監査対応は履歴と自動化で万全

All rights reserved,copyright © BSP Inc 　All rights reserved,copyright © BSP Inc 　
2013 年 1 月 25 日
株式会社ビーエスピー
【 BSP セミナー】リリース管理のユーザ事例と LMIS 新機能のご紹介
監査対応は履歴と自動化で万全！
～リリース作業の監査指摘等で困ってませんか？～

All rights reserved,copyright © BSP Inc 　 22
内部監査に期待されること
増大するリスク
不正と倫理問題不正と倫理問題
事業の継続性（事業の継続性（ BCM/BCPBCM/BCP ））
データ機密性・セキュリティデータ機密性・セキュリティ
既に発生した事象に対するだけでは不十分
内部監査内部監査
リスクに能動的に対応。新たなリスクを予見して準
備体制を支援する戦略的な思考が必要。

内部監査実態調査内部監査実態調査
出典： 2012 年度内部監査全世界実態調査　 PwC
人的資源最適配分の障害
重要なリスクに注力できなくなる

内部監査実態調査内部監査実態調査
内部監査が貢献す内部監査が貢献す
るる
ことが重要なリスことが重要なリス
クク
半数 (50%) 以上が非常
に重要と認識
内部監査部門長
内部監査に対する貢献期待度が高い

内部監査内部監査
本番適用したサービスの停止
外部提供サービスから情報漏洩
負荷テスト不足による停止
復旧までの時間増大

本番環境サービス提供に関わる事故
2009 年 8 月 25 日　緊急地震速報の誤報
ソフトウェア改修の不具合が原因。
　改修対象でない緊急地震速報処理を業者が作業した為に発生
2012 年 6 月 20 日　レンタルサーバデータ消失事故
原因 1 ：更新プログラム不具合
・ファイル削除コマンド停止指示漏れ
・対象サーバ群の範囲指定漏れ
原因 2 ：運用手順の不備
・対象サーバ以外の動作確認手順無し
・対象サーバ以外のデータ消失確認漏れ
振幅の単位をマイクロメートルでなく
ミリメートルに
対象外のサーバにも適用
全サーバに適用しデータ消失
バックアップにも同時適用

リリース管理の問題点リリース管理の問題点

リリース管理の問題点リリース管理の問題点
１．開発／運用の分離を監査で指摘された１．開発／運用の分離を監査で指摘された
３．リリースしたモジュールが指定のモジュールと同じものかの証３．リリースしたモジュールが指定のモジュールと同じものかの証
明明
４．リリースとインシデント／問題／変更の関連の提示を求められ４．リリースとインシデント／問題／変更の関連の提示を求められ
たた
開発開発運用運用
２．開発機／本番機へのリリース作業履歴の開示２．開発機／本番機へのリリース作業履歴の開示
５．他への影響がないことの証明５．他への影響がないことの証明
６．その他６．その他

１．開発／運用の分離を監査で指摘された１．開発／運用の分離を監査で指摘された
開発部門が運用を実施している。開発部門が運用を実施している。
開発部門が本番環境にアクセスできる。開発部門が本番環境にアクセスできる。
・担当者が開発から運用まで全て受け持っている。
・開発部門が夜間コールにも対応。
・開発部門が自ら機能検証しそのまま本番環境へ適用。
・開発サーバも本番環境も同一アカウントでアクセスできる。
・特権 ID のパスワードを知っている。
牽制が機能しない
品質保証が困難
権限分離不可
セキュリティ問題
　不正を防止する策を講じていない

手順以外の不定期な作業を実施。手順以外の不定期な作業を実施。
・緊急作業ということで手順に従わず本番機作業を実施。事後の記録もなし
。
・上司からの指示で本番機へ直接修正を実施。
ルール逸脱。手順無視
慣れによる手順省略・ルール逸脱
リリース作業が属人化し、作業記録もとっていない。リリース作業が属人化し、作業記録もとっていない。
・リリース手順書がなく開発部門の専任者が経験を元に作業している。
・リリース手順書と実際の手順が異なるが記録に残っていない
・作業中の不測の事態の対応は開発担当者でないと判断できない。
開発部門開発部門プロセス管理不可
２．開発機／本番機への作業履歴の開示２．開発機／本番機への作業履歴の開示

３．リリースしたモジュールは指定のものか３．リリースしたモジュールは指定のものか
リリース後の本番環境検証不足リリース後の本番環境検証不足
・本番環境へ適用したが適用前、適用後の比較資料を取得しない。
・モジュールの配置が失敗していても実際に処理されるまで不明。
バージョン管理不足
準備段階の不備。準備段階の不備。
・リリース用の一部に古いモジュールが混在していた。
・差分モジュールを適用したが必要なモジュールが不足していた。
構成情報の管理不足
適用結果証明の不足
作業結果保証の不足

リリースとの関連付けがたどれない。リリースとの関連付けがたどれない。
・どの変更管理で承認されたリリースのセットがわからない。
・そのリリースでどの問題が解決されたのか後から追跡できない。
リリースに紐づくインシデントがクローズできない。リリースに紐づくインシデントがクローズできない。
・関連付けが不明な為、どのインシデントを元にしたリリースか不明
・リリース完了と紐付けてインシデントがクローズできない。
・再現待ちのまま長期間たち、同一事象か判断できない。
効果確認不可
プロセス状況の放置
４．リリースとの関連の提示を求められた４．リリースとの関連の提示を求められた

他システム、アプリケーションへの影響がわからない。他システム、アプリケーションへの影響がわからない。
・リリースモジュール以外のアプリケーション停止の判断ができない。
・適用後にその他のシステムに影響がないか確認する手段を知らない。
他業務への影響判断不可
切り戻し手順の保証
５．他への影響がないことの証明５．他への影響がないことの証明
・新機能適用によって、他システムと連携部分に非互換が見つかった。
・新機能適用の為、 Java のバージョンをアップしたら他システムが異常終了

操作ミスによるリリースの失敗。操作ミスによるリリースの失敗。
・手順書通りに実施したが入力を誤った為正常に動作しなかった。
・誤って必要なファイルに対して削除コマンドを実行してしまった。
・対象のマシンを間違えて適用（対象範囲外のマシンにも適用）
・パラメータの指定間違い、指定漏れ。
不確実な作業手順 ( 誤操作の誘発 )
失敗時の保証
テスト不足。テスト不足。
・想定外のアクセス負荷がありパフォーマンス劣化。
・リリース後に処理時間が遅くなり、後続の処理が失敗するようになった
・ベンダーから納品されたモジュールを信用して導入したら問題発覚
・特殊な権限でしか動作しない為、本番環境で動作に不具合が出た

ベンダー毎にリリース手順が異なるベンダー毎にリリース手順が異なる
・ベンダー専用の書式を使用した申請書の為管理できない。
・申請書の記述レベルがベンダー毎に異なる為、承認の判断ができない
。
ベンダーからさみだれ式のリリース依頼があるベンダーからさみだれ式のリリース依頼がある
・ベンダーから頻繁にリリース依頼を受けており対応工数が増加。
申請ルールの統一不可
判断基準の属人化
適切なリリース判断不可

リリース管理リリース管理
リリースを問題なく実施することを目的として、リリース計画・手順を策定しリリースを問題なく実施することを目的として、リリース計画・手順を策定し
その実行が確実に行われることをコントロールするその実行が確実に行われることをコントロールする
リリース管理の責任範囲リリース管理の責任範囲
・ソフトウェアやハードウェアが確実にリリースされるように計画する
。・確実にテストされたバージョンのみをリリースすることを保証
する。
・万が一リリースに失敗した場合、安全／確実に切り戻しを行う
。
・ IT サービスの品質に影響を与えずに、複数の変更に適切に対
応する。
・変更結果を確実に CMDB に反映させる。

■■ リリース管理を見直すべきポイントリリース管理を見直すべきポイント
アポロ１３号計画アポロ１３号計画
管制センター → 発射有無の最終確認作業
各エリア担当へ確認：推進ロケット、燃料、誘導、制御、通信…
・発射中止モード解除
・自動中止システム解除
・脱出装置切り離し
秒単位で確実に実施
リリースするかどうかの確認作業を
マイルストーンごと（ 3 カ月前、 1 カ月前、直前など）に行っているか？
各エリア担当の確認を取りながら確認作業をしているか？
リリースするときの手順書を必ず文書化しているか？
特に、切り戻し計画書を作っているか？
ビジネス要件・条件に合わせてリリースの時期を計画しているか？
ビジネス側マネジャーとリリース時期の合意を取っているか？

ツールを利用したツールを利用した

ツールを利用した業務イメージツールを利用した業務イメージ
①① 開発と運用の権限分離開発と運用の権限分離
　開発担当が事前登録したリリース手順フローを運用担当が実行　開発担当が事前登録したリリース手順フローを運用担当が実行
　リリース手順、結果について各責任者が承認を実施　リリース手順、結果について各責任者が承認を実施
②② リリース作業自動化による作業工数の削減リリース作業自動化による作業工数の削減
　引継ぎが容易になり、運用担当者による結果確認が可能　引継ぎが容易になり、運用担当者による結果確認が可能
③③ リリース実行結果を記録リリース実行結果を記録
　自動リリースによる作業結果の記録と事前の承認がなければ実施不　自動リリースによる作業結果の記録と事前の承認がなければ実施不
可可
　監査時の証跡を後から容易に参照、検索可能　監査時の証跡を後から容易に参照、検索可能
④④ リリース作業の進捗を画面で確認リリース作業の進捗を画面で確認
　指定された時間起動による状態・結果を画面から確認可能　指定された時間起動による状態・結果を画面から確認可能
⑤⑤ リリース手順が登録され一元管理リリース手順が登録され一元管理
　自動化の為のリリース手順登録によってベンダーからの依頼を一元　自動化の為のリリース手順登録によってベンダーからの依頼を一元
管理管理
　申請／承認のワークフロー化によって標準化が可能　申請／承認のワークフロー化によって標準化が可能

ツールを利用した業務イメージツールを利用した業務イメージ
■■ リリース管理における各部門の役割、関連ツール及び業務の流れリリース管理における各部門の役割、関連ツール及び業務の流れ
■■ リリース管理における承認ワークフロー機能に加え、リリース管理における承認ワークフロー機能に加え、 CMDBCMDB との連携がとの連携が
可能可能
ユーザ
リリース連絡
サービスデスク
CMDBCMDB
リリース管理
維持管理
システムシステム
AA
システムシステム
BB
HWHW
NWNW
HWHW ベンダベンダSWSW ベンダベンダ

LMISLMIS 製品紹介製品紹介

ライフサイクルマネジメント
ＬＭＩＳ（エルミス）
＝ Lifecycle Management for IT Service
サービス導入サービス導入
サービス提供サービス提供
サービスレベルサービスレベル
評価評価
サービスサービス
企画・開発企画・開発
ライフサイクルを意識した
日々の IT サービスマネジメントの実践
構成情報（ＩＴサービス）のライフサイクル構成情報（ＩＴサービス）のライフサイクル

サービスデスク業務サービスデスク業務
サービスデザインサービスデザインサービスデザインサービスデザイン
CMDBCMDB
サービスストラテジーサービスストラテジーサービスストラテジーサービスストラテジー
サービスオペレーションサービスオペレーションサービスオペレーションサービスオペレーションサービストランジションサービストランジションサービストランジションサービストランジション
インシデインシデ
ント管理ント管理
問題問題
管理管理
変更変更
管理管理
リリースリリース
管理管理
ComingComing
soonsoon
ComingComing
soonsoon
• ITIL/V3 に沿った運用管理プロセスが実現
できます
• 構成管理 DB （ CMDB) に全ての管理情
報を記録し、一元管理します
• レコードの関係、構成情報を俯瞰して直
感的に把握できます
構成管理構成管理
関連情報エクスプローラ
イベントイベント
管理管理
「 LMIS 」ツールとは

LMIS 製品と対象ユーザ
大規模大規模自社内自社内ｶｽﾀﾏｲｽﾞｶｽﾀﾏｲｽﾞ
可能可能
•社内システムとの密な連携処社内システムとの密な連携処
理が可能理が可能
•独自サービスに付加価値を追独自サービスに付加価値を追
加したい加したいＤＤ // ＣＣにに
•全社での最適化を目指すお客全社での最適化を目指すお客
様に様に
•運用管理プロセスの改善に対運用管理プロセスの改善に対
して柔軟に対応可能して柔軟に対応可能
全体全体
最適最適
柔軟性高柔軟性高
中小中小
規模規模
~~
大規模大規模
ｸﾗｳﾄﾞｸﾗｳﾄﾞｶｽﾀﾏｲｽﾞｶｽﾀﾏｲｽﾞ
可能可能
•ＳａａＳ型での提供ＳａａＳ型での提供
※資産を持たない※資産を持たない
•当ツールのサーバ運用が不要当ツールのサーバ運用が不要
•容易なレポーティング設定容易なレポーティング設定
•サービスデスクの改善など運サービスデスクの改善など運
用課題を解決したいお客様に用課題を解決したいお客様に
•一部業務からのスモールス一部業務からのスモールス
タート、クイックスタートにタート、クイックスタートに
部分部分
最適最適
柔軟性中柔軟性中
(( ある程度のある程度の
制限あり制限あり ))
LMISLMIS
LMISLMIS
on cloudon cloud
商品商品ｼｽﾃﾑｼｽﾃﾑメリット／こんな企業にメリット／こんな企業に環境特性環境特性ｶｽﾀﾏｲｽﾞｶｽﾀﾏｲｽﾞ
powered by Force.Compowered by Force.Com

LMISLMIS リリース自動化機能紹介リリース自動化機能紹介

リリース自動化機能リリース自動化機能
リリース申請
開発担当
リリース承認
リリース確認
モジュール等
モジュール等
モジュール等
リリース用
PGM
モジュール等
モジュール等
モジュール等
リリース用リリース用
タスク生成タスク生成
スケジュールスケジュール
タスクタスク
証跡確認
自動配布
本番環境
指定日時に起動

『ＬＭＩＳ』の活用イメージ
サービスデスク監視 / 障害対
応
データ連携
ナレッジ検索予測 / 分析
レポーティン
グ
アラート業務フロー
開発 / 保守各種申請ベンダー対応
CMDBCMDB
データウェアハウス
OLAP, ETL
データウェアハウス
OLAP, ETL
アプリケーション
ERP, other
アプリケーション
ERP, other
基幹業務システムプロセスデータ
テンプレート記録 / 証跡
スケジュール

課題解決のヒントが集結！
BBTV
http://www.bsp.jp/seminar/bbtv/index.html
BSP グループが企画、提供する IT イベント・
セミナー情報を Web 動画で配信サイトです。
データ活用やクラウド、 IT サービスマネジメントや
BPM （ビジネス・プロセス・マネジメント）、
システム企画など豊富なテーマで、ビジネスに IT 使う
企業から、 IT でビジネスを行う企業まで、
お役に立つ情報を提供中。
お気軽にご覧ください！

ご清聴ありがとうございました
。
ＢＳＰはＬＭＩＳで
新しいＩＴサービスの価値を創造します

監査対応は履歴と自動化で万全

Recommended

Recommended

More Related Content

Viewers also liked

Viewers also liked (15)

Similar to 監査対応は履歴と自動化で万全

Similar to 監査対応は履歴と自動化で万全 (20)

More from UNIRITA Incorporated

More from UNIRITA Incorporated (20)

Recently uploaded

Recently uploaded (7)

監査対応は履歴と自動化で万全