組織で守る仕組みを続ける

1守る範囲と責任者を決める

ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、情報資産とリスクを組織として継続的に管理する仕組みです。認証を取ることだけが目的ではありません。

責任体制を整え、管理する組織・業務・情報の適用範囲を明らかにします。基本方針を定め、情報資産を洗い出し、リスクを特定・分析・評価して対応を選びます。何を管理するかが曖昧なまま分析はできません。

BPR（Business Process Reengineering：業務プロセスの抜本的見直し）は業務の組み替え、IT（情報技術）サービスマネジメントはサービス品質の維持改善、CMMI（Capability Maturity Model Integration：能力成熟度モデル統合）は開発等のプロセス評価・改善に使うモデルです。

ISMSは情報資産とリスクを管理する活動です。

2方針から具体的な手順へ

情報セキュリティポリシー（情報セキュリティ方針）は組織の意図と方向性を示します。基本方針は経営者の意思、対策基準は守るべき水準、実施手順は日々の具体的な方法という階層で整理できます。

方針に継続的改善への意思を含め、必要な利害関係者へ伝えます。経営者は責任者の任命だけで終わらず、予算・人材の配分や実施状況の確認に関わります。CISO（Chief Information Security Officer：情報セキュリティ最高責任者）へ全責任を丸投げする考えではありません。

3実行したことを評価し改善する

PDCA（Plan-Do-Check-Act：計画・実行・評価・改善）で管理を続けます。計画で目的と手順を決め、実行で対策を運用し、評価で有効性や要求への適合を確かめ、改善で不足を是正します。監視業務を実施する行為はDo、その監視が有効か客観的に確かめる行為はCheckです。

内部監査では規格と組織自身の要求の双方、管理の有効性を評価します。監査は計画し、前回結果なども考慮します。業務プロセスの改善、ITサービス品質改善、開発成熟度評価とは対象を区別します。

4計画、実行、監査、是正を分ける

範囲と資産の把握、リスクの判断、目的と手順の決定は計画に関わります。決めた手順で日常の監視などを行うのは実行、対策が要求に合い有効かを監査するのは評価、不足の原因を直すのは改善です。

内部監査は組織自身と規格の要求を確認し、前回の結果も計画に活用します。常に抜打ちだけで行うものでも、規格要求を無視するものでもありません。経営者は全社的な方針、資源配分、確認に関与し、職場や外部専門家へ全責任を移しません。

基本方針は組織の方向性、対策基準は要求水準、実施手順は具体的な操作です。実施手順は文書を作った履歴ではありません。ISMSは情報資産のリスク管理であり、業務の組替えやサービス品質改善などとは対象を分けます。