compliance-audit

コンプライアンス監査

自動化された証跡収集、管理策のマッピング、ギャップ分析、是正計画を通じて、主要なコンプライアンスフレームワークに対する規制コンプライアンス監査を体系的に実施します。

このスキルを使用する場面

• GDPR、HIPAA、PCI DSS、SOC 2、ISO 27001 のコンプライアンス評価を実施する場合
• 外部監査や認証の準備をする場合
• コンプライアンス管理策フレームワークを構築または検証する場合
• 証跡収集と監査証跡の維持を自動化する場合
• 規制要件に対するギャップ分析を実施する場合
• コンプライアンス上の不備に対する是正計画を作成する場合
• サードパーティベンダーのコンプライアンス状況を評価する場合

クイックリファレンス

リソース	目的	読み込むタイミング
references/frameworks.md	GDPR、HIPAA、PCI DSS、SOC 2、ISO 27001 の主な要件、管理策のマッピング、認証取得の手順	適用される規制の範囲を決めるとき
references/evidence-collection.md	証跡の自動収集、成果物の整理、保持ポリシー、監査証跡のパターン	証跡収集を設定または実行するとき
references/gap-analysis.md	管理策のマッピング手法、ギャップの特定、リスクスコアリング、是正計画	コンプライアンス上のギャップを分析するとき

---

ワークフローの概要

Phase 1: Scope       → Identify applicable regulations, data types, and geographical scope
Phase 2: Assess      → Map controls, review policies, analyze data flows, test implementations
Phase 3: Evidence    → Collect and organize audit artifacts automatically
Phase 4: Gap Analyze → Identify control gaps, score risks, prioritize findings
Phase 5: Remediate   → Create remediation plans, assign owners, set timelines
Phase 6: Report      → Generate audit-ready documentation and compliance dashboards
Phase 7: Monitor     → Establish continuous compliance monitoring and drift detection

---

フェーズ 1：監査範囲の設定

テストを開始する前に、適用される規制を特定します。

主な質問：

• システムはどのような種類のデータを処理しますか（PII、PHI、カード会員データ）？
• どの法域が適用されますか（EU、米国の州、業界固有の規制）？
• 既存の管理策や認証にはどのようなものがありますか？
• 監査履歴と過去の指摘事項はありますか？

適用可能性マトリクス：

フレームワーク	適用される場合
GDPR	EU 居住者の個人データを処理する場合
HIPAA	保護対象医療情報（PHI）を取り扱う場合
PCI DSS	カード会員データを保存、処理、または送信する場合
SOC 2	信頼の原則が重要となるサービスを提供する場合
ISO 27001	組織が ISMS の認証取得を目指す場合
CCPA/CPRA	カリフォルニア州の消費者の個人情報を収集する場合
NIST CSF	連邦政府のシステム、または自主的にサイバーセキュリティフレームワークを導入する場合

---

フェーズ 2：現状の評価

管理策の一覧化

既存の管理策を、適用されるフレームワークの要件に照らしてマッピングします。

1. すべての技術的管理策（暗号化、アクセス制御、ロギング）を列挙します
2. すべての管理的管理策（ポリシー、トレーニング、手順）を列挙します
3. すべての物理的管理策（施設へのアクセス、媒体の取り扱い）を列挙します
4. 各管理策を、フレームワークの具体的な要件にマッピングします
5. サンプリングと検証を通じて、管理策の有効性をテストします

データフロー分析

• データの流入、処理、保存、流出の各ポイントをマッピングします
• 各フローのデータ分類を特定します
• 処理の適法な根拠を文書化します（GDPR）
• データの最小化と目的の限定を検証します
• 国境を越えるデータ移転の仕組みを確認します

ポリシーレビュー

• フレームワークの要件に対するポリシーの網羅性を評価します
• ポリシーの配布と受領確認を検証します
• ポリシーのバージョン管理と更新頻度を確認します
• 例外管理プロセスを検証します

---

フェーズ 3：証跡収集

詳細なパターンについては、references/evidence-collection.md を読み込みます。

自動化の優先事項：

1. クラウドプロバイダーおよびインフラストラクチャからの構成エクスポート
2. アクセス制御リストと権限マトリクス
3. ログ保持および監視ダッシュボード
4. 脆弱性スキャンの結果とパッチ適用状況
5. トレーニングの完了記録
6. インシデント対応テストの結果

成果物の整理：

evidence/
  {framework}/
    {control-id}/
      artifact-{date}.{ext}
      metadata.yaml           # source, collection method, timestamp

---

フェーズ 4：ギャップ分析

詳細な手法については、references/gap-analysis.md を読み込みます。

フレームワークの要件ごとに、次の作業を行います。

1. 既存の管理策にマッピングします（完全、一部、またはなし）
2. 実装の有効性を評価します
3. リスクの影響度と発生可能性に基づいてギャップをスコアリングします
4. 文書、プロセス、技術、トレーニングのギャップに分類します
5. リスクスコアと是正に必要な労力に基づいて優先順位を付けます

---

フェーズ 5：是正計画

特定された各ギャップについて、以下を記載します。

フィールド	内容
ギャップ ID	一意の識別子
フレームワーク要件	具体的な条項または管理策
現状	現時点で存在するもの
目標状態	コンプライアンスで求められる状態
是正措置	ギャップを解消するための具体的な手順
担当者	責任者またはチーム
優先度	リスクスコアに基づく P0〜P4
スケジュール	目標完了日
依存関係	依存する他のギャップまたは措置

---

フェーズ 6：レポート作成

監査に対応できるドキュメントを作成します。

• エグゼクティブサマリー：コンプライアンス状況、主要なリスク、準備状況スコア
• 技術的な調査結果：管理策の詳細な評価結果
• リスクマトリックス：深刻度と発生可能性に基づくギャップのヒートマップ
• 是正ロードマップ：担当者を含む優先順位付けされたスケジュール
• 証拠資料一式：管理策ごとに索引付けして整理した成果物
• コンプライアンス証明：フレームワーク固有の認証準備状況

---

フェーズ 7：継続的なモニタリング

コンプライアンス状況を継続的に管理する体制を整えます。

• ドリフト検知のための自動スキャンを設定する
• 管理策の劣化に対するアラートのしきい値を設定する
• 定期的な再評価の頻度を設定する
• スケジュールに対する是正の進捗を追跡する
• 指標ダッシュボード（管理策のカバレッジ、証拠の鮮度、監査準備状況）を維持する

---

基本原則

1. 主張より証拠を重視する — コンプライアンスに関するすべての主張は、検証可能な成果物で裏付ける必要があります
2. まず自動化する — 手動での証拠収集は拡張性に乏しく、エラーを招きます
3. リスクに基づいて優先順位を付ける — 最もリスクの高いギャップから対処します
4. 継続的に状況を維持する — コンプライアンスは一度きりのイベントではなく、継続的な状態です
5. 多層防御を実施する — 単一障害点がコンプライアンス違反につながらないよう、管理策を重ねます

アンチパターン

• 管理策の有効性をテストせず、コンプライアンスをチェックボックスを埋めるだけの作業として扱う
• 自動化が可能な場合に、手動で証拠を収集する
• 「ずっとこうしてきた」という理由でギャップを無視する
• 監査の時期まで証拠の収集を先延ばしにする
• コンプライアンスとセキュリティを混同する（コンプライアンスはセキュリティの一部です）
• サードパーティ／ベンダーのコンプライアンス評価を省略する