学習メモを貼り付けるだけになってしまっている…。
時間の使い方を工夫しよう！
本日分はこちらです。
BEC4 情報技術IT
■情報システム概論
情報システムの3つの要素 input⇒processing⇒output
業務をデータの流れに注目して視覚的に表した図⇒data flow diagramデータフローダイアグラム
各部門のデータを一元化管理するdata ware-house データウェアハウス
■財務会計と監査における情報システム
情報システムは業務の効率化に寄与するが、監査の観点からするとシステムは紙の証跡よりも監査証跡audit trailの追跡が難しくなる場合がある。
Web Trust…インターネット事業者が国際的な電子商取引保証基準に基づいた電子商取引を行っているかを審査
AICPAとCISA共同開発
Sys Trust…システムの信頼性をテストし証明するサービス
■情報システムの内部統制に与える影響
・紙媒体の監査証跡が大幅に減少し、監査証拠は減少するが、証跡は変更される
・clerical error事務的なミスを減らすことができる。ﾌﾟﾛｸﾞﾗﾐﾝｸﾞｴﾗｰが発生すると全ての取引処理に誤りが発生する。
・職務の分離segregation of dutiesの概念が適用されなくなる。
・unauthorized accessやfraudの可能性がある。
・経営者にとってreviewやsupervisionがしやすくなる。
■人口知能 Artificial Intelligence
expert system…専門家がもつ知識をベースに構築。
Case-based reasoning…事例に基づき推論
neutral network…脳の処理傾向を模倣するハードウェア
fuzzy logic…幅の広い人間的な論理判断
■情報システムの種類
transaction processing system; TPS 日常業務を処理し記録する最も多く使われる運用レベルのシステム
knowledge work system; KWS office system業務処理を支援するシステム（運用レベル）
management information system; MIS 管理者レベルが日常業務の情報から計画・管理を行うシステム 運用レベルのシステムに入力された情報から日常業務の単純なサマリーを吐き出す
decision-support system; DSS 社内外の情報を分析することでトップマネジメントの意思決定を支援するシステム個々の問題解決もサポートする。interactive双方向に利用できる
executive support system; ESS 経営戦略を決定する為に様々な情報を多角的に検証するシステム
■ハードウェアの基本構成
ハードウェアは５つの基本構成に分類
①arithmetic-logic unit
②control unit
③storage device(primary storage, secondary storage)
①～②あるいは③でcontrol process unit; CPUという intelの四角いチップみたいなやつ
④input device…キーボート等
⑤output device…プリンターやモニター等
■ハードウェア-中央処理装置と主記憶装置
データやプログラムを処理中に一時的に記憶しておく場所をRandom Access Memory; RAMという。
Primary storageからデータをCPUに転送されるまでの時間をaccess timeという。
■ハードウェア-補助記憶装置secondary divice、入力装置input device、出力装置output device
補助記憶装置secondary storage
①magnetic disk(hard disk, floppy disk)②optical disk(CD-R, DVD-R)③magnetic tape④RAID⑤Zip⑥magneto-optical disk⑦flash memory(USB memory)
automation of data collection 入力時に機械が自動的にデータを読み取り入力することで正確なデータインプットができるもの（POSシステム等）
input device パソコン、プリンター output deviceディスプレイ、モニタ、プリンタ
■バッチ処理とオンラインリアルタイム処理
batch processing
性質を同じくする取引等を一つのグループとして一括処理すること システムに対して実行する処理(job)の名前、および使用する装置などを伝える言語のことをジョブ制御言語job control languageという。監査証拠を得やすい
online real-time processing
各端末からデータが発生するつど直接データを入力し、即座に処理される。master fileは常に更新されている。
■ソフトウェア(system software)
instruction(命令)
instruction(命令)
instruction(命令)
⇒program programを書きコード化することをプログラミングという。
ソフトウェアは２種類に分かれる①system software（Windows,iOS）②application software（ワード、エクセル等）
①system softwareはoperating systemとlanguage processorに分かれる
operating systemは大量のデータを速く処理する必要があるので下記の機能がある。
・multiprogramming 一つの処理装置で複数のプログラムを走らせ、見かけ上は同時に複数のプログラムが実行されているようにする方式（ワード、エクセルが同時に立ち上がっている）
・multiprocessing 一つのOSのもとで複数のCPUが稼動するシステム
・virtual storage 補助記憶装置を用いてあたかも主記憶装置がもつ容量以上の記憶空間をつくる技術
上記はCPUの基本機能
OSに関わる統制 バージョンの更新は大きなリスクが伴う為、保護された領域sandboxで行う、backoutの実行や夜間の更新が望ましい
言語プロセッサ（language processor）
人間寄りの機械言語をコンピュータが実行できる機械言語に翻訳するシステムソフトウェア
一括して処理するのをcompiler, 書きながら1個ずつチェックしていくのをinterpreterという。
エミュレーション（模倣）
A機種と同じデータをB機種でも実行できるエミュレーター
■ソフトウェア-アプリケーションソフトウェア
low-level languageとhigh-level languageに分かれる
low-level language（machine language;00110101, assembly language;F94018B）
high-level language (procedural language: dsply”hello”, nonprocedural languages:”CREATE OR REPLACE”)
Enterprise resources plannnig; ERP 物流～販売までを一元管理するアプリケーションソフトウェア
Customer Relationship Management; CRM 情報システムの応用により、商品を提供する企業がその顧客と長期的かつ継続的な信頼関係を築く経営手法
XBRL 拡張可能な事業報告言語 財務諸表などのビジネスレポートを電子化して、ビジネスレポートの作成の効率化、比較・分析などの二次利用ができることを目的とした言語
■ネットワークについて
ネットワークとは複数のコンピュータや端末を通信回線によって接続し、相互に情報を交換するシステム
protocol ネットワークを介してコンピュータ同士が通信を行う上で相互に決められたルールの集合体
■ネットワークの接続形態
・bus network コンピュータシステムの機器間でデータや信号を伝送する共通回路 端末が集中していると◎
・star network 中央にあるホストコンピュータを経由してデータ伝送が行われる。銀行ATM等。新たにネットワークを追加しても他に影響を与えずに追加できる一方、ホストがダウンすると全滅する。
・ring network それぞれのコンピュータが小さなサーバーの役割をし、データをぐるぐる回す
・complete mesh network とにかく全てと繋がっているが、設置・保守コストが高い
ネットワークを構成する一つ一つの要素をnodeノードという。
■ネットワーク-対象地域
personal area network; PAN 個人レベルの領域
local area network; LAN 一つまたは複数の建物を範囲とした電気通信網
metropolitan area network; MAN 同一都市内の近接オフィス数箇所をグループ化したもの
wide area network; WAN 国や大陸全体などの大規模な領域
gateway インターネットとLANを繋ぐ窓口
router LANやMAN同士を繋ぐ
■ネットワーク－サービスによる分類
value-added networks;VANs 第三者の事業者が提供する私設ネットワーク（インターネット的なもの）
PBX 構内交換機
virtual private net work; VPN 通信内容の暗号化などを利用して、公衆回線をあたかも専用線のように利用する技術。
■ネットワーク－処理
centralized processing 集中処理 ホストコンピュータで全部処理する
distributed processing 分散処理 ホストコンピュータの1段下のミニコンピュータ達で処理する
■ネットワーク－インターネットとWEBインフラストラクチャー
電子メール（E-mail）電子商取引（electronic commerce）WWW（world wide web）
TCP/IP（Transmission control protocol/ Internet protocol）
インターネット上における事実上のプロトコル標準（通信の約束事）
portal;portal site サイト上に検索エンジン等の機能を載せて広告収入などを得るサイト yahoo,AOL
■ネットワーク－ その他の用語
cookie
End User Computing; EUC 情報システム部門以外の利用部門の者が主体的に直接コンピュータを操作し、情報を検索したり、加工したりすること
■データベース－データ階層
複数のユーザによって共有されるデータの集合
database⇒file⇒record⇒field⇒byte⇒bit
レコードには検索やソートするために特定のフィールド、key fieldが含まれている
■データベース－従来のファイル処理システムにおけるデータ管理
data redundancy 複数のデータファイルにちょっと違う同じデータが存在する事
■データベースについて
database コンピュータに接続されたファイルに大量のデータ等を蓄積し、条件を満たすデータを検索や抽出ができるシステム
かつてはプログラムのデータをまとめるdatabase management system; DBMSがなかった。
Data dictionaryによってデータ項目の名称を管理している。
■データベース データベース管理システム
database management system; DBMSはlogical viewを提供してる為、様々な利用者がデータを参照できるようになった。DBMSの重要な機能の一つにexclusive control排他的処理制御があり、同時にアクセスはできるが処理はできないようになっている。
■システム開発（組織の問題や機会に対してソフトウェア・アプリケーションを構築）
systems development
application development
システム分析（system analysis）⇒システム設計（system design）⇒プログラミング（programming）⇒テスト（testing）⇒変換（conversion）⇒操業・維持（production and maintenance）
■システム開発ライフサイクル(SDLC)アプローチ System Development Life Cycle Approach
順を追って構築を進める手法だが、近年ではエンドユーザーが開発の初期段階から最後まで関わっている。
システムアナリストが設計し、構築していくが、プログラミングはプログラマーが行う
①feasibility study
②requirements definition ※ユーザーを積極的に関与させることが重要
③system design/ selection
④development/ configuration ※testing必須 システム機能全体を評価していく
⑤implementation
旧システムから新システムに移行させることをcut overという。以下、cut overの技法
parallel strategy 新システムと旧システムを両方とも稼動させておく
direct cut over/plunge implementation 特定の日に完全移行させる
pilot/prototype approach 一定の期間テスト版を稼動させる
phase approach 影響の少ない部門から順番に導入していく手法
⑥post-implementation
⑦documentation
■高速アプリケーション開発技法 Rapid Application Development; RAD
SDLCの順番に作業を進めていく方法とは反対に各モジュールごとに開発・構築を進めるより迅速なシステム開発の手法。以下、方法論。
・prototyping 試作品構築のプロセスを何度も繰り返す
・agile development
・object-oriented development
・computer-aided software engineering; CASE HTML⇒ホームページビルダーのように段階的な手順の自動化をする
■電子商取引
種類：B2C.B2B,C2C(C2Bは現状無い)
■電子データ交換 Electronic Data Interchange; EDI
紙ベースで商取引を行わず、VAN等を使用し、システム上で商取引を行う。
メリット：時間・コストの削減、入力エラーの減少
デメリット：機密性が失われる可能性、不正アクセスの発生、VAN業者等第三者への依存
電子資金移動（electronic fund transfer; ETF）金融機関における、金銭及び財務データの転送。
電子マネー（electronic money）貨幣価値をデジタルデータで表現したもの。EDIの決済手段。
販売時点管理システム（Point of sales; POS）端末から情報を拾い、中央コンピュータへ送信するシステム
■情報システムに係る統制
ITコントロールの分類
①General control（一般統制）組織全体の情報処理統制
②Application control（アプリケーション統制）入力・処理・出力等、ｱﾌﾟﾘｹｰｼｮﾝの特定の機能に関する統制
③Governance control（ガバナンス統制）機関設計などによる監視的な性質をもつ統制
④Management control（マネジメント統制）資産・データ・組織構造・物理的統制の運用リスク軽減の統制
⑤Technical control（技術的統制）開発等のコントロールが含まれる
⑥Preventive control（予防的統制）ファイアーウォールやパスワードの利用
⑦Detective control（発見的統制）エラーレポートのレビュー
⑧Corrective control（是正的統制）エラー修正、アクセスログ、業務継続計画
COBIT（Control Objectives for Information and related Technology）
ITガバナンスのフレームワーク 以下５つの要素
①Strategic alignment（戦略との整合）ビジネス計画とIT計画との整合
②Value delivery（価値の提供）ITの本質的な価値で期待される便益をの創出を目指す
③Risk management（リスク管理）組織体に組み込んだリスクの認識
④Resource management（資源の管理）IT資源に対する投資の最適化と適切な管理
⑤Performance measurement（成果の測定）ITの状況のモニタリング
COBITのフレームワークは経営者、IT利用者、及び監査任等のITの統制に責任を負う主たる対象者としている
■全般的統制(1) アクセス統制
・physical controls（物理的統制）建物内への侵入を防ぐ
・logical controls（論理的統制）システムへの侵入回避に対する統制
⇒password, automatic logoff, biometrics authentication,access log
・access to computer files（コンピュータファイルへのアクセス統制）誤削除への統制 file protection ring
■全般的統制(2) データ送受信統制
ネットワークに対するセキュリティ
・firewall 組織体内部のネットワークと外部ネットワークを遮断するシステム
・Intrusion Detection System; IDS ネットワークの監視システム
暗号化（encryption）
・secret key cryptosystem 同一の鍵を使用
・public key cryptosystem 公開鍵と秘密鍵の2つの鍵
・digital signature オリジナルのメッセージが改竄されることを防ぐ 真正性の証明
■全般統制(3) リカバリー体制
business continuity planning; BCP
contingency planning; CP
一連の流れ
ビジネスインパクト分析※⇒復旧戦略の立案⇒不測事態対応計画の策定⇒テストと維持
※①重要業務の特定②優先順位付け③目標復旧時間と目標復旧ポイント
hot site 障害発生時、設備＋場所が別にあり、瞬時に業務が再開できる体制
cold site 場所だけしか確保していないので設備を運び込む必要あり
データの保存と廃棄に関わるセキュリティ
・grandfather-father-son method 4世代目は削除していくデータ保存の手法
・cloud computing 機密性の高いデータは通信上は平文の為、セキュリティリスクがある。
■アプリケーション統制
・入力（input）の有効性の統制
check digit 下一桁に誤った数値が入っていないか確かめる機能
limit check 予め設定された数値の範囲内でしか入力ができない
field check 不適切なキャラクターのものはタイプできない統制方法
missing data check ブランクのままだとエラーが表示される
・処理（processing）の有効性の統制
control total 合計して意味のある数字を合計してチェックする
hash total 処理したレコード数をカウントする機能
・出力統制
出力帳票の配布記録
エラーレポート
■情報セキュリティ
以下の３つの要素を維持することを考慮に入れる
・Confidentiality 権限を持つものと持たないものを明確に分けることで情報の漏洩を防ぐ
・Integrity 情報の改竄がない整合性の取れた正確な状態
・Availability アクセス権限を持つものが必要な時にいつでもアクセスできること
情報資産への脅威（threats to information assets）及び脆弱性（weakness）
・malicious software
・cracker 要するにハッカー
・social engineering 権限のある利用者などからパスワードなどの重要情報を入手する事
・computer virus vaccine programで対策できるが新しいウイルスには効果が無い
・Denial of Service Attack; DOS Attack t通信量を増大させ、システムをダウンさせる
・piggybacking wifiの無断接続、偽物のソフトウェア
セキュリティ方針（security policies）
■情報システムに係わるリスク管理プロセス
以下の手順
情報資源、資産の識別と分類⇒脅威・脆弱性・影響度発生度の評価⇒リスクの識別⇒コントロールによるリスクの軽減⇒残余リスクの受け入れ
■職務の分離
一般的な内部統制におけるsegregation of dutyと情報処理部門内でのそれとは異なる。
・情報処理部門と利用部門は別々に独立してないといけない
・情報処理部門内ではprogramming,operations,libraryの分離が必要 利用部門はABC
application programmers プログラムを書く人
application system analysts システム設計の為、ユーザーニーズの聞き出しや仕様書の作成を行う
operating systems programmer OSのパラメータの変更
operating systems analysts OSをよりよくする為の改善
