SOX法対応

Cascade Microtech社

Cascade Microtech社はTripwireを利用して変更管理の証明に成功！

Cascade Microtech社(NASDAQ: CSCD)は集積回路の電子測定機器業界のリーダーです。コンピュータ・通信・電子機器業界の成長によって、Cascade Microtech社の信頼性の高いウエーハテストソリューションの需要が高まり、2004年には遂に企業の公開にこぎつけました。

課題

上場したばかりのCascade Microtech社は、初めてSOX法遵守の対応を行うという課題に直面しました。成功を収めるために、Cascade Microtech社はProtiviti社の採用を決めました。独立内部監査コンサルティング企業であるProtiviti社は外部に対して顧客プロセスが適用法規・法令を完全に遵守していることを保証する業界トップのプラクティスに基づいて完全に独立した監査プロセスを提供することができます。

核となるプロセスに関連する高い技術力及び分析スキルを誇るProtiviti社は Cascade Microtech社の内部監査の準備を始めました。Protiviti社がCascade Microtech社のIT部門に対して権限分掌について質問を始めたところ、 IT部門は自動化なしでSOX法の要求に効率的に対応するには規模が小さすぎる、ということが明らかになってきました。特に、ビジネスシステム内での変更管理が適切に行われていることの証明、及び変更実施の担当者が変更の承認を担当していない、ということを証明する必要がありました。

Tripwireのソリューション

基本的なIT管理の一貫として、Cascade Microtech社は経営陣及び外部監査人に対してシステム変更をきちんと管理している、と証明することは必須の課題でした。Cascade Microtech社は手動で変更管理を行う追加の人員を採用するか、技術的なソリューションを編み出すかの選択に迫られていました。Protiviti 社から、他社においてTripwireのソリューションを使用することで同じ問題が解決できたという話を聞きつけたCascade Microtech社のIT管理者、Linda Bobzien氏は高い関心を抱きました。

外部監査が迫る中で、Cascade Microtech社はほんの数日でTripwireの立ち上げに成功しました。Tripwire潤・Enterprise はCascade Microtech社のニーズにぴったり一致していました。Tripwire EnterpriseによってCascade Microtech社に権限の分掌を通じて、独立した変更の証跡が提供され、変更を行ったユーザが変更を承認することはできないというシステムが保証されました。Linda氏のグループ内では、エンジニアがヘルプデスクの要求に応じて変更を行い、Linda氏は毎日変更ログの調整に30分を費やしていました。権限の分掌を証明することに加えて、Tripwire Enterpriseを利用することによって、Cascade Microtech社は全ての変更の追跡及び文書との同期化が行われ、変更が適切に適用されていることを保証することが可能になりました。Linda氏はまた、Tripwireを利用して変更管理ワークフロー承認プロセスの文書化も行っています。Tripwire Enterpriseを利用することによって、Linda氏とそのチームは承認された全ての変更とヘルプデスクチケットシステムを調整することで、全ての不正な変更を検知・レポートし、システム変更の管理を行っています。検知管理ツールとして開発されたTripwire Enterpriseは現在では防止管理ツールに進化しています。Linda氏は次のように語っています。“今では全ての変更が追跡されていることを皆が認識しているので、不正な変更の数が劇的に減り、変更の質も向上しました。”

投資対効果

Tripwireのソリューションは、企業に対して全ての変更が承認された変更管理プロセスを通過し、変更管理プロセスを経ていない変更は調査される、という安心感を与えます。Protiviti社の監査人は次のように語ります“Tripwireのおかげで権限分掌を証明するために正社員を雇う必要がなくなり、Cascade Microtech社は高い投資対効果を得ることができました。また、Tripwireがなければ、広範囲かつ時間のかかるサンプリングを実施するための莫大な費用と時間がかかるところでした。Tripwireは抜群の投資対効果を発揮してくれました。”

必要な証拠

Tripwire Enterpriseでは、全ての承認された変更が適切に実施され、不正な変更が見逃されていない、という証拠を提供します。詳細な変更監査証跡によって、ITプロセスの管理が効率的に行われていること、ITインフラがセキュアな状態であること、変更管理ポリシーが実施されていることを証明し、SOX法 302条及び404条のコンプライアンスを保証します。

• その他の事例をみる