コンプライアンスとは？

コンプライアンスの意味

法令、業界規制、契約、社内規程、社会規範を遵守すること。内部統制の目的の一つであり、統制環境の要素でもある。違反の防止だけでなく、違反を早期に発見・是正する仕組みも含む。

コンプライアンスの具体例

行動規範の周知、eラーニングによる教育、内部通報窓口の設置、定期的な遵守状況のモニタリング。

コンプライアンスは試験でどう引っ掛けられる？

法令遵守だけと狭く覚えると誤答する。契約・社内規程・社会規範まで含む。内部統制の4目的（業務の有効性と効率性、報告の信頼性、法令等の遵守、資産の保全）の一つであり、同時に統制環境の要素でもある二重の位置づけも狙われる。

コンプライアンスと関連する用語

• 内部統制
• 統制環境
• ホイッスルブローイング

コンプライアンスが出た過去問

• セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。

  正解：クラウドサービス利用組織の管理者が,組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBは利用側がクラウド利用を可視化・制御する仕組み

  CASBは、利用者とクラウドサービスの間に位置して通信を可視化・制御する仕組みで、可視化、コンプライアンス、データセキュリティ、脅威防御の四つの機能が柱とされる。導入するのはクラウドを利用する側の組織であり、従業員がどのクラウドサービスをどう使っているかを把握できるため、情報システム部門が把握していないシャドーITの発見に有効である。クラウド事業者側の運用対策とは立場が異なる点に注意する。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• セキュリティ対策として,CASB(Cloud Access Security Broker)を利用した際の効果はどれか。

  正解：クラウドサービス利用組織の管理者が,従業員が利用しているクラウドサービスに対して,CASBを利用して利用状況の可視化を行うことによって,許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBは利用状況の可視化でシャドーITを見つけ統制する

  CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または可視化することで、どの部署の誰がどのサービスをどう使っているかを把握し、統一した方針を適用する仕組みである。情報システム部門が把握していない、いわゆるシャドーITの発見と統制はその代表的な効果であり、可視化・コンプライアンス・データ保護・脅威防御の四つの柱で説明される。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問10（IPA）

• セキュリティ対策として、CASBを利用した際の効果はどれか。

  正解：クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用している者を特定できる。

  要点：CASBはクラウド利用を可視化しシャドーITを把握できる

  CASBは、利用者とクラウドサービスの間に位置し、通信を仲介または監視してクラウド利用を統制する仕組みである。どの部署の誰がどのサービスを使っているかを可視化できるため、情報システム部門が把握していない、いわゆるシャドーITの発見に有効である。可視化のほか、データ保護、脅威防御、コンプライアンス確認といった機能も提供される。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）