--- title: サイバーセキュリティ監査に向けてどのような準備が必要か？ description: サイバーセキュリティ監査を予定している企業に役立つ、監査の効果を最適化するためのベストプラクティスを解説しています。第三者が実施する外部監査は高額になりがちです。提案するベストプラクティスに沿って可能な限りの準備をしておくことをお勧めします。 canonical_url: https://www.acronis.com/ja/blog/posts/cyber-security-audit/ locale: ja last_updated: 2026-10-27 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # サイバーセキュリティ監査に向けてどのような準備が必要か？ サイバーセキュリティ監査の準備をしている組織は、監査の価値を最適化するためのベストプラクティスを学ぶために、この記事を読みたいと思うでしょう。第三者が実施する外部監査は高額になる可能性があるため、以下のベストプラクティスに沿って可能な限りの準備をしておくことをお勧めします。 [試用を申し込む](https://www.acronis.com/ja/products/cloud/trial/) [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 9 分で読める内容です Last updated 2022年8月29日(月) その他の利用可能な言語[English](https://www.acronis.com/en/blog/posts/cyber-security-audit/) [Español](https://www.acronis.com/es/blog/posts/cyber-security-audit/) [Français](https://www.acronis.com/fr/blog/posts/cyber-security-audit/) [サイバーセキュリティ](https://www.acronis.com/ja-jp/blog/posts/what-is-cyber-security/)監査を予定している企業に役立つ、監査の効果を最適化するためのベストプラクティスを解説しています。第三者が実施する外部監査は高額になりがちです。提案するベストプラクティスに沿って可能な限りの準備をしておくことをお勧めします。 ## サイバーセキュリティ監査とは何ですか？ サイバーセキュリティ監査とは、企業が想定されるすべてのリスクに対処するためのセキュリティポリシーを備えているかどうかをチェックし、検証する手法です。監査は、外部組織への準備として、内部スタッフが行うこともできます。 組織が、EU一般データ保護規則（GDPR）、カリフォルニア消費者プライバシー法（CCPA）、Payment Card Industry Data Security Standard（PCI DSS）、Health Insurance Portability and Accountability Act（ HIPAA）「医療保険の相互運用性と説明責任に関する法律」、ISO 27001などの規制要件の対象となっている場合は、外部監査人を雇ってコンプライアンスを検証し、認証を受ける必要があります。 サイバーセキュリティ監査は、サイバーセキュリティ評価とは異なります。監査は、特定のリスクに対処していることを検証するチェックリストで構成されているのに対し、アセスメントは、リスクがどれだけうまく実装されているかをテストするものです。 ## サイバーセキュリティ監査のベストプラクティス サイバーセキュリティ監査の準備について詳細な情報を提供している出版物は数多くありますが、以下では外部監査に備えて必要なポイントをまとめています。 ### セキュリティポリシーの策定 すべての組織は、組織のITインフラ、特に機密データや個人情報の取り扱いに関するルールと手順を明記したセキュリティポリシーを策定する必要があります。以前にこれらのポリシーを策定した場合は、今こそ、データの機密性、データの完全性、およびデータへの安全なアクセスを確保するために、自社の業界および適用されるコンプライアンス要件に関連して、ポリシーを見直す必要があります。例えば、セキュリティポリシーには以下の項目が含まれます。 * 何を保護するか？（例：データ、ビジネスアプリケーション、ハードウェアなど） * どのように保護するのか。（例：パスワードの使用など） * データへのアクセスをどのように監視し、ロックするのか。 * 個人情報や機密データをどのように保護するか。 * データの正確性と完全性をどのように維持するか。 * アーカイブされたデータをどのように保護するか。 組織のセキュリティポリシーの準備および見直しに役立つ情報として、米国標準技術研究 所（NIST）の「サイバーセキュリティ・フレームワーク」を参照することができます。 「NISTフレームワークは、組織がサイバーセキュリティのリスクをより適切に管理・低減するための、既存の標準、ガイドライン、およびプラクティスに基づく自主的なガイダンスです。組織がリスクを管理・削減することに加えて、組織の内外の利害関係者の間でリスクおよびサイバーセキュリティ管理のコミュニケーションを促進し、サイバー攻撃を防止・検知・対応する能力を向上させることを目的としています。」 ### サイバーセキュリティポリシーの見直しとクロスチェック おそらく、異なる時期に異なる個人によって作成された様々なセキュリティポリシーがあることでしょう。今こそこれらのポリシーを見直し、一貫性があることを確認するためにクロスリファレンスを行うべきです。例えば、バックアップポリシーで30日ごとにバックアップを取ることになっている場合、そのバックアップに依存しているディザスタリカバリポリシーの RPO（Recovery Point Objectives、「目標復旧地点」）を満たすことができない可能性があります。災害が発生した場合、最大で30日分のデータが失われる可能性があります。多要素認証を使用していないシステムの場合、パスワードポリシーでは、非常に強力なパスワードを要求し、頻繁に変更する必要があります。 これらのセキュリティポリシーの例としては、以下のものがあります。 データセキュリティポリシー。機密データを覗き見されないようにするにはどうすればよいでしょうか。 データプライバシー・ポリシー。個人的なデータをどのように秘密にしておけばよいでしょうか。 ネットワークアクセスコントロール。権限を持ち、セキュリティポリシーに準拠したデバイスのみに、ネットワークアクセスをどのように制限していますか？ネットワーク機器には、必要なセキュリティパッチやサイバーセキュリティ対策が施されていますか。 バックアップポリシー。システム、アプリケーション、およびデータを、いつ、どのようにバックアップしていますか。 パスワードポリシー。組織のパスワードポリシーはどのようなもので、どのように管理していますか。 災害復旧ポリシー。システムとデータを確実に回復するために、ディザスタリカバリ計画は定期的に実施・更新されていますか？目標復旧時間（RTO）と目標復旧地点（RPO） を満たすことができますか。 リモートワークのポリシー。リモートワーカーのデバイスのセキュリティと保護をどのように確保していますか。 従業員の電子メールとインターネットに関するポリシー。従業員が電子メールや会社のイ ンターネットをビジネスのために使用し、個人的なコミュニケーションやデータ、ファイルが 秘密にされているという期待を持たないようにするにはどうしたらよいでしょうか。また、嫌がらせや脅迫、不快感を与えるようなメールを送信してはならないことを、従業員が理解していることを確認するにはどうすればよいでしょうか。 アクセプタブルユースポリシー。従業員が企業ネットワークへのアクセスを許可される前に、どのような手続きに同意しなければなりませんか。 ### ネットワーク構造の強化 安全なネットワークトポロジーの構造と設計を行うことが重要です。例えば、ネットワークを細分化する場合、財務部門のサーバーを研究開発部門や人事部門のサーバーと同じネットワークやサブネットワークに置くべきではありません。むしろ、ネットワークを小さなゾーンに分割することで、機密情報を含むサービスが区分けされ、セキュリティが強化されます。また、ファイアウォールやその他のネットワークセキュリティツールが導入されているかどうかを確認してください。 ### ビジネス・コンプライアンス基準の見直しと適用 GDPR、PCI、HIPAAなどの規制を受けている場合は、適用される規制に準拠していることを確認し、この話題を監査人との会話の一部にしてください。監査人はおそらく、適用されるコンプライアンス規制についてあなたのチームにアプローチするでしょうから、コンプライアンスを証明する文書を準備しておいてください。 ### 従業員の職場基準の見直しと適用 監査に先立ち、従業員の電子メールとインターネットに関するポリシーが全従業員に理解され、遵守されているかどうかを必ず確認してください。例えば、従業員はギャンブルや ポルノサイトなど、犯罪や不快な内容を含むウェブサイトを閲覧すべきではありません。従業員は、著作権法に違反するコンテンツを保存してはいけません。従業員は、会社の電子メールアドレスを個人的な仕事に使用してはいけません。組織は、従業員が送信した電子メールや、従業員のマシンに保存されているコンテンツを確認し、マルウェア、詐欺、職場 でのハラスメントなどをチェックする権利を有します。 ### 内部のサイバーセキュリティ監査の実施 外部監査を開始する前に、上述のベストプラクティスに従って内部監査を実施し、コンプライアンス違反やセキュリティギャップをテストすることを強く推奨します。内部のサイバーセキュリティ監査では、ポリシー、プロセス、コントロールの手動レビューと、主要なインフラストラクチャやセキュリティシステムの自動レビューを組み合わせることができます。 内部監査を実施する理由は2つあります。まず、外部監査は、数万ドルから数十万ドルと非常に高額な費用がかかります。外部監査の費用をかける前に、自社のコンプライアンス体制を把握しておくことで、問題点を事前に解決することができます。また、外部監査に伴うストレスを軽減し、不測の事態を回避することができます。 #### Acronis Cyber Protect ：すべてのサイバーセキュリティのニーズに対応する1つのソリューション Acronis Cyber Protectでは、マシンにインストールされているすべてのソフトウェアとハードウェアの資産を、自動スキャンとオンデマンド・スキャンのいずれかを選択して検出することができます。さらに、ソフトウェアまたはハードウェア資産を複数の条件で閲覧・フィルタリングしたり、インベントリレポートを簡単に作成したり、マシンが削除されると記録を自動削除したりすることができます。 コンプライアンス監査に合格するためには、組織は[さまざまなサイバーセキュリティ技術](https://www.acronis.com/ja-jp/blog/posts/what-is-cyber-security//)やツールを使用して、システムのバックアップ、ウイルス対策ソフトウェア、災害復旧などの重要なコンプライアンス要件をサポートする必要があります。多くのセキュリティソフトウェアプロバイダーは、これらをポイントソリューションとして提供しています。実際、アクロニスが毎年実施している「Cyber Protection Week」の2021調査によると、80%の組織がデータ保護とサイバーセキュリティのニーズに対して10ものソリューションを同時に実行しているにもかかわらず、それらの組織の半数以上が昨年、データ損失のために予期せぬダウンタイムに見舞われています。この調査から得られた教訓は、ソリューションの数が多ければ多いほど保護できるわけではないということです。 アクロニスは、複数のソリューションを使用することで生じるコスト、非効率性、およびセキュリティ上の課題を認識しています。そのため、サイバー保護分野のパイオニアであるアクロニスは、単一の統合サイバーセキュリティソリューションを提供しています。 Acronis Cyber Protectは、バックアップとデータ保護、次世代のAIベースのアンチマルウェア、保護管理を1つの統合されたソリューションにまとめ、現代の脅威に対する完全なサイバー保護を実現する唯一のソリューションです。このソリューションは、バックアップ、アンチウイルス、パッチ管理、リモートアクセス、ワークロード管理、監視、レポートツールなどのセキュリティツールや技術をバンドルしただけの他のセキュリティソリューションや、孤立したレガシーなポイントソリューションとは異なります。Acronis Cyber Protectは、これらすべてのテクノロジーを1つのソリューションにパッケージ化しており、外部のサイバーセキュリティ監査に備えることができます。 [サイバーセキュリティ](https://www.acronis.com/ja/blog/tags/cybersecurity/) [データ保護](https://www.acronis.com/ja/blog/tags/data-protection/) [データ漏洩対策](https://www.acronis.com/ja/blog/tags/data-loss-prevention/) [脅威検知](https://www.acronis.com/ja/blog/tags/threat-detection/) ## Written by ![Image 3: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/advanced-malware-protection/) [高度なマルウェア対策とは？その概要と重要性](https://www.acronis.com/ja/blog/posts/advanced-malware-protection/) [次の記事](https://www.acronis.com/ja/blog/posts/what-is-data-security/) [データセキュリティとは？](https://www.acronis.com/ja/blog/posts/what-is-data-security/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 4: アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://staticfiles.acronis.com/images/blog-card/e281cc03e2f1c206b3a0980077147e72.png) [アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://www.acronis.com/ja/blog/posts/acronis-expands-mdr-toward-broader-workspace-protection/) サイバー攻撃は業務時間に関係なく発生します。夜間や週末、休暇中も例外ではありません。Acronis MDR by Acronis TRU（アクロニス自社が提供するMDRサービス）は、パートナーが自社でセキュリティオペレーションセンター（SOC）を構築することなく、エキスパートによる24時間365日の監視、調査、対応を可能にします。 アクロニスは、こうした専門知識の提供をより容易にし、パートナーがより多くのリスクに対処できるよう、MDRサービスの機能を拡充しています。これらの取り組みは、アクロニスによるマネージドセキュリティへの幅広いコミットメントに基づくものです。相互につながるワークスペースをMSP（ITサービス事業者）が保護できるように支援すると同時に、その顧客が脅威の調査、効果的な対応、事業継続に必要なエキスパートの支援を受けられることを目的としています。 **2026年10月14日(水)**8 分で読める内容です ![Image 5: OT ダウンタイムのコストは？潜在的な損失を算出](https://staticfiles.acronis.com/images/blog-card/7095be980c896c01b957951b13031803.png) [OT ダウンタイムのコストは？潜在的な損失を算出](https://www.acronis.com/ja/blog/posts/how-much-does-ot-downtime-cost-calculate-your-potential-losses/) 製造業は運用のモダナイズを進める中で、厳しい現実に直面しています。サイバーセキュリティ関連のインシデントが、いまや機械的な故障よりも多くのダウンタイムを引き起こしているのです。アクロニスのエキスパートが開発した新しい ICS/OT ダウンタイムカリキュレーターは、製造による収益、人件費、諸経費、そして貴社固有の環境要素を基に、ダウンタイムが事業に与える実際のコストを算出するための基準値を提示します。これは、リスク低減に向けた実践的な議論をするための出発点となるものです。 **2026年9月14日(月)**6 分で読める内容です ![Image 6: エアギャップネットワークの保護とOTセキュリティ](https://staticfiles.acronis.com/images/blog-card/22db728b1f126e454e37f4b99645f3c3.png) [エアギャップネットワークの保護とOTセキュリティ](https://www.acronis.com/ja/blog/posts/air-gap-ot-network-protection/) 隔離されたOT環境をUSBマルウェアやランサムウェアから守る方法を解説。オフライン保護、リムーバブルメディア管理、バックアップと迅速な復旧の要点を紹介します。 **2026年8月14日(金)**7 分で読める内容です