デジタルガバナンス・コードとは？

デジタルガバナンス・コードの意味

経済産業省が示す、企業のデジタル化に向けた経営者の行動指針。経営ビジョンと戦略、体制と組織、成果指標と対外的な発信などの柱からなり、認定制度と結びついている。IT戦略の妥当性を評価する尺度として用いられる。

デジタルガバナンス・コードの具体例

監査人がIT戦略の対外開示を評価する際、経営ビジョンと戦略が公表資料に示され、投資額と成果指標が継続的に開示されているかを確かめる。柱ごとに現状を段階評価し、経営会議へ改善課題として提示する形の助言型監査に使いやすい。

デジタルガバナンス・コードは試験でどう引っ掛けられる？

内部の管理策を細かく定めた基準ではなく、経営者の姿勢と対外説明に重心がある。個々の統制の有効性を判定する尺度としては粗いので、細部の評価にはシステム管理基準など別の尺度を組み合わせる必要がある。

デジタルガバナンス・コードと関連する用語

• ITガバナンス
• DX推進戦略
• ITガバナンスの原則

デジタルガバナンス・コードが出た過去問

• 表はコンピュータを利用して行うシステム監査技法についてまとめたものである。(1)〜(4)の組合せとして,適切なものはどれか。

  正解：(1)稼働中オンラインシステムのテスト (2)プログラムロジックの分析 (3)プログラム変更の検証 (4)データの抽出

  要点：監査技法は目的別にテスト・ロジック分析・変更検証・データ抽出に整理できる

  各技法の目的を押さえれば表は埋まる。ITF法は本番環境に監査用の架空口座を設けて稼働中のオンラインシステムを検証する技法なので(1)が稼働中システムのテストになる。並行シミュレーション法・スナップショット法・トレーシング法はいずれも処理の途中経過や論理を追跡するもので(2)がプログラムロジックの分析、コード比較法はソースや実行モジュールを突き合わせるので(3)がプログラム変更の検証、汎用監査ソフトウェア法と組込み監査モジュール法は(4)のデータ抽出に当たる。

  出典：平成28年度 春期 システム監査技術者試験 am2 問5（IPA）

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名検証で応答の正当性と完全性を保証する

  DNSSECは、DNSの応答が正当な権威サーバから発せられ改ざんされていないことを保証する仕組みである。各リソースレコードに公開鍵暗号によるディジタル署名を付与し、受け取った側が署名を検証することで送信元の正当性とデータの完全性を確認できる。これによりキャッシュポイズニングによる偽応答の受入れを防ぐ。

  出典：平成28年度 春期 システム監査技術者試験 am2 問21（IPA）

• プログラムのテストに関する記述のうち,適切なものはどれか。

  正解：静的テストとは,プログラムを実行することなくテストする手法であり,コード検査,静的解析などがある。

  要点：静的テストは実行せずコード検査や静的解析で欠陥を見つける

  静的テストはプログラムを実行せずに欠陥を見つける手法で、コードレビューや静的解析ツールによる検査が該当する。実行を伴わないため早い段階で適用でき、コーディング規約違反や潜在的な不具合を検出できる。単体テストではドライバが呼び出し側、スタブが呼び出される側の代役であり、選択肢では役割が逆になっている。

  出典：令和1年度 春期 システム監査技術者試験 am2 問22（IPA）

• ディジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はどれか。

  正解：コードサイニング証明書

  要点：コードサイニング証明書はソフトの発行元と改ざんの有無を確認させる

  コードサイニング証明書は、ソフトウェアの配布者が実行ファイルやドライバに署名するための証明書で、インストール時に発行元の身元と、配布後に改ざんされていないことを利用者が確認できるようにする。サーバ証明書やEV SSL証明書はWebサーバの身元証明、クライアント証明書は利用者や端末の認証に用いるもので、目的が異なる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問17（IPA）