公開日 2026年11月3日
決めたルールのとおりに、セキュリティの対策が実際に動いているかを、書類と聞き取りで確かめること。
ペネトレーションテストが実際に攻めて穴を探すのに対し、監査は規程・担当・点検の記録を見て、決めたとおりに対策が回っているかを確かめます。要るのは攻撃の技術より、仕組みと書類を読む力です。
国家サイバー統括室は、各省庁の対策が基準どおりかを確かめる「マネジメント監査」を毎年行っています。その手伝いは、2024年度は2回、2025年度からは4回に分けて発注されています。2025年度はKPMGが3回分、トーマツが1回分を受け、2026年度は2回分ずつに分かれました。
| 年度 | 受けた会社 | 金額の合計 |
|---|---|---|
| 2025 | KPMG（3件）・トーマツ（1件） | 2.97億円 |
| 2026 | KPMG（2件）・トーマツ（2件） | 2.76億円 |
省庁ごとの内部監査も外に出ています。デジタル庁は2025年度と2026年度にトーマツ、金融庁は3年続けてトインクが受けました。
国家サイバー統括室のマネジメント監査の手伝いは、大手会計事務所系（Big4）のKPMGとトーマツが分け合っています。監査やルールづくりの経験がある人には、Big4のセキュリティ部門が近い入り口です。