世界かぶりもの協会ぷれぜんつ IT監査人のためのSRC study note

今回は”コンプライアンス”の語源から、その意味や日本で”なんとなく毛嫌いされちゃう理由”を考えてみました。

また、趣味の勉強ついでに、ポルトガル語で”買う”はcomprarである、”一緒に”は”com”と覚えることができます。

最近、ISACAの資格のラインナップにCETやITCAというものが追加されていたり、資格の中でもCERTIFICATIONとCERTIFICATESというようにカテゴリが分かれています。

今回のPodcastでは、こうした違いであったり、また、こうした様々な資格って何が今求められてるからできてきてるんだろ、監査人のキャリアってどうなのよ、という雑談をしていきます。

今回はクラウドでよく使われている監査報告書のSOCレポートや、CSA STARを踏まえ、なんでクラウドのための評価のする基準などが必要なんだろ、といったお話をしてみました。

何かを評価するためには、その評価にあった”物差し”が必要だよね、ということです。（ここだけ読んじゃえば聞く必要ないじゃん）

”そもそもなんで監査人って重要なデータにアクセスできんのさ？”ということと、クラウド事業者が連名で立ち上げたTrusted Cloud Principlesのご紹介です。

今回は様々な資格のCPEにもしかしたら使えるかも、ということで１時間を超えています。CPE的な証書は以下のフォームでアンケート答えてくださいませ（個人情報の管理はする気が全くないので匿名）

https://forms.gle/Y4XW7vk4t3u45iSi8

もしも不具合などあったらごめんちゃい。

Compliance as Codeや運用の自動化など、セキュリティの様々な面で技術的な効率性を実現する仕組みが増えてきたように思えます。

クラウドの一つの利点であるこうしたCode化が監査人（多分、多くの人はそんなにプログラミングとか得意じゃない（私もそう））のお仕事にどんな影響を及ぼすかをちょっと考えてみたいと思います。

また、次回くらいからCPE（継続教育）の単位にできるような仕組みを考えてます。

友人がハッシュタグを作ってくれました。

#kaburimonokyokai

今回は、CCAKのテキストから、Goal-Question-Metric Approachというコントロールを実装していく上での基本的な考え方、というのを学習していきます。

監査をする上でも、”そもそもこれって何のためにやってるんだっけ？””確かにセキュリティは守れているけど、ビジネスの邪魔になっていない？”ということもあるかもしれません。

そんな時に立ち戻るための考え方です。

友人がハッシュタグを作ってくれました。

#kaburimonokyokai

今回は、CCAKのテキストから、Cloud固有のコントロールとは何かを考えるポイントをいくつかあげています。

今回はISACAが2021年8月26日に発表した「5 Key Differences For Your Organization To Consider」に基づき、監査の観点からのクラウドとオンプレミスの違いをご紹介します。

ポイント：

ITにおける所有と利用の違い

リンク：

https://www.isaca.org/resources/infographics/the-certificate-of-cloud-auditing-knowledge

Security, Risk, Complianceのゆるゆる学習をアウトプットするPodcastの第0回です。

これから進める上でのスタンスなどを簡単に話しております。