Section: Volume A

CIO がクラウド環境でのシャドー IT アプリケーションのビジネス ユニット展開を管理する最も効果的な方法は、シャドー IT アプリケーションに関連するリスクについて経営陣を教育することです。これは、シャドー IT アプリケーションが中央 IT 組織の認識や承認なしに展開されることが多く、企業にセキュリティ、コンプライアンス、パフォーマンスのリスクをもたらす可能性があるためです。経営陣の間でこれらのリスクの認識を高めることで、CIO は IT ガバナンスと調整の文化を育み、確立されたアプリケーション実装プロセスに従うようにビジネス ユニットを奨励できます。参照: CGEIT 認定 | エンタープライズ IT ガバナンスの認定 | ISACA1、IT ガバナンス: 定義、フレームワーク、計画 - ProjectManager2

情報ガバナンスの主な目的は、優先順位付けと意思決定を通じて情報管理機能の方向性を定めることです。情報ガバナンスは、組織における情報に関する総合的な戦略です。情報ガバナンスは、情報のリスクと情報が提供する価値のバランスをとります1。情報ガバナンスは、法令遵守、業務の透明性、法的証拠開示に関連する支出の削減に役立ちます1。これを実現するには、情報ガバナンスでは、優先順位付けと意思決定を通じて情報管理機能の方向性を定める必要があります。これには、ビジネス目標と規制要件に沿って、効果的かつ効率的に情報を取得、保存、配布、使用、廃棄するためのポリシーとプロセスの定義と実装が含まれます2。また、情報の品質、整合性、可用性、機密性、所有権の保護を確実にすることも含まれます2。優先順位付けと意思決定を通じて情報管理機能の方向性を定めることで、情報ガバナンスは情報資産の価値を最適化し、リスクを最小限に抑えるのに役立ちます。参考:= 情報ガバナンス - Wikipedia1 情報ガバナンスとは何ですか? なぜ重要なのですか?3

定期的なサービス プロバイダー監査は、合意されたサービス レベル契約 (SLA) および企業の期待と要件に関連して、サービス プロバイダーのパフォーマンス、品質、コンプライアンス、およびセキュリティを独立して客観的に評価するプロセスです。定期的なサービス プロバイダー監査は、次の方法でサービス品質の監視に役立ちます。
* サービスプロバイダーの主張と資格を検証および検証し、契約上の義務と基準を満たしていることを確認する
* サービスプロバイダーのサービス、プロセス、コントロールの強み、弱み、機会、脅威を特定し、評価する
* サービス提供の品質や企業の目標や価値に影響を与える可能性のある問題、ギャップ、リスクを検出し、報告する
* 問題、ギャップ、リスクに対処し解決するための是正措置および予防措置の推奨と実施
* 是正措置および予防措置の結果と有効性を監視および測定し、SLA に準拠していることを確認します。参考資料:
* CGEIT レビュー マニュアル 20221 によると、「サービス プロバイダー監査は、サービス プロバイダーが契約上の義務を果たし、企業に価値を提供していることを確認するための重要なメカニズムです。サービス プロバイダー監査は、サービス プロバイダーのサービス、プロセス、および制御のパフォーマンス、品質、コンプライアンス、およびセキュリティを評価するために、定期的に、または必要に応じて実施する必要があります。」
* According to the ISACA article on IT Outsourcing: Audit Considerations2, "IT outsourcing audit is a process of examining and evaluating the IT outsourcing arrangements between an enterprise and its service providers. IT outsourcing audit aims to provide assurance that the IT outsourcing arrangements are aligned with the enterprise's strategy, objectives, and risk appetite; that the service providers are delivering the expected services in accordance with the SLAs; that the service providers are complying with the applicable laws, regulations, and standards; and that the service providers are managing and mitigating the IT outsourcing risks effectively."
* According to the PwC article on Service Provider Audits3, "Service provider audits are an essential tool for organizations to gain insight into their service providers' operations, controls, risks, and compliance status. Service provider audits can help organizations ensure that their service providers are meeting their expectations and obligations; identify any areas of improvement or concern; enhance their relationship and communication with their service providers; and optimize their IT outsourcing strategy."