この章で学ぶこと

第1〜9章では、SC固有の専門知識（脅威・マネジメント・対策・実装評価・ネットワーク）を学びました。この章からは「その他知識」に入ります。サービスマネジメントとガバナンス・監査は、他のIT資格（特にPD-Mコース第4章・第6章）と重複する分野のため、この章では試験対応に必要な要点を精選して扱い、実務でより深く学びたい場合はPD-Mコースへの深掘りをおすすめします。SCの視点では、これらの仕組みがセキュリティインシデント対応・内部統制・監査とどう接続するかを意識すると理解が深まります。

サービスの基本概念とSLA、供給者・ポートフォリオ管理

サービスを継続的に提供・改善する活動全体をサービスマネジメントと呼びます。顧客との関係を維持する事業関係管理、顧客がどれだけ満足しているかを表すサービス満足度を土台に、提供するサービスの水準を管理するサービスレベル管理を行います。具体的な合意文書がサービスレベル合意書(SLA)で、実際の達成状況を測るサービスレベル指標(SLI)、目指すべき水準であるサービスレベル目標(SLO)とセットで運用されます。

サービスを提供する主体の管理も重要です。外部の委託先を管理する供給者管理では、社外の外部供給者と社内の内部供給者を区別します。提供するサービス全体を管理するサービスポートフォリオ管理とその対象であるサービスポートフォリオ、顧客に提示するサービス一覧を管理するサービスカタログ管理、状況を関係者に伝えるサービスの報告、PDCAサイクルでサービスを改善し続ける継続的改善、サービスの良し悪しを測るサービス品質、顧客が求める内容を明確にするサービスの要求事項があります。

扱う用語（精選・18語）

• サービス／サービスマネジメント／事業関係管理／サービス満足度／サービスレベル管理／サービスレベル合意書(SLA)／サービスレベル指標(SLI)／サービスレベル目標(SLO)
• 供給者管理／外部供給者／内部供給者／サービスポートフォリオ管理／サービスポートフォリオ／サービスカタログ管理／サービスの報告／継続的改善／サービス品質／サービスの要求事項

変更管理・リリースと資産・構成管理

サービスに変更を加える際は、無秩序な変更による障害を防ぐため変更管理のプロセスに従います。変更内容を提案する変更要求(RFC)には、あらかじめ承認済みの標準変更、通常の審査を経る通常の変更、大規模なプロジェクト変更、障害対応など急を要する緊急変更という変更のカテゴリーがあります。第6章で学んだ攻撃を受けるリスクを避けるためにも、こうした変更管理の統制はセキュリティ上重要です。

新しいサービスを本番環境に導入する際は、サービスの設計及び移行の段階で受け入れ可能かを判断するサービス受入れ基準を満たしているか確認し、実際の移行、動作を確かめる運用テストを経て、リリース及び展開管理のプロセスで本番に反映します。障害発生時の緊急リリースを含むリリースの種類を区別することも重要です。

サービスを支える資産の管理としては、機器やライセンスを管理する資産管理、システムの構成要素を管理する構成管理、その対象である構成品目(CI)、具体的な構成情報、変更前の基準状態である構成ベースラインがあります。運営面では、サービスにかかる予算業務及び会計業務、将来の需要を見込む需要管理、システムがどれだけの処理能力を持つかを管理する容量・能力管理とその指標容量・能力(キャパシティ)、実際の処理性能を示すパフォーマンスもあわせて管理します。

扱う用語（精選・19語）

• 変更管理／変更要求(RFC)／変更のカテゴリー(標準変更・通常の変更・プロジェクト変更・緊急変更)
• サービスの設計及び移行／サービス受入れ基準／移行／運用テスト／リリース及び展開管理／リリースの種類
• 資産管理／構成管理／構成品目(CI)／構成情報／構成ベースライン
• サービスの予算業務及び会計業務／需要管理／容量・能力管理／容量・能力(キャパシティ)／パフォーマンス

インシデント・問題管理と可用性・事業継続

サービスが中断・低下する事象への対応がインシデント管理です。個々の事象をインシデント、業務への影響が大きいものを重大なインシデントと呼び、対応しきれない場合は上位者や専門チームに引き継ぐエスカレーション(機能的エスカレーション・階層的エスカレーション)を行います。利用者からの依頼に対応するサービス要求管理も、インシデント管理と並ぶ日常業務です。

インシデントの背後にある根本原因を突き止める活動が問題管理で、対象となる問題のうち、根本原因は分かっているが恒久対策が未実施のものを既知の誤りと呼びます。過去のインシデントから傾向を読み取る傾向分析、真の原因を特定する根本原因分析、再発を防ぐ予防処置、対応すべき順序を決める優先順位付け、状況を継続的に観察するモニタリングという一連の流れは、第6章で学んだセキュリティインシデント対応プロセスとよく似た構造を持ちます。

サービスが必要なときに使える状態を維持するサービス可用性管理では、稼働率などで表されるサービス可用性、故障までの平均時間MTBF、故障からの平均修復時間MTTRを指標にします。大規模な災害・障害に備えるサービス継続管理では、事業への影響度を分析するビジネス・インパクト分析(BIA)（第5章の事業継続とも関連します）に基づきサービス継続計画を策定します。

扱う用語（精選・20語）

• インシデント管理／インシデント／重大なインシデント／エスカレーション／サービス要求管理
• 問題管理／問題／既知の誤り／傾向分析／根本原因／予防処置／優先順位付け／モニタリング
• サービス可用性管理／サービス可用性／MTBF／MTTR
• サービス継続管理／ビジネス・インパクト分析(BIA)／サービス継続計画

内部統制とJ-SOX

組織が適切に運営されていることを保証する仕組みが内部統制です。ただし内部統制はあらゆる不正・誤りを完全に防げるわけではなく、コストとのバランスの中で合理的保障を提供するに留まるという内部統制の限界（デジタル化・AI活用に伴うリスクも考慮が必要）を理解しておく必要があります。上場企業に財務報告の内部統制を義務付ける制度が内部統制報告制度(J-SOX)で、その評価・監査の拠り所となるのが財務報告に係る内部統制の評価及び監査の基準と、より実務的な実施基準です。

内部統制を構成する6つの要素として、経営者の姿勢を示す統制環境、リスクを識別し対応するリスクの評価と対応、具体的な業務手順である統制活動、必要な情報を関係者に伝える情報と伝達、統制が機能しているか継続的に確認するモニタリング、そしてIT環境に対する統制であるITへの対応という内部統制の基本的要素があります。組織自らが統制の状況を評価する統制自己評価(CSA)も、内部統制を実効性のあるものにする手法です。

扱う用語（精選・6語）

• 内部統制の限界(合理的保障・デジタル／AIリスク考慮)／内部統制報告制度(J-SOX)／財務報告に係る内部統制の評価及び監査の基準／実施基準
• 内部統制の基本的要素(統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応)／統制自己評価(CSA)

システム監査の基準・倫理と監査プロセスの実務

内部統制が機能しているかを独立した立場から確認するのが監査です。監査には、システム全般を対象にするシステム監査、第4〜5章で学んだ内容を対象にする情報セキュリティ監査、個人情報保護監査、コンプライアンス監査、マネジメントシステム監査という監査の形態があります。監査の拠り所となる基準として、監査人が従うべきシステム監査基準、監査対象が満たすべきシステム管理基準、セキュリティに特化した情報セキュリティ監査基準・情報セキュリティ管理基準、それらを支える情報セキュリティ監査制度があります。

監査には、客観的な保証を与える保証型監査と、改善のための助言を行う助言型監査の2つの型があります。監査を担うシステム監査人の権限と責任等、監査人が守るべき監査人の倫理としては、うそをつかず公正である誠実性、能力を維持し高め続ける専門的能力の保持と向上、注意深く秘密を守る正当な注意と秘密の保持が求められます。監査全体を通じて行うのは情報システムの利活用に係る検証・評価であり、その結果として保証・助言を提供します。

具体的な監査プロセスは、リスクの高い領域を優先するリスクアプローチに基づき対象範囲・方法を定めるシステム監査計画の策定から始まり、事前調査・本格的な調査・結論という監査プロセス(予備調査・本調査・結論)で進みます。実際の現場では予備調査の実施を行い、調査の進め方を記した監査手続書の作成、アクセスログや監査証跡(オーディットトレイル)などの監査証拠の入手と評価を経て結論を出し、最後に指摘事項が改善されたかを確認する改善提案のフォローアップまで行って一連の監査が完結します。

扱う用語（精選・20語）

• 監査の形態(システム監査・情報セキュリティ監査・個人情報保護監査・コンプライアンス監査・マネジメントシステム監査)
• システム監査基準／システム管理基準／情報セキュリティ監査基準／情報セキュリティ管理基準／情報セキュリティ監査制度
• 保証型監査と助言型監査／システム監査人の権限と責任等／監査人の倫理／誠実性／専門的能力の保持と向上／正当な注意と秘密の保持
• 情報システムの利活用に係る検証・評価／保証・助言
• システム監査計画の策定／監査プロセス／予備調査の実施／監査手続書の作成／監査証拠の入手と評価／改善提案のフォローアップ

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「ガバナンス・監査とサービスマネジメント」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、サービスマネジメントの一連の流れ「設計・移行→運用（インシデント・問題管理）→改善」と、監査の一連の流れ「計画→予備調査→本調査→結論→フォローアップ」を軸に理解したほうが記憶に定着しやすいためです）。用語同士の違いが分かる**比較表**を最後に付けてください。

【サービスの基本概念とSLA】サービスマネジメント、事業関係管理、サービスレベル管理、SLA、SLI、SLO、供給者管理、サービスポートフォリオ管理、サービスカタログ管理、継続的改善
【変更管理・リリースと資産構成管理】変更管理、変更要求(RFC)、変更のカテゴリー、サービスの設計及び移行、リリース及び展開管理、資産管理、構成管理、構成品目(CI)、容量・能力管理
【インシデント・問題管理と可用性・事業継続】インシデント管理、重大なインシデント、エスカレーション、問題管理、既知の誤り、根本原因、サービス可用性管理、MTBF、MTTR、サービス継続管理、BIA
【内部統制とJ-SOX】内部統制の限界、内部統制報告制度(J-SOX)、内部統制の基本的要素、統制自己評価(CSA)
【システム監査の基準と実務】監査の形態、システム監査基準、情報セキュリティ監査基準、保証型監査と助言型監査、監査人の倫理、システム監査計画の策定、監査プロセス、監査証拠の入手と評価、改善提案のフォローアップ

このプロンプトが「サービスマネジメントの流れ」と「監査の流れ」という2つのプロセスを軸にした整理を指示しているのは、この章の用語がバラバラの知識ではなく、それぞれ1つの業務プロセスの中に位置づけられるためです。試験対応としてはこの章の精選範囲で十分ですが、実務でより深く扱いたい場合はPD-Mコース第4章・第6章も参考にしてください。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、SLAに基づくサービスマネジメント、インシデント・問題管理と可用性・事業継続管理、そして内部統制（J-SOX）とシステム監査の基準・プロセスを学びました。他資格と重複する分野のため精選して扱いましたが、SCの視点では、これらの仕組みがセキュリティインシデント対応・内部統制とどう接続するかを意識することが理解のポイントです。

次章では、その他知識のもう1つの柱——データベースとシステム開発・運用を学びます。→ 第11章 データベースとシステム開発・運用