[論文レビュー] TellTable Spreadsheet Audit: from Technical Possibility to Operating Prototype

John C. Nash, Andy Adler+1 more|ArXiv.org|Mar 12, 2008

Spreadsheets and End-User Computing参考文献 8被引用数 5

ひとこと要約

本論文では、Excelファイルの監査トレースを収集・分析し、エラーを検出するとともにデータ整合性を確保するためのオープンソーススプレッドシート監査システム、TellTableを提示する。スプレッドシート操作をインストルメント化し、サーバーサイドインfra構造と統合することで、金融および規制分野における実際の導入において技術的妥当性と運用可能性を示したプロトタイプが実現された。

ABSTRACT

At the 2003 EuSpRIG meeting, we presented a framework and software infrastructure to generate and analyse an audit trail for a spreadsheet file. This report describes the results of a pilot implementation of this software (now called TellTable; see www.telltable.com), along with developments in the server infrastructure and availability, extensions to other "Office Suite" files, integration of the audit tool into the server interface, and related developments, licensing and reports. We continue to seek collaborators and partners in what is primarily an open-source project with some shared-source components.

研究の動機と目的

• スプレッドシートファイルにおける監査トレースの生成および分析のための技術的フレームワークを開発すること。
• 理論的な監査概念から、実世界での導入が可能な動作可能なプロトタイプへの移行を図ること。
• Excelを越えて、他のOfficeスイートファイル形式への監査機能の拡張を図ること。
• 企業利用を想定したサーバーサイドインターフェースへの監査ツールのシームレスな統合を実現すること。
• 共有ソースコンポONENTSを活用したオープンソースモデルを通じて、広範な採用を促進すること。

提案手法

• ユーザーのすべての操作、すなわちセル編集、数式変更、ナビゲーションイベントを記録するようにスプレッドシートアプリケーションをインストルメント化すること。
• 複数のユーザーおよびファイルからの監査トレースデータを収集・保存・分析するためのサーバーサイドインfra構造を設計すること。
• WordやPowerPointなどの他のOfficeスイートファイル形式への拡張性を備えたモジュラーなアーキテクチャを実装すること。
• 監査ツールをサーバーインターフェースに統合し、スプレッドシートの活動状況をリアルタイムで監視・レポート可能にする。
• 透明性、拡張性、コミュニティ連携を確保するため、オープンソースおよび共有ソースコンポonentsを活用すること。
• 保守性およびスケーラビリティを確保するため、形式的なソフトウェア工学的手法を適用すること。

実験結果

リサーチクエスチョン

• RQ1 スプレッドシートファイルに対して、エラー検出およびコンプライアンスを支援する形で、包括的な監査トレースを技術的に収集・保存することは可能か？
• RQ2 サーバーベース環境において、監査データを効率的に収集・保存・分析し、リアルタイム監視を可能にするにはどうすればよいか？
• RQ3 監査フレームワークは、Excelを越えて、他の複数のOfficeスイートファイル形式に対してもどの程度拡張可能か？
• RQ4 既存のサーバーサイドシステムに監査機能を統合する際に、ワークフローを損なわずに行うことができるアーキテクチャパターンは何か？
• RQ5 プロトタイプは、規制対象または高リスク環境での運用可能性をどの程度効果的に示しているか？

主な発見

• TellTableプロトタイプは、セルレベルの変更や数式編集を含む、スプレッドシート操作の詳細な監査トレースを正常に収集した。
• サーバーサイドインfra構造により、複数のユーザーおよびファイルからの監査データのスケーラブルな収集・分析が可能となった。
• WordやPowerPointなどの他のOfficeスイート形式への監査機能の拡張が、実現可能であることが実証された。
• 監査ツールをサーバーインターフェースに統合することで、リアルタイム監視およびレポートが可能となり、トレーサビリティと責任追及性が向上した。
• オープンソースモデルと共有ソースコンポonentsを活用することで、コミュニティ連携が促進され、プロトタイプの洗練が図られた。
• 本プロジェクトは運用状態に到達し、理論的設計から動作可能で展開可能なシステムへと移行したことが、EuSpRIG 2004会議議事録によって裏付けられた。