金融機関向けクラウドセキュリティ監査のトレーニングコース

1日目：ISO/IEC 27017の基礎・枠組みとクラウドリスクおよびコントロール

• モジュール1：ISO/IEC 27017入門 – 概要、ISO/IEC 27001/27002との関係性、そして標準の目的について解説します。
• モジュール2：ISO/IEC 27017の適用範囲 – 追加的なコントロール項目、クラウド環境、監査対象領域などを扱います。
• モジュール3：ISO/IEC 27017認証制度 – ISO/IEC 27001を基盤とした認証メカニズムについて説明します。
• モジュール4：ISO/IEC 27017監査員に求められる能力 – 必須スキルやクラウド技術に関する知識、リスクベース思考の重要性を学びます。
• モジュール5：クラウド特有のリスク例 – 仮想マシンの管理上の課題、マルチテナント環境における分離問題や法的管轄に関する問題などが挙げられます。
• モジュール6：各種クラウドサービスタイプ – SaaS、PaaS、IaaS、NaaS、DSaaSそれぞれに対する監査上の影響について検討します。
• モジュール7：ISO/IEC 27017が定める具体的なコントロール – 責任分担、仮想マシンの強化策、クラウドサービスの継続的監視手法などです。
• モジュール8：コントロール項目とクラウドサービスの対応関係 – IAMやクラウドログ管理、暗号鍵管理システム（KMS）、VPCとの関連性を明らかにします。

2日目：実践的な監査演習および規制要件の統合

• モジュール9：監査シミュレーション計画 – 監査範囲（GCPや組織全体）の定義、抽出するリソース選定方法を学びます。
• モジュール10：クラウドコントロール監査演習（実践形式） – 実際のデータに基づきアクセス制御やリソース構成状況、安全性評価を行います。
• モジュール11：クラウド関連規制および遵守要件
• インドネシアのクラウド法規：POJK 11/2022や2026年に施行されるPADK No.1など、商業銀行によるIT運用基準について詳しく解説します。
• 対応関係のマッピング：ISO/IEC 27017に定められたコントロールが現地金融規制要件とどのように結びつくかを明らかにします。
• モジュール12：ISO/IEC 27017認証監査プロセス – 具体的な手法やサイクル全体について学習します。
• モジュール13：統合的な監査ガイダンス – ISO/IEC 27001、27017、27018のそれぞれの相互関係を比較説明します。
• モジュール14：最終ワークショップ – 一連の手順に沿った総合的監査シミュレーションを通じて報告書作成や結果提示能力も鍛えます。