IT全般統制のユーザー職務分離の要件をiSecurityで対応

グループ企業でJ-SOX法への対応し始めたため、System iをリプレースするタイミングで監査対策を開始。

IT全般統制では、プログラムソースを触る開発担当者と、本番環境に自由にアクセスしてプログラムをリリースする運用担当者を分離する必要があるのだが、開発と運用を職制で分離するのは難しい。
System iのOSの基本機能で、システム全体のログを取得できる機能があるが、それでは、監査担当者がわからないので、監査担当者がわかる形式のログとして出力したい。

開発者5名に対し、プログラムリリース時にのみ、システム管理者が各自の申請に基づいて、本番環境へアクセスできる特別なユーザーIDを時限的に付与することにした。発行したユーザーIDに対して、iSecurityのログを取得することで、本番環境でのプログラムリリースが正しく行われているか確認できるようになり、事実上、開発担当者と運用担当者の職務分離を実現することができた。

運用担当者が1年間で行うプログラム変更約50件、オペレーションの変更依頼30～40件、不具合への対応20～30件に対してのプログラムリリースをすべてiSecurityログで管理できている。また、親会社の管理部門からはツールをうまく使ってログを適切に取得し、プログラムに事実上不正な変更がないことを定期的に確認できる仕組みが確立されており、IT全般統制の基準を満たしているという高い評価を受けた。