内部統制、開発者と運用者を明確にアクセス分離で実現 - ヤフージャパン

内部統制への対応は工数がかかる割には効果が薄い、そう感じている経営者は少なくないだろう。しかしやり方次第ではうまくまわすこともできる。Yahoo! JAPAN Tech Blog 『開発と運用の分離』に掲載されている次の言葉はそれを表現している。

----「また、内部統制対応は総じて工数の増加を伴いますが、自動化により素早い対応とリリース関連作業の工数削減を図る事が可能です。J-SOXを改善のネタとして取組み、即効性の高い効率化を図る事が出来た良い一例であったと思います。」 ----Yahoo! JAPAN Tech Blog, "開発と運用の分離"より抜粋

『開発と運用の分離』では開発者と運用者を明確に分離し、開発者はリリースモジュールにアクセスすることがないように、運用者はソースコードにアクセスすることがないようにすることで不正な操作ができないようにシステムを構築した例が紹介されている。仕組みはソースコードをリポジトリから取得してリリース用のモジュール作成を自動化してそこに人為的操作が加わることがないようにしたというもの。アクセス権を適切に設定することでアクセス分離を実現している。

システムの仕組みを工夫することで開発者と運用者がそれぞれアクセスできるリソース分離をしたところが興味深い。アーキテクチャも明確で、責任の所在もわかりやすい。仕組みを工夫することで効果的な内部統制を実現できる一例として興味深い。