#30　発見しても、是正しなければ

内部監査入門（事件でわかる、内部監査の考え方）｜第30回／章「内部統制」｜読了 約4分

発見は、働いたのか

内部統制には、予防、発見、是正の、3つの種類があります。家の防犯で言えば、鍵、防犯カメラ、警備会社への通報なんですね。

今回のテーマは、2013年、アメリカの大手小売、ターゲットの事件です。

攻撃者は、取引先の空調業者を経由して社内に侵入し、予防という壁は、思わぬ入口から破られたんです。

予防は、破られました。でも、異常を見つける発見的統制は、なかったのか。

そこを、見ていきましょう。

アラートは、鳴った

実は、ターゲットは、しっかり備えていたんです。ここからの話は、米上院の調査報告が当時の報道を引いて整理したもの。

その前提で、聞いてください。

2013年の5月頃、ターゲットは約160万ドル、日本円でおおよそ2億円ほどをかけて、高性能なマルウェア検知システムを導入していました。

その名は、ファイア・アイ。社内に侵入した異常を見つけ出す、まさに発見的統制なんです。

そして、このファイア・アイは、仕事をしたんです。2013年11月30日、最初のアラートが上がりました。

「マルウェアを検知しました。」12月2日にも、2回目のアラートが出たと記録されています。

発見的統制は、ちゃんと機能した。異常の音は、鳴ったんですね。

是正だけが、切れた

このアラートは、どこへ届いたのか。インドのバンガロールにいるセキュリティチームが検知し、アメリカのミネアポリス本社に通知を上げた、と整理されています。

警報の音は、本社にも、伝わったんですね。

では、ミネアポリス本社は、どうしたのか。本来なら、報告を受けた本社が、すぐに動くはずです。

事実を確認し、感染した端末を切り離し、被害の拡大を止める。それが是正的統制の役割です。

ところが、本社は、その対応を取らなかった、と整理されています。なぜ動かなかったのか。

その理由は、公表されている資料だけでは、断定できません。警報は鳴った。

でも、応答する人が、動かなかったんです。

さらに、驚くべき指摘もあります。ファイア・アイには、マルウェアを自動で削除する機能があったのに、それはオフに設定されていたと報じられています。

手動で確認する運用にしていたのに、検知したあとの対処は、取られなかったんですね。

その結果、マルウェアは、発見されたあとも、さらに約2週間、動き続けたんです。動き出すきっかけを作ったのは、ターゲット自身では、ありませんでした。

外部の決済処理業者が不審な取引に気づき、ようやく全社の対応が始まった、と伝えられています。

皆さん、ここで、統制の連鎖を、振り返ってみましょう。予防的統制、取引先に渡したIDの管理。

ここに穴があり、壁は破られていました。発見的統制、ファイア・アイのアラート。

これは、機能した。是正的統制、アラートへの対応。

これが、完全に切れていたんですね。気づくことはできた。

でも、対処する人と仕組みが、動かなかったんです。

是正しなければ、同じ

ここで、皆さん、自分の会社の経費精算を、思い浮かべてください。使う前の上司の承認、これが予防ですね。

提出された領収書のチェック、これが発見。

そして、おかしな精算が見つかったとき、誰がどう正すのか。これが是正です。

この是正の流れまで、すらすら言えるでしょうか。もし詰まったなら、そこが、統制の鎖の切れた場所かもしれないんです。

では、その是正の不発を、誰が見抜けばよかったのか。ここで、内部監査の視点が出てきます。

統制には、二つの側面があるんです。一つは「設計」、仕組みが、ちゃんと作られているか。

もう一つは「運用」、その仕組みが、毎日の現場で本当に動いているか。ターゲットも、発見の仕組みは、設計していました。

でも、是正の運用が、崩れていたんですね。

だから内部監査は、統制が「設計されているか」だけでは、終わらないんです。

その統制が「運用され、機能しているか」までを、経営者から独立した立場で検証し、結果を経営陣や取締役会に届ける。設計と運用、その両方の有効性を見る。

これが、内部監査の役割なんですね。

ターゲットに当てはめれば、ファイア・アイは設計されていたのに、運用が崩れていた。内部監査は、仕組みが「ある」かではなく「機能している」かを問うんです。

その後です。CEOは辞任し、総被害額は、2億ドルを超えました。

ターゲットは、初めて、情報セキュリティ全体に責任を持つ役員、CISOを置き、専用の脅威監視センターを構築した。

気づいたら必ず動く体制を、大きな痛みを払って作り直したんです。

だからこそ、この回で覚えてほしいのは、ここなんです。発見しても、是正しなければ、統制がないのと、同じなんです。

鍵があって、防犯カメラがあっても、通報先がなければ、家は守れません。

ターゲットは、警報が鳴っても、対処する仕組みが動かず、被害は止まらなかったんですね。

次の回へ

警報を受け取ったあと、誰が動くのかまで、決まっているでしょうか。では、気づく役と直す役を、一人が兼ねていたら、周りは、それを止められるのか。

次の回で確かめます。気づくことと直すことでひと組だと分かれば、職場の手順書に、気づいたあとの連絡先があるかを見に行けます。