性などの情報を、質問ＤＢに登録する（ステップＢ３）。そして、ステップＢ５において、質問セットを構成する１つ１つの質問の登録を繰り返す。
【００６９】
ステップＢ２において、既に登録されている質問情報をメンテナンスすることが選択された場合は、既存質問セット内の質問項目属性修正のため、ステップＢ５を呼び出す（ステップＢ４）。ただし、この修正は、監査アセスメントで未使用の質問項目にのみ可能であり、既に履歴ＤＢ４２上に利用情報が登録されている質問セットの修正は不可となるよう制御することが好ましい。
その方法としては、ステップＢ６の質問検索において、その質問番号などの質問を識別するための情報が、履歴ＤＢ４２に登録されているかどうかを検索して確認し、登録されている場合には、修正／削除ができないことをメッセージ表示するようにすることなどができる。
【００７０】
次に、ステップＢ５の質問項目メンテナンスにおいて、ＩＳＯ監査サーバ３０のアセスメントメンテナンス実行部３４は、ＩＳＯ１７７９９条文の章・節の検索と、それに属する質問項目の検索および属性の表示と、質問項目属性の質問ＤＢ４１への登録を行う。
具体的には、ステップＢ６において、ＩＳＯ１７７９９条文そのものをＸＭＬ形式で格納する条文ＤＢから条文構成を階層表示し、メンテナンス用端末２０からメンテナンス対象となる質問項目の属する章・節番号を入力する。
【００７１】
次に、アセスメントメンテナンス実行部３４は、入力した章・節番号に属する質問項目の有無を、質問ＤＢ４１を検索して確認し、存在する場合、その質問項目を編集可能な状態でメンテナンス用端末２０に表示する。存在しない場合は、ブランク状態のアセスメントメンテナンス画面（質問項目属性入力画）を表示する（ステップＢ６）。
次に、このアセスメントメンテナンス画面から、質問項目属性として、質問文、質問対象者属性、重要度レベル、集計時の評価軸、回答選択肢群、各回答配点などを入力し、対応するＩＳＯ１７７９９条文の章・節情報と併せて質問ＤＢ４１に登録する（ステップＢ７）。図８は、このアセスメントメンテナンス画面の例を示している。
なお、同図に示すように、ＩＳＯの監査においては、Ｙｅｓ／Ｎｏでは回答できない部分が多いため、回答の選択肢として、「分からない」や対象外の回答を設定可能とすることが好ましい。
【００７２】
以上説明したように、本実施形態のＩＳＯ監査システムによれば、質問項目に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができ、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベルの選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
このため、監査者は、監査そのものに集中しながら進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
【００７３】
また、本実施形態のＩＳＯ監査システムによれば、監査の精度をあげることができる。すなわち、被監査者の属性に応じて、アセスメントで出題される質問内容と、回答に対する配点とに重み付けを考慮することができるため、同一企業内においても被監査者属性ごとに内容の濃い回答を得ることが可能となる。また、回答の集計が回答数ではなく、重み付けによる配点で行われるため、同一被監査組織内における複数人物の監査結果の比較、分析を定量的に行うことが可能となる。
【００７４】
さらに、ＩＳＯ監査のアセスメント実施結果を即時に表示することにより、短時間での診断を行うことが可能となる。すなわち、アセスメントによる得点は、質問ＤＢ４１上のＩＳＯ条文に設定した配点と、回答を即時に格納する履歴ＤＢ４２上のデータとにより自動集計することができ、回答直後に集計結果の一覧表示およびグラフ表示を行うことができる。このため、過去の同一部署におけるアセスメント実施結果や、同一企業内の他の部署におけるアセスメント実施結果との比較グラフも即時に表示可能なため、情報セキュリティレベルやポリシー遵守レベルの比較診断を、その場で即時行うことが可能となる。
【００７５】
また、本実施形態のＩＳＯ監査システムによれば、周到な準備時間や監査ノウハウが無い監査者がアセスメントを実施しても、アセスメント実施結果の出力内容に差がでないという効果が得られる。すなわち、アセスメント用質問セットの共有が可能であるとともに、重み付けを考慮して適切に自動生成されたアルゴリズムに従ってアセスメントを進めることができるため、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。このため、本実施形態のＩＳＯ監査システムは、監査者による監査という本来の利用目的以外に、被監査企業が情報セキュリティの自己診断として行うセルフアセスメントや、ＩＳＯ監査内容の学習や啓蒙教育などにも利用することが可能である。
【００７６】
［第二実施形態］
次に、本発明の第二実施形態について、図９を参照して説明する。同図は、本実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
本実施形態は、アセスメント分析機能により、複数企業の監査結果の集計表示による傾向分析を行うことができる点で第一実施形態と異なる。すなわち、本発明では、アセスメント回答の重み付け配点による集計を可能としているため、複数の企業の複数対象者に対して行った複数のアセスメント実施結果を、企業属性別、対象者属性別に集計したグラフと一覧形式で表示することが可能である。
このアセスメント分析機能は、ＩＳＯ監査サーバ３０のアセスメント実行部３２および結果表示部３３により実現させることができる。その他の点については、第一実施形態と同様であり、本実施形態のブロック図も図２と同様のものとすることができる。
【００７７】
図９は、図３に示すアセスメント処理手順の会員認証（ステップＡ１）の後に、アセスメント実行画面表示を選択するのではなく、アセスメント分析画面を表示する処理を選択した場合の処理フローを示すものである。
アセスメント実行部３２は、企業ＤＢ４３に登録されている情報から、分析対象となる企業属性（業種、業態、規模など）を抽出して、アセスメント分析画面に表示する。そして、分析対象としたい属性を選択入力可能とする。
これに対して、監査者は、監査用端末１０から、属性を選択入力してＩＳＯ監査サーバ３０に送信し、ＩＳＯ監査サーバ３０のアセスメント実行部３２は、この選択入力された属性にもとづいて、企業ＤＢ４３からこの属性をもつ企業を抽出する。また、ステップＣ２において、対象者属性（所属部署や役職など）という切り口を選択して抽出することも可能である。
【００７８】
次に、結果表示部３３は、抽出された企業の企業ＩＤ等にもとづいて、対象企業の履歴ＤＢ４２上のアセスメント実施結果を、質問項目別、評価軸別に重み付けに従って集計し、結果グラフとして表示する（ステップＣ３）。あるいは対象者属性まで指定されていた場合、結果表示部３３は、アセスメント実施結果として、履歴ＤＢ４２上の対象者属性別に集計する。
以上説明したように、本実施形態のＩＳＯ監査システムによれば、企業属性や対象者属性にもとづいて、情報セキュリティアセスメントでの傾向分析を容易に行うことが可能となる。
【００７９】
上記の実施形態におけるアセスメントの出題アルゴリズムの生成や、アセスメント実施結果の集計等は、ＩＳＯ監査プログラムにより実行される。
このＩＳＯ監査プログラムは、コンピュータの各構成要素に指令を送り、所定の処理、例えば、アセスメントの出題アルゴリズムの生成処理や、アセスメント実施結果の集計処理等を行わせる。
これによって、これらの処理は、ＩＳＯ監査プログラムとコンピュータとが協働したＩＳＯ監査サーバ３０などにより実現される。
【００８０】
なお、ＩＳＯ監査プログラムは、コンピュータのＲＯＭやハードディスクに記憶させる他、コンピュータ読み取り可能な記録媒体、たとえば、外部記憶装置及び可搬記録媒体等に格納することができる。
外部記憶装置とは、磁気ディスク等の記録媒体を内蔵し、例えばＩＳＯ監査サーバ３０などに外部接続される記憶増設装置をいう。一方、可搬記録媒体とは、記録媒体駆動装置（ドライブ装置）に装着でき、かつ、持ち運び可能な記録媒体であって、たとえば、ＣＤ−ＲＯＭ、フレキシブルディスク、メモリカード、光磁気ディスク等をいう。
【００８１】
そして、記録媒体に記録されたプログラムは、コンピュータのＲＡＭにロードされて、ＣＰＵにより実行される。この実行により、上述した本実施形態のＩＳＯ監査サーバ３０の機能が実現される。
さらに、コンピュータでＩＳＯ監査プログラムをロードする場合、他のコンピュータで保有されたＩＳＯ監査プログラムを、通信回線を利用して自己の有するＲＡＭや外部記憶装置にダウンロードすることもできる。
このダウンロードされたＩＳＯ監査プログラムも、ＣＰＵにより実行され、本実施形態のアセスメントの出題アルゴリズムの生成処理や、アセスメント実施結果の集計処理等を実現する。
【００８２】
なお、本発明は以上の実施形態に限定されるものではなく、本発明の範囲内において、種々の変更実施が可能であることは言うまでもない。
例えば、出題アルゴリズムの自動生成やアルゴリズムの組み直しにおける詳細な処理手順は、上述の方法に限定されるものではなく、適宜設計変更することが可能である。また、本発明のＩＳＯ監査システムを、ＩＳＯ監査に限らず、他の監査に適用することも可能ある。さらに、本発明の目的を実現可能な範囲内で、フローチャートにおいて、アクセスするＤＢを増加したり、ＤＢからの抽出項目やＤＢへの登録項目を変更するといった各処理の詳細な内容変更や、ブロック図の構成要素の分離・併合などの設計変更を行うことも可能である。
【００８３】
【発明の効果】
以上のように、本発明によれば、質問項目に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができ、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベルの選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
このため、監査者は、監査そのものに集中しながら進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
【００８４】
また、本実施形態のＩＳＯ監査システムによれば、監査の精度をあげることができる。すなわち、被監査者の属性に応じて、アセスメントで出題される質問内容と、回答に対する配点とに重み付けを考慮することができるため、同一企業内においても被監査者属性ごとに内容の濃い回答を得ることが可能となる。また、回答の集計が回答数ではなく、重み付けによる配点で行われるため、同一被監査組織内における複数人物の監査結果の比較、分析を定量的に行うことが可能となる。
【００８５】
さらに、ＩＳＯ監査のアセスメント実施結果を即時に表示することにより、短時間での診断を行うことが可能となる。すなわち、アセスメントによる得点は、質問ＤＢ上のＩＳＯ条文に設定した配点と、回答を即時に格納する履歴ＤＢ上のデータとにより自動集計することができ、回答直後に集計結果の一覧表示およびグラフ表示を行うことができる。このため、過去の同一部署におけるアセスメント実施結果や、同一企業内の他の部署におけるアセスメント実施結果との比較グラフも即時に表示可能なため、情報セキュリティレベルやポリシー遵守レベルの比較診断を、その場で即時行うことが可能となる。
【００８６】
また、本実施形態のＩＳＯ監査システムによれば、周到な準備時間や監査ノウハウが無い監査者がアセスメントを実施しても、アセスメント実施結果の出力内容に差がでないという効果が得られる。すなわち、アセスメント用質問セットの共有が可能であるとともに、重み付けを考慮して適切に自動生成されたアルゴリズムに従ってアセスメントを進めることができるため、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。このため、本実施形態のＩＳＯ監査システムは、監査者による監査という本来の利用目的以外に、被監査企業が情報セキュリティの自己診断として行うセルフアセスメントや、ＩＳＯ監査内容の学習や啓蒙教育などにも利用することが可能である。
さらに、企業属性や対象者属性にもとづいて、複数の企業や対象者のアセスメント実施結果の比較を行うことができるため、情報セキュリティアセスメントでの傾向分析を容易に行うことが可能となる。
【００８７】
また、ＩＳＯ監査プログラムは、コンピュータの各構成要素へ所定の指令を送ることにより、このアセスメントの出題アルゴリズムの生成機能や、アセスメント実施結果の集計機能等を実現させることができる。
これによって、これらの機能等は、ＩＳＯ監査プログラムとコンピュータとが協働したＩＳＯ監査サーバにより実現可能である。
【図面の簡単な説明】
【図１】本発明の第一実施形態のＩＳＯ監査システムの概略図である。
【図２】本発明の第一実施形態のＩＳＯ監査システムの構成を示すブロック図である。
【図３】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
【図４】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント履歴画面および監査情報画面を示す図である。
【図５】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント実行画面（回答用）を示す図である。
【図６】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント集計結果表示画面を示す図である。
【図７】本発明の第二実施形態のＩＳＯ監査システムにおけるアセスメントメンテナンス処理手順を示すフローチャートである。
【図８】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメントメンテナンス画面を示す図である。
【図９】本発明の第二実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
【符号の説明】
１０ 監査用端末
２０ メンテナンス用端末
３０ ＩＳＯ監査サーバ
３１ 会員認証部
３２ アセスメント実行部
３３ 結果表示部
３４ アセスメントメンテナンス実行部
４０ データベース装置
４１ 質問ＤＢ
４２ 履歴ＤＢ
４３ 企業ＤＢ
４４ 会員ＤＢ
５０ 通信ネットワーク
【発明の属する技術分野】
本発明は、監査において、アセスメントの出題アルゴリズムを自動生成するとともに、重み付け集計により複数のアルゴリズム結果の適切な比較表示を行う監査システム、方法、サーバ及びプログラムに関する。
【０００２】
【従来の技術】
従来、ＩＳＯ（国際標準化機構、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）監査におけるアセスメントは、監査者個人のノウハウと膨大な準備時間、結果分析時間が必要とされていた。
すなわち、ＩＳＯ条文の十分な理解のもとに、被監査企業属性や対象者属性を考慮して、１つ１つのアセスメント項目を監査の都度作成して行われていた。
また、従来の情報セキュリティ監査システムは、被監査企業の監査対象システム情報の入力をもとにして自動的なセキュリティ診断を提供するものであり（例えば、特許文献１参照。）、人間という監査対象の属性に応じた監査の進行や、人間の回答結果分析の手段を提供するものではなかった。
一方、定量的な情報によって、監査結果を記録および分析することにより、監査の品質や生産性を向上させることのできる監査システムが提案されている（例えば、特許文献２参照。）。
【０００３】
【特許文献１】
特開２００１−２７３３８８号公報
【特許文献２】
特開２００１−３５０９１０号公報
【０００４】
【発明が解決しようとする課題】
しかしながら、このような従来の監査システムを用いても、経験の浅い者が、高い品質で監査を実行することのできるものではなかった。
すなわち、この従来の監査システムによれば、監査結果の分析精度を向上させることはできるが、アセスメントをどのように実施するかということを支援するものではなかった。
【０００５】
本発明は、上記の事情にかんがみなされたものであり、監査において、アセスメントの出題アルゴリズムを自動生成するとともに、重み付け集計により複数のアルゴリズム結果の適切な比較表示を行うことの可能な監査システム、方法、サーバ及びプログラムの提供を目的とする。
【０００６】
【課題を解決するための手段】
上記目的を達成するため、本発明の請求項１記載の監査システムは、通信ネットワークを介して接続された監査用端末と監査サーバを有する監査システムであって、監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信する被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信し、監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を監査サーバに送信する構成としてある。
【０００７】
監査システムをこのような構成にすれば、アセスメントの実施にあたり、履歴ＤＢからそのアセスメントの質問を選択するための情報を抽出するとともに、そのアセスメントに必要な質問を質問ＤＢから抽出して、適切な出題アルゴリズムを自動生成することができる。また、監査用端末からの回答に応じて、以降に出題する質問し、アルゴリズムの組み直しを行うこともできる。
このため、監査者は、監査そのものに集中しながらその進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
また、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。
【０００８】
本発明の請求項２記載の監査システムは、監査サーバが、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信する構成としてある。
【０００９】
監査システムをこのような構成にすれば、質問セット、被監査者の属性、そのアセスメントの重要度などを識別するアセスメントタイプにもとづいて、適切な質問を質問ＤＢから抽出して、出題アルゴリズムを構成することができる。
このため、被監査企業、被監査者等に応じて、適切な出題アルゴリズムを柔軟に構成することが可能となる。
【００１０】
本発明の請求項３記載の監査システムは、監査サーバが、監査用端末から受信した回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する構成としてある。
【００１１】
監査システムをこのような構成にすれば、質問ＤＢにおいて、関連質問が登録されている質問については、監査用端末からの回答に応じて、関連質問を回答したものと擬制し、以降の質問の出題アルゴリズムを組み直すことが可能となる。このため、被監査者の回答にもとづいて、出題アルゴリズムを柔軟に構成することが可能となる。
【００１２】
本発明の請求項４記載の監査システムは、監査サーバが、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計する構成としてある。
【００１３】
監査システムをこのような構成にすれば、自動生成された出題アルゴリズムに従った質問に対する回答を集計するにあたり、各質問項目の配点に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができる。
このため、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベル（アセスメントタイプ）の選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
また、このような重み付けを用いた集計を行うことにより、同一企業内においても被監査者属性ごとのアセスメント実施結果を適切に比較することも可能となる。
【００１４】
本発明の請求項５記載の監査システムは、監査サーバが、評価軸ごとの集計結果を、少なくとも一覧表またはグラフの形式により表示する構成としてある。
監査システムをこのような構成にすれば、各評価軸のバランスを一覧表やグラフにより表示することができる。
このため、ＩＳＯの求めるトータルなマネジメントの基準中、どの領域が問題かを一目で判断することが可能となる。
【００１５】
本発明の請求項６記載の監査システムは、監査サーバが、監査用端末から受信した企業属性、または対象者属性にもとづいて、企業ＤＢから当該企業属性、または対象者属性を有する企業または対象者を抽出し、この抽出した企業または対象者のアセスメント実施結果を履歴ＤＢから抽出して、評価軸ごとの得点を集計する構成としてある。
【００１６】
監査システムをこのような構成にすれば、他の企業とのアセスメント実施結果の比較が行えるのみならず、同一企業内においても、担当者や組織によるセキュリティ意識の違いなどを、グラフおよび各回答内容の参照により比較分析することができる。
このため、同一企業内におけるこのような矛盾点を明確化することが可能となる。
また、過去の結果とグラフ上での比較ができるため、セキュリティ基準のレベルの推移を一目で確認することが可能となる。
さらに、業種／業界別や、組織属性別などに、結果を集計してグラフで比較することも可能となる。
【００１７】
本発明の請求項７記載の監査システムは、監査サーバに、通信ネットワークを介してメンテナンス用端末が接続され、当該メンテナンス用端末が、メンテナンス対象となる質問項目に対応するＩＳＯの条文番号を監査サーバに送信するとともに、監査サーバから受信した質問項目編集画面を表示し、かつ、編集入力された質問項目を監査サーバへ送信し、監査サーバが、メンテナンス用端末から受信した条文番号にもとづいて、質問ＤＢを検索し、当該条文番号に対応する質問項目が存在する場合は、この質問項目を表示した質問項目編集画面を、当該条文番号に対応する質問項目が存在しない場合は、ブランク表示の質問項目編集画面を、メンテナンス用端末に送信し、かつ、メンテナンス用端末から受信した編集入力された質問項目を質問ＤＢに保存する構成としてある。
【００１８】
監査システムをこのような構成にすれば、ＩＳＯ条文ごとの質問を、メンテナンス用端末から容易に作成し、編集して、監査サーバに登録することが可能となる。
そして、このようにして作成・編集した質問項目を、上述の出題アルゴリズムの生成や組み直しを通じて、アセスメントにおいて利用することが可能となる。
【００１９】
本発明の請求項８記載の監査方法は、通信ネットワークを介して接続された監査用端末と監査サーバを用いた監査方法であって、監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信し、監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を監査サーバに送信する方法としてある。
【００２０】
監査方法をこのような方法にすれば、監査者は、熟練者の監査ノウハウを反映して監査サーバにより自動生成される出題アルゴリズムに従って、アセスメントを実行することができる。
このため、経験の浅い監査者であっても、熟練者と同じ品質で、監査を行うことが可能となる。
【００２１】
本発明の請求項９記載の監査方法は、監査サーバが、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信し、監査用端末が、受信した質問項目に対する回答を、監査サーバに送信し、監査サーバが、受信した回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する方法としてある。
【００２２】
監査方法をこのような方法にすれば、監査サーバに、監査者により選択され、履歴ＤＢに登録された質問タイプを有する質問セットのうち、被監査者の属性や、そのアセスメントの重要度等にもとづき抽出された質問により構成された出題アルゴリズムに従って、アセスメントを実行することができるとともに、被監査者からの回答に応じて、その出題アルゴリズムを組み直すことができる。
このため、監査者は、従来のように出題アルゴリズムの作成に時間を取られることがないため、監査そのものに集中することができ、監査の質を向上させることが可能となる。また、周到な準備時間や監査ノウハウがない監査者がアセスメントを実施しても、アセスメント結果の出力内容に差が出ないという効果も得られる。
【００２３】
本発明の請求項１０記載の監査方法は、監査サーバが、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計する方法としてある。
【００２４】
監査方法をこのような方法にすれば、アセスメント実施結果の集計に、重み付け配点を考慮することができる。
このため、熟練者の監査ノウハウを出題アルゴリズムの生成に、より効果的に取り入れることが可能となるとともに、被監査者間の比較をより適切に行うことが可能となる。
【００２５】
本発明の請求項１１記載の監査サーバは、通信ネットワークを介して、監査用端末に監査のための質問およびアセスメント実施結果を送信する監査サーバであって、重み付けや配点情報を含んだ質問データを格納する質問ＤＢと、アセスメント実施結果としての回答データを格納する履歴ＤＢと、監査を行う監査者情報を格納する会員ＤＢと、監査用端末から受信した会員ＩＤおよびパスワードにもとづいて会員ＤＢを検索し、当該会員ＩＤおよびパスワードが会員ＤＢに登録されているか否かにより認証を実行する会員認証部と、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を監査用端末に送信するアセスメント実行部と、監査用端末からの要求にもとづいて、アセスメント実施結果を表示するアセスメント集計画面を監査用端末に送信する結果表示部と、を有する構成としてある。
【００２６】
監査サーバをこのような構成にすれば、熟練者の監査ノウハウを取り込んだ出題アルゴリズムを自動生成することができる。
このため、監査の準備や、監査スキルの違いにより、監査者間でアセスメント実行結果に差が生じる事態を防止し、質の高い監査を短期間で実施することが可能となる。
【００２７】
本発明の請求項１２記載の監査サーバは、アセスメント実行手段が、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索し、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出して、この抽出した質問項目を質問番号順に並び替えて監査用端末に送信し、監査用端末から受信した質問項目に対応する回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を監査用端末に送信するとともに、回答および擬制した回答を履歴ＤＢに保存する構成としてある。
【００２８】
監査サーバをこのような構成にすれば、質問タイプ、被監査者の属性、アセスメントの重要度などにもとづいて、質問ＤＢから問題を抽出して出題アルゴリズムを構成することができるとともに、回答にもとづいて、その出題アルゴリズムを再構成することができる。
このため、監査の重要度や、被監査者の状況等に応じた出題アルゴリズムを、その回答内容も考慮して、柔軟に構成することが可能となる。
【００２９】
本発明の請求項１３記載の監査サーバは、結果表示部が、監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計して、少なくとも一覧表またはグラフを作成し、この一覧表またはグラフを監査用端末に送信する構成としてある。
【００３０】
監査サーバをこのような構成にすれば、被監査者の属性などに応じて、質問項目等に重み付けを設定することができる。また、この重み付けを考慮して、集計結果を一覧表やグラフに表示することができる。
このため、被監査者の属性ごとの差異を際だたせることができ、被監査者間の意識のズレなどを明確に把握することが可能となる。
【００３１】
本発明の請求項１４記載の監査プログラムは、監査用端末に、監査のための質問およびアセスメント実施結果を、通信ネットワークを介して監査用端末へ送信させる監査プログラムであって、監査サーバに、質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索させて、検索された質問セットにおける各質問項目の属性が、被監査者、およびアセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出させ、この抽出させた質問項目を質問番号順に並び替えさせて監査用端末に送信させ、監査用端末から受信した質問項目に対応する回答にもとづいて、質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直させ、この組み直させた出題アルゴリズムに従い質問を監査用端末に送信させるとともに、回答および擬制した回答を履歴ＤＢに保存させる構成としてある。
【００３２】
監査プログラムをこのような構成にすれば、監査サーバに、質問タイプ、被監査者の属性、アセスメントの重要度などにもとづいて、質問ＤＢから問題を抽出させて出題アルゴリズムを構成させることができるとともに、回答にもとづいて、その出題アルゴリズムを再構成させることができ、監査の重要度や、被監査者の状況等に応じた出題アルゴリズムを、その回答内容も考慮して、柔軟に構成させることが可能となる。
【００３３】
本発明の請求項１５記載の監査プログラムは、監査サーバに、監査用端末から受信させた回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算させ、かつ、質問ＤＢに登録されている各質問の評価軸ごとに、得点を集計させる構成としてある。
【００３４】
監査プログラムをこのような構成にすれば、監査サーバに、被監査者の属性などに応じて、質問項目等に重み付けを設定させ、この重み付けを考慮して、集計結果を一覧表やグラフに表示させることができるため、被監査者の属性ごとの差異を際だたせ、被監査者間の意識のズレなどを明確に把握することが可能となる。
【００３５】
【発明の実施の形態】
以下、本発明の実施形態につき、図面を参照して説明する。
［第一実施形態］
まず、本発明の第一実施形態のＩＳＯ監査システムの運用について、図１を参照して説明する。同図は、本実施形態のＩＳＯ監査システムの概略図である。
なお、以下の実施形態において、ＩＳＯ監査システムは、ＩＳＯ１７７９９の監査を実行するものとしているが、これに限定されるものではなく、他の監査や、他のバージョンのＩＳＯ監査にも適用することができる。
【００３６】
同図に示すように、監査者はアセスメントを実施するにあたり、ＩＳＯ監査システムのアセスメント実行機能を用いて、被監査者に対してヒアリングを実施して、セキュリティ診断およびアドバイス等を行う。
このヒアリングにあたっては、本システムより予め提供されたＩＳＯ１７７９９に関する質問項目を利用するか、あるいは新たに質問項目を設定して、これを利用することができる。質問項目には、被監査企業の属性と対象者属性による重み付けと、ＩＳＯ条文内での質問としての重要度の設定が可能である。
監査者は、このＩＳＯ監査としてのアセスメント実施に際して、被監査企業の業種や社員数などの属性を本システムに登録し、さらに被監査者の所属や役職などの被監査者属性を登録する。
【００３７】
そして、ヒアリングにおいては、被監査企業属性、被監査者属性、および予め設定された質問項目への重み付けにもとづき作成された出題アルゴリズムにより、質問が展開される。また、各アセスメント開始時にアセスメントのレベルを選択することにより、全質問項目による詳細なアセスメントか、重要な質問のみの簡易なアセスメントかの切り分けに応じた、質問展開が行われる。さらに、質問項目やその重み付け，重要度等については、ＩＳＯ監査システムにおけるアセスメントメンテナンス実行機能により追加，変更，削除等を行うことができる。
【００３８】
被監査企業における被監査者に対する一通りのアセスメントが終了すると、回答結果は、本システムにより提供されている、あるいは監査者により設定された評価軸と質問事項への配点にしたがって集計され、グラフおよび一覧形式で表示される。
この評価軸とは、集計の際に、得点をどのカテゴリーに分類するかを示すものであり、例えば、ＩＳＯ自体の条文の章のタイトルそのもの（１．セキュリティポリシー，２．セキュリティ組織，・・・，９．アクセス制御等）を用いることができる。その他、セキュリティ上にあげられるリスク分析の観点からの評価軸（情報資産，脆弱性，脅威等）を挙げることもできる。
また、ＩＳＯ監査システムにおけるこれらのアセスメント実行機能、アセスメントメンテナンス実行機能、およびアセスメント実施結果集計機能への利用権限は、会員管理システムなどにおいて管理される会員情報にもとづく会員認証機能により制限されている。
【００３９】
［ＩＳＯ監査システム］
次に、本発明の第一実施形態におけるＩＳＯ監査システムの構成について、図２を参照して説明する。同図は、本実施形態のＩＳＯ監査システムの構成を示すブロック図である。
図２に示すように、本実施形態のＩＳＯ監査システムは、監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０，データベース装置４０，通信ネットワーク５０を有している。
【００４０】
［監査用端末１０］
監査用端末１０は、アセスメントの実施に用いられる端末であり、パーソナルコンピュータや、携帯電話、ＰＨＳ、ＰＤＡ等とすることができる。
この監査用端末１０は、通信ネットワーク５０を介してＩＳＯ監査サーバ３０からアセスメント実行画面や、アセスメント集計結果画面等を受信するとともに、質問項目に対する回答などを入力し、ＩＳＯ監査サーバ３０に送信する。
【００４１】
［メンテナンス用端末２０］
メンテナンス用端末２０は、質問項目や重み付けの設定に用いられる端末であり、監査用端末１０と同様に、パーソナルコンピュータや、携帯電話、ＰＨＳ、ＰＤＡ等とすることができる。
このメンテナンス用端末２０は、通信ネットワーク５０を介してＩＳＯ監査サーバ３０からアセスメントメンテナンス画面などを受信するとともに、新規アセスメント情報や既存アセスメントの質問項目の修正情報等を入力し、ＩＳＯ監査サーバ３０に送信する。
【００４２】
［ＩＳＯ監査サーバ３０］
ＩＳＯ監査サーバ３０は、プログラム制御により動作し、会員認証，アセスメントの実行，アセスメントメンテナンス，アセスメント実施結果表示等を実行する情報処理装置であり、例えば、ワークステーションやサーバ、パーソナルコンピュータ等を用いることができる。
このＩＳＯ監査サーバ３０は、図２に示すように、会員認証部３１，アセスメント実行部３２，結果表示部３３，アセスメントメンテナンス実行部３４を有している。
【００４３】
［会員認証部３１］
会員認証部３１は、利用できる監査者を限定する。
すなわち、監査用端末１０から送信されてきた会員ＩＤおよびパスワードにもとづいて、会員ＤＢ４４を検索し、アセスメント実行部３２，結果表示部３３，アセスメントメンテナンス実行部３４による各機能を利用することができるかどうかを判断する。
このとき、会員ＤＢ４４は、各会員ごとに、上記各機能の利用権限情報を備えた会員属性情報を有しており、会員認証部３１は、これにもとづき各会員の利用端末（監査用端末１０）に利用可能な機能を表示し、以降認証された利用者はその機能の利用が可能となる。
【００４４】
［アセスメント実行部３２］
アセスメント実行部３２は、被監査者に対するアセスメントを実施する。
このアセスメント実行部３２は、アセスメントの実施に必要な被監査企業属性の管理機能，アセスメント実行機能，アセスメント履歴管理機能を備えている。被監査企業属性管理機能は、被監査企業の企業名、住所、電話などの基本情報の他に、業種や人員数など、アセスメントアルゴリズムや回答の重みづけに影響を与える属性も含めて、企業ＤＢ４３に格納し、検索、参照する。
アセスメント実行機能は、企業ＤＢ４３に登録されている企業から選択した被監査企業と、その中の監査対象となる人物の所属部署や役職などの個人属性と、実施する監査またはアセスメントの重要度のレベル情報とから、質問項目の重みづけを考慮したアセスメントのアルゴリズムを生成し、質問ＤＢ４１に格納された質問項目をアルゴリズムに従って監査用端末１０に表示する。また、その際、監査用端末１０から入力された被監査者の回答を、履歴ＤＢ４２に保存する。
アセスメント履歴管理機能は、履歴ＤＢ４２上に格納されたアセスメント実施結果と、企業ＤＢ４３に格納された企業情報と、質問ＤＢ４１に格納された質問情報から、各企業で行われたアセスメントの履歴情報を検索、参照する。
【００４５】
［結果表示部３３］
結果表示部３３は、アセスメント実施結果を集計表示する。
すなわち、結果表示部３３は、履歴ＤＢ４２に格納された一回のアセスメントの回答群を、質問ＤＢ４１に登録されている配点にもとづき評価軸ごとに集計し、監査用端末１０に一覧表とグラフ形式で表示する。また、アセスメント実行部３２のアセスメント履歴管理機能と連携して、過去のアセスメント実施結果を同時に表示し、視覚的な比較を実現する。
【００４６】
［アセスメントメンテナンス実行部３４］
アセスメントメンテナンス実行部３４は、質問項目やその重み付け、配点を設定する。
すなわち、アセスメントメンテナンス実行部３４は、アセスメントの質問内容を質問ＤＢ４１に登録、修正する。このとき、一回のＩＳＯ１７７９９監査の中で質問すべき全項目について、質問の該当するＩＳＯ１７７９９条文内の章・節、質問内容文、回答の選択肢、各回答選択肢の配点、質問自体の重み付け、質問の対象となる被監査者属性、関連質問項目を設定し、質問セットとして質問ＤＢ４１に登録する。質問セットは、登録する利用者（監査者など）のノウハウや、アセスメントを実施する対象企業属性など、様々な状況に合わせていくつでも登録し、利用することができる。
【００４７】
［データベース装置４０］
データベース装置４０は、ＩＳＯ監査サーバ３０により使用される記憶装置である。このデータベース装置４０は、図２に示すように、ＩＳＯ監査サーバ３０の外部記憶装置とするほか、ＩＳＯ監査サーバ３０内に保有させるようにしてもかまわない。
データベース装置４０は、同図に示すように、質問ＤＢ４１，履歴ＤＢ４２，企業ＤＢ４３，会員ＤＢ４４を有している。この企業ＤＢ４３や会員ＤＢ４４を本発明のＩＳＯ監査システムとは、別個に管理される会員システムなどで利用されているものを用いるようにしてもかまわない。
【００４８】
質問ＤＢ４１は、重み付けや配点情報を含んだ質問データを格納する。そのデータ構造は、例えば、アセスメント名，質問タイプ，質問セットガイド説明文，質問セット利用許可者属性，質問番号，条文番号，質問文，対象者属性，重要度レベル，回答選択肢，配点，重み付け（配点または係数），評価軸，関連質問等とすることができる。質問番号，条文番号，質問文，対象者属性，重要度レベル，回答選択肢，配点，重み付け（配点または係数），評価軸，関連質問等は、複数登録することができる。
履歴ＤＢ４２は、アセスメント実施結果としての回答データを格納する。
そのデータ構造は、例えば、履歴番号，ステータス，アセスメント名，バージョン，開始日，最終回答日，中断質問番号，被監査者属性，質問タイプ，アセスメントタイプ，質問番号，回答内容，得点，合計点，表示タイプ等とすることができる。質問番号，回答内容，得点等は、複数登録することができる。
企業ＤＢ４３は、被監査企業情報を格納する。例えば、企業ＩＤ，各種企業属性情報，被監査者ＩＤ，各種被監査者属性情報等とすることができる。被監査者ＩＤ，各種被監査者属性情報等は、複数登録することができる。
会員ＤＢ４４は、本システムを利用可能な監査者情報を格納する。例えば、会員ＩＤ，パスワード等とすることができる。
【００４９】
通信ネットワーク５０は、従来公知の任意好適な公衆回線、商業回線又は専用回線を用いることができる。また監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０のそれぞれの間においては、同一又は別個の通信回線で構成することができる。
さらに、通信ネットワーク５０は、監査用端末１０，メンテナンス用端末２０，ＩＳＯ監査サーバ３０のそれぞれの間を、無線あるいは有線で接続可能な回線であり、例えば、公衆回線網、専用回線網、インターネット回線網及びイントラネット網により構成することができる。
【００５０】
次に、本実施形態のＩＳＯ監査システムにおける処理手順について、図３〜図６を参照して説明する。図３は、本システムにおけるアセスメント実行処理手順を示す動作手順図である。図４，図５，図６は、それぞれ本システムにおけるアセスメント履歴画面および監査情報画面，アセスメント実行画面，アセスメント集計結果表示画面を示す図である。なお、図３において、スタートが「監査用端末１０（ＩＳＯ監査サーバ３０）」となっているが、これは、入出力端末として監査用端末１０が使用され、処理の実行主体がＩＳＯ監査サーバ３０であることを意味しており、以下に示す各処理の実行は、監査用端末１０、ＩＳＯ監査サーバ３０、およびデータベース装置４０が協働して行っている。この表示形態は、以降に示すフローチャートにおいても同様である。
【００５１】
まず、アセスメント開始時に、利用者の操作により、監査用端末は、監査システム利用のための認証情報を入力し、ＩＳＯ監査サーバ３０の会員認証部３１は、その認証機能により、会員ＤＢ４４上の情報から利用者を識別し、アセスメント機能の利用が可能かどうかを判断する（図３のステップＡ１）。この認証は、会員ＩＤおよびパスワードにもとづいて行うようにすることができる。
そして、認証が成功した場合、アセスメント実行部３２は、アセスメント実行画面（検索／選択／登録用）を表示する（ステップＡ２）。
【００５２】
次に、監査用端末１０からの入力情報にもとづいて、ＩＳＯ監査サーバ３０は、監査対象の企業情報を検索する（ステップＡ３）。一般に、企業ＤＢ４３上に複数企業が登録され、履歴ＤＢ４２上に複数のアセスメント実施結果が保存されているが、それぞれを参照できる範囲は、ステップＡ１の認証機能を経由した監査者ごとに限定される。すなわち、ステップＡ３における企業情報の検索は、この権限の範囲で可能となる。さらに、ステップＡ３では新規に対象企業情報を登録することが可能である。
【００５３】
対象企業を絞った後、その企業の過去の監査において実行されたアセスメント履歴を検索することができる（ステップＡ４）。このとき、監査用端末１０からの要求にもとづいて、ＩＳＯ監査サーバ３０のアセスメント実行部３２は、そのアセスメント履歴管理機能により、対象企業の企業ＩＤにもとづいて、履歴ＤＢ４２と質問ＤＢ４１から過去に実行したアセスメントのメタ情報（監査情報，アセスメント対象者，利用した質問のタイプ（質問セットＩＤ等）など）を抽出し、監査用端末１０に一覧表示する。図４は履歴一覧が表示されたアセスメント履歴画面を示す図である。
また、アセスメント内の１つ１つの質問への回答やその集計結果は、結果表示部３３により、ステップＡ１１において監査用端末１０に表示される。
【００５４】
ステップＡ５のアセスメント実行は、新規のアセスメント登録（ステップＡ６）、または、中断中のアセスメントの再開（ステップＡ７）のいずれかの指示により動作する。
ステップＡ６の新規アセスメント情報登録は、まず、監査用端末１０によるアセスメントのメタ情報（日時などの監査情報，アセスメント対象者，利用する質問のタイプ（質問セットＩＤ等），アセスメントタイプ（重要度等）など）の入力情報を、ＩＳＯ監査サーバ３０のアセスメント実行部３２が、履歴ＤＢ４２に登録する。そして、ステップＡ８のアセスメントの全質問に対する回答が終了するか、監査用端末１０から中断の指示が出されるまで、この登録を繰り返し実行する。
【００５５】
また、ステップＡ７のアセスメント途中再開において、アセスメント実行部３２は、履歴番号等にもとづいて、履歴ＤＢ４２上に保存されている中断アセスメントのメタ情報と中断情報を検索して抽出し、ステップＡ８を呼び出す。この中断情報とは、いつ、誰が、どこまでの回答を行った状態かという情報と、「終了」または「中断」の監査進捗管理的なステータス情報を意味するものである。
図４に示す監査情報画面は、このステップＡ７の処理によって表示される画面であり、同図における「アセスメント開始」を押下すると、アセスメント途中再開要求が、監査用端末１０からＩＳＯ監査サーバ３０へ送信され、ＩＳＯ監査サーバ３０のアセスメント実行部３２が、ステップＡ８の処理を実行する。
【００５６】
このステップＡ８のアセスメントの実行にあたり、アセスメント実行部３２は、履歴ＤＢ４２に登録された今回のアセスメント情報と、質問ＤＢ４１上にあらかじめ登録されているＩＳＯ１７７９９条文に関連する質問情報と、監査用端末１０から入力される被監査者の回答とにもとづいて、出題アルゴリズムの組み立てを行う。
すなわち、ステップＡ９において、アセスメント実行部３２は、質問ＤＢ４１上に登録されている複数の質問セットから、ステップＡ６で選択された質問セットを検索し、この質問セットにおける各質問属性にもとづいて、アセスメント対象者、および今回のアセスメントタイプに合致した質問項目を抽出して、質問番号順に質問内容を監査用端末１０に表示する。図５は質問項目と回答選択肢が表示され、回答を入力後に次の質問表示を指示するアセスメント実行画面（回答用）を示している。
【００５７】
ここで、出題アルゴリズムの組み立てについて、具体例を用いて説明する。
監査の対象者情報として、企業ＤＢ４３に、「情報システム部門」，「ライン部門」，「スタッフ部門」，「トップ（経営者）」が登録されていたとすると、被監査者の属性が総務担当者であった場合は、ステップＡ３の対象企業検索において、企業ＩＤ等にもとづいて当該企業の登録情報を企業ＤＢ４３から検索して抽出し、「スタッフ部門」を選択する。
さらに、アセスメント実行画面（検索／選択／登録用）上で、重要度を示す「Ａ．大変重要なもののみ」，「Ｂ．比較的重要なものを含む」，「Ｃ．全て」の各項目のうち、「Ａ」を選択する。
ＩＳＯ監査サーバ３０のアセスメント実行部３２は、上記「スタッフ部門」および「Ａ」の入力情報にもとづいて、質問ＤＢ４１から「スタッフ部門」属性をもつとともに、重要度「Ａ」に該当する質問セット群の質問だけを抽出して出題する。
【００５８】
次に、重要度「Ａ」に該当する質問セット群の質問だけを抽出して出題する処理について、具体例を用いて説明する。
この説明において、重要度の設定基準として、一問あたりの配点が、７．５点以上の場合は「Ａ」と、５点以上７．５点未満の場合は「Ｂ」とする。
また、条文３．１．１は、満点が１５点であり、次の３つの設問から構成されるものとする。
設問１ ある（５点），ない（０点），わからない（５点）
設問２ している（５点），していない（０点），わからない（５点）
設問３ 明確である（５点），不明確である（０点），わからない（５点）
また、条文３．１．２は、満点が１５点であり、次の２つの設問から構成されるものとする。
設問１ している（５点），していない（０点），わからない（５点）
設問２ 明確である（１０点），不明確である（０点），わからない（５点）
【００５９】
この場合、条文３．１．１の質問セット群と条文３．１．２の質問セット群は、どちらも満点が１５点であるが、一問あたりの配点は、条文３．１．１が５点、条文３．１．２が７．５点となるため、条文３．１．１は重要度「Ｂ」、条文３．１．２は重要度「Ａ」と判定される。
したがって、この場合は、条文３．１．１の質問は、抽出されず、条文３．１．２の質問は抽出され、出題されることとなる。
なお、この例の場合は、重要度を配点にもとづいて算出する方法としたが、質問ＤＢ４１に各質問ごとに重要度情報をもたせ、この重要度情報にもとづいて、上記抽出および出題処理を実行することが可能であることはいうまでもない。
【００６０】
次に、ステップＡ１０では、監査用端末１０から出題された質問への回答が入力されると、アセスメント実行部３２は、回答内容が影響する質問番号情報に従って出題アルゴリズムを組み直し、監査用端末１０に表示すると同時に、回答内容を履歴ＤＢ４２に保存する。
ここで、出題アルゴリズムを組み直しについて、具体例を用いて説明する。
例えば、ステップＡ３において、対象企業の検索／選択／登録を行う際に、オプションとして、「効率的なアセスメント」を選択可能とするとともに、あらかじめ質問ＤＢ４１には、各質問への回答時の関連質問を登録しておくことで、回答内容によって、同じ観点からの質問をスキップするようにすることができる。
【００６１】
具体的には、質問「９−１３：パスワードの重要性、更新ルール等を利用者は知っているか。」に対して、回答１「知っており、遵守されている」が選択された場合は、以降に９−１３との関連が設定されているパスワードの利用に関する質問、例えば、「９−１６：パスワードは、他人が想像し得ない６文字以上の文字＋数字を実現しているか」や、「９−１７：パスワードの定期的な変更を実践しているか」を回答済み（肯定回答）としてスキップする。
回答２「知っているが遵守できていない」が選択された場合は、以降のパスワード利用に関する質問をスキップしない。
回答３「知らない」が選択された場合は、上記質問「９−１６」や「９−１７」を回答済み（否定回答）としてスキップする。
ただし、出題アルゴリズムを組み直しとして、このような効率的なアセスメントを用いた場合、回答内容間の矛盾がシステムにより自動的に排除されてしまうため、時間をかけずに簡易な監査を実施したい場合にのみ選択することが好ましい。
【００６２】
ステップＡ１１において、ＩＳＯ監査サーバ３０の結果表示部３３は、履歴ＤＢ４２に保存されたアセスメントに対する１つ１つの回答を、質問ＤＢ４１上の評価軸と、各質問項目の回答に設定されている配点に従って集計し、一覧表およびグラフの形式で表示する。
この集計は、各質問項目の属するＩＳＯ１７７９９条文の章・節ごとの重み付け配点と、章・節内での各質問項目のレベルに対する重み付け配点と、質問への回答に設定されている配点とを加味した計算式により行われる。この重み付け配点は、質問ＤＢ４１に登録されている「重み付け」をそのまま用いるのみならず、所定の属性に出題された場合にのみ適用したり、所定の属性に出題された場合には、１．５倍等にするなどといった制御を行うことができる。さらに、アセスメントタイプなどとして指定された監査の重要度に応じて、重み付け配点を使用したり、その大きさを制御することもできる。また、章・節ごとの重み付け配点は、質問ＤＢ４１とは、別個のテーブルに記憶させておくこともできる。
これにより、評価軸同士のグラフ上での表現を、平準化して行うことが可能となる。図７は、アセスメント回答を集計した一覧表とグラフを表示したアセスメント集計結果表示画面である。
【００６３】
ここで、集計処理について、次の具体例を用いて説明する。
この場合、被監査者が、スタッフ部門である場合には、Ａ章の条文ａ１の設問２の肯定的回答の配点を２倍とすることが、質問ＤＢ４１において、条文ａ１の設問２の属性情報として保有され、また、この場合、Ｂ章におけるすべての条文の設問について、肯定的回答の配点を１．５倍とすることが、質問ＤＢ４１のＢ章における設問の属性情報として保有されている場合、Ａ章の条文ａ１の設問２、およびＢ章の配点は、次のように重み付け換算される。
このとき、Ａ章の条文ａ１の設問１，設問２，Ｂ章の条文ｂ１の設問１，設問２の順に、回答として、「していない，している，わからない，している」が得られた場合、その得点は、重み付けを行わないときの配点によれば、「０，５，−５，５」となり、条文ａ１は、１０点満点中５点で５０点と、条文ｂ１は、１０点満点中０点で０点となる。
一方、上記のような重み付けが行われたときの配点によれば、その得点は、「０，１０，−５，７．５」となり、条文ａ１は、１５点満点中１０点で６７点と、条文ｂ１は、１５点満点中２．５点で１７点となる。
【００６６】
このような重み付けを用いた集計を行うことにより、属性ごとの差異をはっきりと現すことが可能となる。すなわち、被監査者の企業属性（業界・業種や規模など）や、企業内の組織属性（総務，ライン，情報システム部門など）によって、監査の観点から検討したい項目が異なっている場合に、より適切な質問、およびその集計を行うことが可能となる。特に、ネットワークセキュリティに関しては、情報部門と一般部門における意識の違いや、セキュリティの重要度とその担当者の意識のズレなどをはっきりとさせるために、重み付けによる比較を行うことが極めて有効である。
【００６７】
さらに、ステップＡ４において表示するアセスメント履歴一覧から、ステップＡ１１を呼び出すことにより、アセスメント実施結果としての一覧表およびグラフ表示の際に、他のアセスメント履歴の結果との比較表示が可能である。
すなわち、図４に示すアセスメント履歴画面における「結果」を押下することによって、アセスメント集計画面表示要求が、監査用端末１０からＩＳＯ監査サーバ３０に送信され、ＩＳＯ監査サーバ３０の結果表示部３３は、図６に示すようなアセスメント集計結果表示画面を表示する。
また、図６のアセスメント集計結果表示画面の「比較グラフ」におけるプルダウンを押下することにより、結果表示部３３は、履歴ＤＢ４２から同一企業内の同一部署または他の部署において実施されたアセスメントの履歴一覧を表示し、選択された履歴の一覧表やグラフを表示する。
【００６８】
次に、図７を参照して、アセスメントメンテナンスについて説明する。まず、監査者などの利用者により、メンテナンス用端末２０は、アセスメントメンテナンス利用のための認証情報を入力して、ＩＳＯ監査サーバ３０の会員認証部３１による会員認証を実行する（ステップＢ１）。
会員認証部３１は、会員ＤＢ４４上の情報から利用者を識別し、メンテナンス機能の利用が可能かどうか判断後、利用可能である場合は、アセスメントメンテナンス画面を表示する（ステップＢ２）。そして、新規に質問セットを登録するか、既に登録されている質問情報をメンテナンスするかの選択を行う。
新規に質問セットを登録する場合は、利用者の入力により、アセスメントメンテナンス実行部３４が、新たな質問セットを他の質問セットと識別するための属性として、アセスメント名と、アセスメント時に利用する質問セットの選択のガイドとなる説明文、該当質問セットの利用を許可する利用者属性などの情報を、質問ＤＢに登録する（ステップＢ３）。そして、ステップＢ５において、質問セットを構成する１つ１つの質問の登録を繰り返す。
【００６９】
ステップＢ２において、既に登録されている質問情報をメンテナンスすることが選択された場合は、既存質問セット内の質問項目属性修正のため、ステップＢ５を呼び出す（ステップＢ４）。ただし、この修正は、監査アセスメントで未使用の質問項目にのみ可能であり、既に履歴ＤＢ４２上に利用情報が登録されている質問セットの修正は不可となるよう制御することが好ましい。
その方法としては、ステップＢ６の質問検索において、その質問番号などの質問を識別するための情報が、履歴ＤＢ４２に登録されているかどうかを検索して確認し、登録されている場合には、修正／削除ができないことをメッセージ表示するようにすることなどができる。
【００７０】
次に、ステップＢ５の質問項目メンテナンスにおいて、ＩＳＯ監査サーバ３０のアセスメントメンテナンス実行部３４は、ＩＳＯ１７７９９条文の章・節の検索と、それに属する質問項目の検索および属性の表示と、質問項目属性の質問ＤＢ４１への登録を行う。
具体的には、ステップＢ６において、ＩＳＯ１７７９９条文そのものをＸＭＬ形式で格納する条文ＤＢから条文構成を階層表示し、メンテナンス用端末２０からメンテナンス対象となる質問項目の属する章・節番号を入力する。
【００７１】
次に、アセスメントメンテナンス実行部３４は、入力した章・節番号に属する質問項目の有無を、質問ＤＢ４１を検索して確認し、存在する場合、その質問項目を編集可能な状態でメンテナンス用端末２０に表示する。存在しない場合は、ブランク状態のアセスメントメンテナンス画面（質問項目属性入力画）を表示する（ステップＢ６）。
次に、このアセスメントメンテナンス画面から、質問項目属性として、質問文、質問対象者属性、重要度レベル、集計時の評価軸、回答選択肢群、各回答配点などを入力し、対応するＩＳＯ１７７９９条文の章・節情報と併せて質問ＤＢ４１に登録する（ステップＢ７）。図８は、このアセスメントメンテナンス画面の例を示している。
なお、同図に示すように、ＩＳＯの監査においては、Ｙｅｓ／Ｎｏでは回答できない部分が多いため、回答の選択肢として、「分からない」や対象外の回答を設定可能とすることが好ましい。
【００７２】
以上説明したように、本実施形態のＩＳＯ監査システムによれば、質問項目に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができ、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベルの選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
このため、監査者は、監査そのものに集中しながら進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
【００７３】
また、本実施形態のＩＳＯ監査システムによれば、監査の精度をあげることができる。すなわち、被監査者の属性に応じて、アセスメントで出題される質問内容と、回答に対する配点とに重み付けを考慮することができるため、同一企業内においても被監査者属性ごとに内容の濃い回答を得ることが可能となる。また、回答の集計が回答数ではなく、重み付けによる配点で行われるため、同一被監査組織内における複数人物の監査結果の比較、分析を定量的に行うことが可能となる。
【００７４】
さらに、ＩＳＯ監査のアセスメント実施結果を即時に表示することにより、短時間での診断を行うことが可能となる。すなわち、アセスメントによる得点は、質問ＤＢ４１上のＩＳＯ条文に設定した配点と、回答を即時に格納する履歴ＤＢ４２上のデータとにより自動集計することができ、回答直後に集計結果の一覧表示およびグラフ表示を行うことができる。このため、過去の同一部署におけるアセスメント実施結果や、同一企業内の他の部署におけるアセスメント実施結果との比較グラフも即時に表示可能なため、情報セキュリティレベルやポリシー遵守レベルの比較診断を、その場で即時行うことが可能となる。
【００７５】
また、本実施形態のＩＳＯ監査システムによれば、周到な準備時間や監査ノウハウが無い監査者がアセスメントを実施しても、アセスメント実施結果の出力内容に差がでないという効果が得られる。すなわち、アセスメント用質問セットの共有が可能であるとともに、重み付けを考慮して適切に自動生成されたアルゴリズムに従ってアセスメントを進めることができるため、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。このため、本実施形態のＩＳＯ監査システムは、監査者による監査という本来の利用目的以外に、被監査企業が情報セキュリティの自己診断として行うセルフアセスメントや、ＩＳＯ監査内容の学習や啓蒙教育などにも利用することが可能である。
【００７６】
［第二実施形態］
次に、本発明の第二実施形態について、図９を参照して説明する。同図は、本実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
本実施形態は、アセスメント分析機能により、複数企業の監査結果の集計表示による傾向分析を行うことができる点で第一実施形態と異なる。すなわち、本発明では、アセスメント回答の重み付け配点による集計を可能としているため、複数の企業の複数対象者に対して行った複数のアセスメント実施結果を、企業属性別、対象者属性別に集計したグラフと一覧形式で表示することが可能である。
このアセスメント分析機能は、ＩＳＯ監査サーバ３０のアセスメント実行部３２および結果表示部３３により実現させることができる。その他の点については、第一実施形態と同様であり、本実施形態のブロック図も図２と同様のものとすることができる。
【００７７】
図９は、図３に示すアセスメント処理手順の会員認証（ステップＡ１）の後に、アセスメント実行画面表示を選択するのではなく、アセスメント分析画面を表示する処理を選択した場合の処理フローを示すものである。
アセスメント実行部３２は、企業ＤＢ４３に登録されている情報から、分析対象となる企業属性（業種、業態、規模など）を抽出して、アセスメント分析画面に表示する。そして、分析対象としたい属性を選択入力可能とする。
これに対して、監査者は、監査用端末１０から、属性を選択入力してＩＳＯ監査サーバ３０に送信し、ＩＳＯ監査サーバ３０のアセスメント実行部３２は、この選択入力された属性にもとづいて、企業ＤＢ４３からこの属性をもつ企業を抽出する。また、ステップＣ２において、対象者属性（所属部署や役職など）という切り口を選択して抽出することも可能である。
【００７８】
次に、結果表示部３３は、抽出された企業の企業ＩＤ等にもとづいて、対象企業の履歴ＤＢ４２上のアセスメント実施結果を、質問項目別、評価軸別に重み付けに従って集計し、結果グラフとして表示する（ステップＣ３）。あるいは対象者属性まで指定されていた場合、結果表示部３３は、アセスメント実施結果として、履歴ＤＢ４２上の対象者属性別に集計する。
以上説明したように、本実施形態のＩＳＯ監査システムによれば、企業属性や対象者属性にもとづいて、情報セキュリティアセスメントでの傾向分析を容易に行うことが可能となる。
【００７９】
上記の実施形態におけるアセスメントの出題アルゴリズムの生成や、アセスメント実施結果の集計等は、ＩＳＯ監査プログラムにより実行される。
このＩＳＯ監査プログラムは、コンピュータの各構成要素に指令を送り、所定の処理、例えば、アセスメントの出題アルゴリズムの生成処理や、アセスメント実施結果の集計処理等を行わせる。
これによって、これらの処理は、ＩＳＯ監査プログラムとコンピュータとが協働したＩＳＯ監査サーバ３０などにより実現される。
【００８０】
なお、ＩＳＯ監査プログラムは、コンピュータのＲＯＭやハードディスクに記憶させる他、コンピュータ読み取り可能な記録媒体、たとえば、外部記憶装置及び可搬記録媒体等に格納することができる。
外部記憶装置とは、磁気ディスク等の記録媒体を内蔵し、例えばＩＳＯ監査サーバ３０などに外部接続される記憶増設装置をいう。一方、可搬記録媒体とは、記録媒体駆動装置（ドライブ装置）に装着でき、かつ、持ち運び可能な記録媒体であって、たとえば、ＣＤ−ＲＯＭ、フレキシブルディスク、メモリカード、光磁気ディスク等をいう。
【００８１】
そして、記録媒体に記録されたプログラムは、コンピュータのＲＡＭにロードされて、ＣＰＵにより実行される。この実行により、上述した本実施形態のＩＳＯ監査サーバ３０の機能が実現される。
さらに、コンピュータでＩＳＯ監査プログラムをロードする場合、他のコンピュータで保有されたＩＳＯ監査プログラムを、通信回線を利用して自己の有するＲＡＭや外部記憶装置にダウンロードすることもできる。
このダウンロードされたＩＳＯ監査プログラムも、ＣＰＵにより実行され、本実施形態のアセスメントの出題アルゴリズムの生成処理や、アセスメント実施結果の集計処理等を実現する。
【００８２】
なお、本発明は以上の実施形態に限定されるものではなく、本発明の範囲内において、種々の変更実施が可能であることは言うまでもない。
例えば、出題アルゴリズムの自動生成やアルゴリズムの組み直しにおける詳細な処理手順は、上述の方法に限定されるものではなく、適宜設計変更することが可能である。また、本発明のＩＳＯ監査システムを、ＩＳＯ監査に限らず、他の監査に適用することも可能ある。さらに、本発明の目的を実現可能な範囲内で、フローチャートにおいて、アクセスするＤＢを増加したり、ＤＢからの抽出項目やＤＢへの登録項目を変更するといった各処理の詳細な内容変更や、ブロック図の構成要素の分離・併合などの設計変更を行うことも可能である。
【００８３】
【発明の効果】
以上のように、本発明によれば、質問項目に被監査者の属性に応じた重み付けや、監査の重要度に応じた重み付けを設定することができ、監査者によるその監査の重要度や被監査者の状況に応じたアセスメントの実施レベルの選択にもとづいて、最適なアセスメントの出題アルゴリズムを自動生成することができる。
このため、監査者は、監査そのものに集中しながら進行を図ることができるとともに、監査をより柔軟かつ効率的に実施することが可能となる。
【００８４】
また、本実施形態のＩＳＯ監査システムによれば、監査の精度をあげることができる。すなわち、被監査者の属性に応じて、アセスメントで出題される質問内容と、回答に対する配点とに重み付けを考慮することができるため、同一企業内においても被監査者属性ごとに内容の濃い回答を得ることが可能となる。また、回答の集計が回答数ではなく、重み付けによる配点で行われるため、同一被監査組織内における複数人物の監査結果の比較、分析を定量的に行うことが可能となる。
【００８５】
さらに、ＩＳＯ監査のアセスメント実施結果を即時に表示することにより、短時間での診断を行うことが可能となる。すなわち、アセスメントによる得点は、質問ＤＢ上のＩＳＯ条文に設定した配点と、回答を即時に格納する履歴ＤＢ上のデータとにより自動集計することができ、回答直後に集計結果の一覧表示およびグラフ表示を行うことができる。このため、過去の同一部署におけるアセスメント実施結果や、同一企業内の他の部署におけるアセスメント実施結果との比較グラフも即時に表示可能なため、情報セキュリティレベルやポリシー遵守レベルの比較診断を、その場で即時行うことが可能となる。
【００８６】
また、本実施形態のＩＳＯ監査システムによれば、周到な準備時間や監査ノウハウが無い監査者がアセスメントを実施しても、アセスメント実施結果の出力内容に差がでないという効果が得られる。すなわち、アセスメント用質問セットの共有が可能であるとともに、重み付けを考慮して適切に自動生成されたアルゴリズムに従ってアセスメントを進めることができるため、経験の浅い監査者であっても、熟練者のノウハウを利用したアセスメントを実施することが可能となる。このため、本実施形態のＩＳＯ監査システムは、監査者による監査という本来の利用目的以外に、被監査企業が情報セキュリティの自己診断として行うセルフアセスメントや、ＩＳＯ監査内容の学習や啓蒙教育などにも利用することが可能である。
さらに、企業属性や対象者属性にもとづいて、複数の企業や対象者のアセスメント実施結果の比較を行うことができるため、情報セキュリティアセスメントでの傾向分析を容易に行うことが可能となる。
【００８７】
また、ＩＳＯ監査プログラムは、コンピュータの各構成要素へ所定の指令を送ることにより、このアセスメントの出題アルゴリズムの生成機能や、アセスメント実施結果の集計機能等を実現させることができる。
これによって、これらの機能等は、ＩＳＯ監査プログラムとコンピュータとが協働したＩＳＯ監査サーバにより実現可能である。
【図面の簡単な説明】
【図１】本発明の第一実施形態のＩＳＯ監査システムの概略図である。
【図２】本発明の第一実施形態のＩＳＯ監査システムの構成を示すブロック図である。
【図３】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
【図４】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント履歴画面および監査情報画面を示す図である。
【図５】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント実行画面（回答用）を示す図である。
【図６】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメント集計結果表示画面を示す図である。
【図７】本発明の第二実施形態のＩＳＯ監査システムにおけるアセスメントメンテナンス処理手順を示すフローチャートである。
【図８】本発明の第一実施形態のＩＳＯ監査システムにおけるアセスメントメンテナンス画面を示す図である。
【図９】本発明の第二実施形態のＩＳＯ監査システムにおけるアセスメント処理手順を示すフローチャートである。
【符号の説明】
１０ 監査用端末
２０ メンテナンス用端末
３０ ＩＳＯ監査サーバ
３１ 会員認証部
３２ アセスメント実行部
３３ 結果表示部
３４ アセスメントメンテナンス実行部
４０ データベース装置
４１ 質問ＤＢ
４２ 履歴ＤＢ
４３ 企業ＤＢ
４４ 会員ＤＢ
５０ 通信ネットワーク
Claims (15)
- 通信ネットワークを介して接続された監査用端末と監査サーバを有する監査システムであって、
前記監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、前記監査用端末から受信する被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を前記監査用端末に送信し、
前記監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を前記監査サーバに送信する
ことを特徴とする監査システム。 - 前記監査サーバが、
前記質問ＤＢに登録されている一又は二以上の質問セットから、前記履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、前記被監査者、および前記アセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて前記監査用端末に送信する
ことを特徴とする請求項１記載の監査システム。 - 前記監査サーバが、
前記監査用端末から受信した回答にもとづいて、前記質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を前記監査用端末に送信するとともに、前記回答および前記擬制した回答を前記履歴ＤＢに保存する
ことを特徴とする請求項１または２記載の監査システム。 - 前記監査サーバが、
前記監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、前記質問ＤＢに登録されている各質問の評価軸ごとに、前記得点を集計する
ことを特徴とする請求項１〜３のいずれかに記載の監査システム。 - 前記監査サーバが、
前記評価軸ごとの集計結果を、少なくとも一覧表またはグラフの形式により表示する
ことを特徴とする請求項１〜４のいずれかに記載の監査システム。 - 前記監査サーバが、
前記監査用端末から受信した企業属性、または対象者属性にもとづいて、企業ＤＢから当該企業属性、または対象者属性を有する企業または対象者を抽出し、この抽出した企業または対象者のアセスメント実施結果を前記履歴ＤＢから抽出して、前記評価軸ごとの前記得点を集計する
ことを特徴とする請求項１〜５のいずれかに記載の監査システム。 - 前記監査サーバに、通信ネットワークを介してメンテナンス用端末が接続され、
当該メンテナンス用端末が、メンテナンス対象となる質問項目に対応するＩＳＯの条文番号を前記監査サーバに送信するとともに、前記監査サーバから受信した質問項目編集画面を表示し、かつ、編集入力された質問項目を前記監査サーバへ送信し、
前記監査サーバが、前記メンテナンス用端末から受信した前記条文番号にもとづいて、前記質問ＤＢを検索し、当該条文番号に対応する質問項目が存在する場合は、この質問項目を表示した質問項目編集画面を、当該条文番号に対応する質問項目が存在しない場合は、ブランク表示の質問項目編集画面を、前記メンテナンス用端末に送信し、かつ、前記メンテナンス用端末から受信した前記編集入力された質問項目を前記質問ＤＢに保存する
ことを特徴とする請求項１〜６のいずれかに記載の監査システム。 - 通信ネットワークを介して接続された監査用端末と監査サーバを用いた監査方法であって、
前記監査サーバが、アセスメントの実施にあたり、履歴ＤＢに登録されている当該アセスメントの情報と、質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、前記監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を前記監査用端末に送信し、
前記監査用端末が、送信されてきた質問を表示するとともに、この質問に対する回答を前記監査サーバに送信する
ことを特徴とする監査方法。 - 前記監査サーバが、前記質問ＤＢに登録されている一又は二以上の質問セットから、前記履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索して、検索された質問セットにおける各質問項目の属性が、前記被監査者、および前記アセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出し、この抽出した質問項目を質問番号順に並び替えて前記監査用端末に送信し、
前記監査用端末が、受信した質問項目に対する回答を、前記監査サーバに送信し、
前記監査サーバが、受信した回答にもとづいて、前記質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を前記監査用端末に送信するとともに、前記回答および前記擬制した回答を前記履歴ＤＢに保存する
ことを特徴とする請求項８記載の監査方法。 - 前記監査サーバが、
前記監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、前記質問ＤＢに登録されている各質問の評価軸ごとに、前記得点を集計する
ことを特徴とする請求項８または９記載の監査方法。 - 通信ネットワークを介して、監査用端末に監査のための質問およびアセスメント実施結果を送信する監査サーバであって、
重み付けや配点情報を含んだ質問データを格納する質問ＤＢと、
アセスメント実施結果としての回答データを格納する履歴ＤＢと、
監査を行う監査者情報を格納する会員ＤＢと、
前記監査用端末から受信した会員ＩＤおよびパスワードにもとづいて前記会員ＤＢを検索し、当該会員ＩＤおよびパスワードが前記会員ＤＢに登録されているか否かにより認証を実行する会員認証部と、
アセスメントの実施にあたり、前記履歴ＤＢに登録されている当該アセスメントの情報と、前記質問ＤＢに登録されているＩＳＯ条文に関連する質問情報と、前記監査用端末から受信した被監査者の回答にもとづいて、質問の出題アルゴリズムを組み立てるとともに、この出題アルゴリズムに従い質問を前記監査用端末に送信するアセスメント実行部と、
前記監査用端末からの要求にもとづいて、アセスメント実施結果を表示するアセスメント集計画面を前記監査用端末に送信する結果表示部と、を有する
ことを特徴とする監査サーバ。 - 前記アセスメント実行手段が、
前記質問ＤＢに登録されている一又は二以上の質問セットから、前記履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索し、検索された質問セットにおける各質問項目の属性が、前記被監査者、および前記アセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出して、この抽出した質問項目を質問番号順に並び替えて前記監査用端末に送信し、前記監査用端末から受信した前記質問項目に対応する回答にもとづいて、前記質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直し、この組み直した出題アルゴリズムに従い質問を前記監査用端末に送信するとともに、前記回答および前記擬制した回答を前記履歴ＤＢに保存する
ことを特徴とする請求項１１記載の監査サーバ。 - 前記結果表示部が、
前記監査用端末から受信した回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算し、かつ、前記質問ＤＢに登録されている各質問の評価軸ごとに、前記得点を集計して、少なくとも一覧表またはグラフを作成し、この一覧表またはグラフを前記監査用端末に送信する
ことを特徴とする請求項１１または１２記載の監査サーバ。 - 監査用端末に、監査のための質問およびアセスメント実施結果を、通信ネットワークを介して監査用端末へ送信させる監査プログラムであって、
前記監査サーバに、
質問ＤＢに登録されている一又は二以上の質問セットから、履歴ＤＢに登録されている当該アセスメントの情報における質問タイプにもとづき質問セットを検索させて、検索された質問セットにおける各質問項目の属性が、被監査者、および前記アセスメントの情報におけるアセスメントタイプに合致する質問項目を抽出させ、この抽出させた質問項目を質問番号順に並び替えさせて前記監査用端末に送信させ、
前記監査用端末から受信した前記質問項目に対応する回答にもとづいて、前記質問ＤＢにおける当該回答に対応する質問の関連質問を、その回答内容に応じて肯定回答または否定回答が得られたものと擬制して質問の出題アルゴリズムを組み直させ、この組み直させた出題アルゴリズムに従い質問を前記監査用端末に送信させるとともに、前記回答および前記擬制した回答を前記履歴ＤＢに保存させる
ことを実行させるための監査プログラム。 - 前記監査サーバに、
前記監査用端末から受信させた回答に対し、この回答に対応する質問の配点と、その質問に設定された重み付け配点と、ＩＳＯ条文の章または節ごとに設定された重み付け配点と、にもとづいて得点を計算させ、かつ、前記質問ＤＢに登録されている各質問の評価軸ごとに、前記得点を集計させる
ことを実行させるための請求項１４記載の監査プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003088202A JP2004295590A (ja) | 2003-03-27 | 2003-03-27 | 監査システム、監査方法、監査サーバ及び監査プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003088202A JP2004295590A (ja) | 2003-03-27 | 2003-03-27 | 監査システム、監査方法、監査サーバ及び監査プログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004295590A true JP2004295590A (ja) | 2004-10-21 |
Family
ID=33402395
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003088202A Pending JP2004295590A (ja) | 2003-03-27 | 2003-03-27 | 監査システム、監査方法、監査サーバ及び監査プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004295590A (ja) |
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006244010A (ja) * | 2005-03-02 | 2006-09-14 | Fujitsu Social Science Laboratory Ltd | 監査処理プログラム，装置及び方法 |
| JP2008009819A (ja) * | 2006-06-30 | 2008-01-17 | Uchida Yoko Co Ltd | セキュリティ診断システム |
| JP2009169678A (ja) * | 2008-01-16 | 2009-07-30 | Ricoh Co Ltd | データ入力装置及びデータ入力システム |
| JP2010165099A (ja) * | 2009-01-14 | 2010-07-29 | Mitsubishi Electric Corp | セキュリティ管理装置及びセキュリティ管理方法及びプログラム |
| CN107230022A (zh) * | 2017-06-09 | 2017-10-03 | 国网重庆市电力公司电力科学研究院 | 一种基于ahp的电能计量装置安装工艺质量的评价方法 |
| JP2017188082A (ja) * | 2016-03-30 | 2017-10-12 | 三菱Ｕｆｊ信託銀行株式会社 | 金融リテラシーコンサルティングシステム及びその方法 |
| CN109325021A (zh) * | 2018-10-17 | 2019-02-12 | 大国创新智能科技(东莞)有限公司 | 基于大数据和深度学习的跟踪认定方法和机器人系统 |
| JP2022054183A (ja) * | 2020-09-25 | 2022-04-06 | 三菱電機インフォメーションネットワーク株式会社 | 評価点補正装置及び評価点補正プログラム |
| JP2022115543A (ja) * | 2021-01-28 | 2022-08-09 | 社会保険労務士法人みらいコンサルティング | 監査支援装置および監査支援方法 |
-
2003
- 2003-03-27 JP JP2003088202A patent/JP2004295590A/ja active Pending
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006244010A (ja) * | 2005-03-02 | 2006-09-14 | Fujitsu Social Science Laboratory Ltd | 監査処理プログラム，装置及び方法 |
| JP4572126B2 (ja) * | 2005-03-02 | 2010-10-27 | 株式会社富士通ソーシアルサイエンスラボラトリ | 監査処理プログラム，装置及び方法 |
| JP2008009819A (ja) * | 2006-06-30 | 2008-01-17 | Uchida Yoko Co Ltd | セキュリティ診断システム |
| JP2009169678A (ja) * | 2008-01-16 | 2009-07-30 | Ricoh Co Ltd | データ入力装置及びデータ入力システム |
| JP2010165099A (ja) * | 2009-01-14 | 2010-07-29 | Mitsubishi Electric Corp | セキュリティ管理装置及びセキュリティ管理方法及びプログラム |
| JP2017188082A (ja) * | 2016-03-30 | 2017-10-12 | 三菱Ｕｆｊ信託銀行株式会社 | 金融リテラシーコンサルティングシステム及びその方法 |
| CN107230022A (zh) * | 2017-06-09 | 2017-10-03 | 国网重庆市电力公司电力科学研究院 | 一种基于ahp的电能计量装置安装工艺质量的评价方法 |
| CN107230022B (zh) * | 2017-06-09 | 2021-01-29 | 国网重庆市电力公司电力科学研究院 | 一种基于ahp的电能计量装置安装工艺质量的评价方法 |
| CN109325021A (zh) * | 2018-10-17 | 2019-02-12 | 大国创新智能科技(东莞)有限公司 | 基于大数据和深度学习的跟踪认定方法和机器人系统 |
| CN109325021B (zh) * | 2018-10-17 | 2021-11-02 | 大国创新智能科技(东莞)有限公司 | 基于大数据和深度学习的跟踪认定方法和机器人系统 |
| JP2022054183A (ja) * | 2020-09-25 | 2022-04-06 | 三菱電機インフォメーションネットワーク株式会社 | 評価点補正装置及び評価点補正プログラム |
| JP7071462B2 (ja) | 2020-09-25 | 2022-05-19 | 三菱電機インフォメーションネットワーク株式会社 | 評価点補正装置及び評価点補正プログラム |
| JP2022115543A (ja) * | 2021-01-28 | 2022-08-09 | 社会保険労務士法人みらいコンサルティング | 監査支援装置および監査支援方法 |
| JP7127166B2 (ja) | 2021-01-28 | 2022-08-29 | 社会保険労務士法人みらいコンサルティング | 監査支援装置および監査支援方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Ali et al. | Does higher education service quality effect student satisfaction, image and loyalty? A study of international students in Malaysian public universities | |
| Scheidt et al. | Making a case for speech analytics to improve customer service quality: Vision, implementation, and evaluation | |
| Mwanza | Conceptualising work activity for CAL systems design | |
| US7668745B2 (en) | Human resource assessment | |
| US8112306B2 (en) | System and method for facilitating triggers and workflows in workforce optimization | |
| Jennex et al. | A knowledge management success model: An extension of DeLone and McLean's IS success model | |
| CN110232573A (zh) | 基于交互式的智能应答系统 | |
| US20070198325A1 (en) | System and method for facilitating triggers and workflows in workforce optimization | |
| US20060031115A1 (en) | Human resource assessment | |
| EP3058523A2 (en) | Assessment system | |
| JP5854988B2 (ja) | 診断システム | |
| JP2002157380A (ja) | 企業研修企画方法及び企業研修情報取得方法 | |
| US20150254995A1 (en) | System for identifying orientations of an individual | |
| KR102370384B1 (ko) | 데이터 가공을 통한 비대면 면접 방법 | |
| Wooderson et al. | Evaluating the performance improvement preferences of disability service managers: An exploratory study using Gilbert's behavior engineering model | |
| JP2004295590A (ja) | 監査システム、監査方法、監査サーバ及び監査プログラム | |
| CN109685444A (zh) | 签报自动审批方法、装置、设备及计算机可读存储介质 | |
| US20020091558A1 (en) | System and method for determining and implementing best practice in a distributed workforce | |
| Natt och Dag et al. | An experiment on linguistic tool support for consolidation of requirements from multiple sources in market-driven product development | |
| Yu et al. | Testing the value of expert insight: Comparing local versus general expert judgment models | |
| JP2002032538A (ja) | スキル管理システム及びコンピュータ読み取り可能な記録媒体 | |
| KR20220070904A (ko) | 온라인 상담 서비스 시스템 | |
| Doloh et al. | The Role of Financial Behavior, Financial Stress, and Financial Well-Being in Explaining Islamic Financial Literacy among University Students. | |
| JP7002162B1 (ja) | プログラム、情報処理装置、及び方法 | |
| JP2004110502A (ja) | 分析結果提供方法、分析結果提供システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060104 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060131 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060403 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070327 |