20-1. セキュリティ機能の実装と運用

例：作業責任を正しく理解しトラブルを防ぐ 　運用・保守の活動やそれに係る「サービス・業務の運営と改善」などの活動には、さまざまな関係者が関わります。それぞれの作業内容や責任範囲が曖昧になってしまうと、作業漏れや関係者間の意思疎通が不十分となることによる新たな問題が発生するリスクが増大します。悪くすると、情報システムの安定的な稼動への問題発生、改善活動の停滞などを招き、プロジェクトの目標達成に影響が出てしまいかねません。

外部委託事業者へ依頼する作業の内容を明確にする 　「運用」および「保守」に係る作業は、基本的に外部事業者に委託して実施します。その理由は、内容が専門的であることや、手順に沿った定型かつ大量な作業が多いため、PJMOや業務実施部門の従業員が実施すると、かえって非効率になる可能性があるためです。外部事業者と役割を適切に分担することにより、発注者側の従業員は、業務の質向上やコスト削減などの、本来従業員が行う事業者では実施できない作業に、より注力することができます。
外部事業者に依頼する作業や役割は、調達の段階で調達仕様書に明記しておく必要があります。事業者確定後にこれらの詳細を詰めようとすることは、トラブルの原因となりますので、注意が必要です。

指標の基礎データを誰がどのように集めるかを明確にする 　指標に用いるデータを取得するための作業は、標準ガイドライン「第８章サービス・業務の運営と改善」の作業と密接に関連します。サービス・業務の運営と改善では、プロジェクト計画書で定めたプロジェクトの目的・目標が実現できているかに関して、いくつかの指標（KPI（Key Performance Indicator））を用いて判断し、業務の改善や見直しを行います。指標（KPI）は、基礎値の組み合わせによって、表されます。
指標のもととなる各種データは、種類ごとに、取得先、取得手段、取得頻度などについて詳細な検討が必要です。代表的なデータとして、情報システムが稼動している際に作り出されるログやトランザクションデータと呼ばれるものが挙げられます。これらは、従業員が自ら取り出せるもの、運用事業者に依頼しないと取り出せないものなど、データの取得には制約が発生します。前者であれば、事前に技術的な経験のない従業員でも容易に取得できるように、取得手段が機能化されている必要があります。後者は対象と取得手順が明確に定義されていなければ、定常的な運用作業として継続できません。
これらを踏まえて、取りこぼしが発生しないよう、必要なデータ項目を事前に把握するとともに、外部事業者に取得を求める場合は調達仕様書に明記しておくことが大切です。
指標は、いざ算出しようしたときに、算出根拠となる基礎情報が不足していることが判明し、その情報を追加入手するためには想像以上に困難であることに気づくことがあります。特に、ある分析結果からより多角的な分析が必要になった場合、特定の情報に対する付加情報として「区分」や「属性」など、より詳細な情報が求められることがあります。このような情報は、事前に取得・保管する仕組みが備わっていなければ、その時点から遡ってデータを取得することが不可能なこともあります。また、取得可能だったとしても、多くの手間を必要とする場合もあり、そのようなデータは頻繁なモニタリングが敬遠され、結果として指標が適切な時期に算出できず、対策が遅れてしまうことにもつながりかねません。
運用・保守を開始してからトラブルとならないよう、事前に具体的なモニタリングの方法や役割分担を検討し、事業者に依頼する場合は調達仕様書に作業内容を明記することが重要です。
また、平均値を指標とするときは、集計対象の種類や内容が同種のもので平均値を算出するようにし、異なる性質のものを混合して値を算出しないようにすることが重要です。

業務実施部門を含めた運用体制を確立する 　情報システムの各種テストが完了し、後は本番リリースを迎えるだけという状態に準備が整い、運用・保守フェーズを任せる事業者が確定したら、サービス・業務を利用者に提供するまであと一歩です。運用・保守フェーズでは、最初に司令塔となるPJMOを含んだ運用統制を行うチームを構築し、プロジェクトを管理していくことになります。円滑な運営を進めるためには、注意点があります。業務実施部門（主に当該情報システムの業務統括部門）とのコミュニケーションと役割分担です。
業務実施部門には、情報システムを用いて実際に業務を行う従業員が集まっています。この多くの従業員に、プロジェクトの目的・目標を理解してもらうことは、標準ガイドライン「第８章サービス・業務の運営と改善」で触れています。運営に入ってからは次の点に気をつけて実施することが重要です。

　業務実施部門とPJMOとの関わりについては、プロジェクト立ち上げ時のPJMOの組成にまでさかのぼります。そこでは、基本的にPJMOには制度所管部門および情報システム部門とともに、業務実施部門の担当者が参画することが望ましいことが言及されています。
これまでは、新しいサービス・業務の要件を定めるために、業務実施部門の従業員から意見・要望を収集することが主でした。しかし、サービス・業務の運営フェーズになると、コミュニケーションの流れが、収集だけではなく、業務実施部門からの情報提供が加わります。
利用者からの意見や要望を把握するためには、最も接点が多い業務実施部門の従業員からの情報提供が欠かせません。また、運用・保守で発生した報告内容には、利用者からの問い合わせや発見した不具合、不具合修正に伴う情報システムの稼動停止連絡など、さまざまな情報が含まれます。
これらを業務実施部門と共有することにより、業務実施部門の中で必要な調整や対策を行い、今後問題を引き起こすリスクを低減させることが可能となります。
そのためにも、プロジェクトの情報が集まるPJMOへの参画、定期報告会への必要な人員の出席、代表者から業務実施部門の関係者全員への情報伝達手段などを、運用および保守が開始する前に取り決めておくことが重要です。
　
障害発生時の役割分担に注意する 　障害が発生しない情報システムは、ほぼありません。大切なのは、障害が発生した際に適切な対応をとることで被害を最小限に留め、暫定対策から恒久対策を実施し、将来にわたって同じまたは同じような障害を発生させないようにすることです。そのためには、障害対応という急を要する状況の中でも、PJMO、運用の事業者、保守の事業者、そのほかの関係者が適切な役割分担の下に協働して対応を進めていくことが必要になります。運用と保守の事業者が異なる場合や、運用・保守それぞれを複数事業者で分担して実施する場合もあり、役割や責任が曖昧になることで対応が遅くなってしまうことや被害が拡大してしまうことも多いです。
まずは、障害発生時における運用と保守の基本的な役割分担を理解することが重要です。この考え方を踏まえた上で、プロジェクトの体制や特性を踏まえて、詳細を決めていきます。
極端な例ですが、PJMOの体制が1名の場合は、24時間365日稼動するサービスへの対応は十分にできません。どのようなタイミングで障害が発生するかは予想できないからです。深夜や休暇取得中など、PJMOが対応できない状況が存在することを前提に、運用事業者・保守事業者と役割分担を検討する必要があります。

例：システム監査の理解
監査の種類を理解する 　「監査」と聞くと、会計検査院が実施する会計検査や、会社法、金融商品取引法に基づく財務諸表監査を思い出すかもしれません。これらは、会計監査に当たります。標準ガイドラインで扱うシステム監査は、業務監査の一部に位置づけられます。また、監査人が誰かにより監査が分類されることもありますが、その分類においては内部監査に当たります。
また、システム監査と混同しがちな監査に、情報セキュリティ監査があります。情報セキュリティ監査は、元々はシステム監査における監査テーマの一つであり、近年、情報漏えいなど、多くの情報セキュリティに関する事件・事故が多発してきた結果として、情報セキュリティに特化した監査として定着してきているものです。