ISMSの取得は、適用範囲を決めてリスクを評価し、仕組みを運用して内部監査まで終えてから、認証機関の審査を2段階で受ける流れです。
期間の目安は、認証機関の一つであるJQAの案内で、検討開始から登録証の発行までおおむね1年です。準備体制によって大きく変わり、半年程度で取得に至る例もあるとされています。
今日やることは、取得の理由を1行で書くことです。「主要取引先の調査票で求められた」「入札の条件にある」など、理由によって範囲と期限が変わります。求めている相手がいるなら、どの事業所や部門まで認証の範囲に入っていれば足りるのかを、担当者に聞いてください。
サプライチェーンセキュリティの解説の中で、この記事は社内で取得を進める工程と分担を扱います。
取得までの工程は？
ISMSの要求事項を定めた規格がJIS Q 27001（ISO/IEC 27001）です。ISMS-AC（情報マネジメントシステム認定センター）の説明によれば、この規格は実現の方法ではなく、組織が何を行うべきかを主に記述しています。だから手順書の雛形をそのまま使うだけでは足りず、自社のやり方に落とす作業が要ります。
工程は次の7つです。
| 工程 |
やること |
できるもの |
| 1 範囲と体制 |
認証の範囲と担当を決める |
適用範囲、体制図 |
| 2 リスク評価 |
情報資産を洗い出し、リスクの大小を判別する |
資産台帳、評価結果 |
| 3 管理策の決定 |
適用する管理策と理由を決める |
適用宣言書、規程 |
| 4 運用 |
決めたとおりに動かし、教育する |
運用の記録 |
| 5 内部監査 |
決めたとおりに動いているか社内で確かめる |
監査の記録 |
| 6 マネジメントレビュー |
結果を経営層が見て、改善を決める |
レビューの記録 |
| 7 審査と登録 |
認証機関の2段階の審査を受ける |
登録証 |
工程3の適用宣言書は、取得の中心になる文書です。ISMS-ACによれば、適用する管理策、適用する理由、適用しない場合の理由を書きます。規格の本文はどの組織でも必ず適用します。附属書Aの管理策は事業の特性によって除外できますが、理由の明示が要ります。
認証機関の審査では何を見られる？
審査の進め方は認証機関の規則で確かめます。ここでは公開されているJQAのマネジメントシステム審査登録規則（第20版）を例にします。認証機関ごとに細部は違います。
ファーストステージ
主な内容は、文書の審査、登録範囲となる組織と事業所の特定、方針や目的の適切性と理解度の確認、法令への対応状況などです。ISO/IEC 27001では、セキュリティリスクの分析・評価の実施状況、セキュリティ基本方針と適用宣言書も確認の対象です。内部監査とマネジメントレビューの実施と計画の状況も見られます。
セカンドステージ
マネジメントシステムの実施状況と有効性を評価し、規格への適合性を審査します。2つの審査の間隔は、原則として最長6か月です。
審査の前に必要な記録
JQAの規則では、少なくとも内部監査とマネジメントレビューが実施され、記録がなければ、セカンドステージ審査は実施しません。審査の日程から逆算して、この2つを先に終わらせます。
審査の日程は早めに押さえます。JQAのよくある質問は、ファーストステージの4か月前までの契約を勧めており、最短でも1か月前には契約を終える必要があるとしています。費用は人員数や事業所数などに応じて算出すると案内されているので、範囲の案ができた時点で複数の認証機関に見積もりを取ります。認証機関はISMS-ACの一覧で確かめられます。
12か月をどう割り振る？
次の表は、上の工程とJQAの期間から私たちが逆算した割り振りの例です。認証機関の基準ではありません。兼任の担当者を想定して、運用の期間を長めに取っています。
| 時期 |
工程 |
この時期の山場 |
| 1か月目 |
範囲と体制 |
経営層が範囲と担当を決める |
| 2〜3か月目 |
リスク評価 |
部門ごとの資産の洗い出し |
| 4〜5か月目 |
管理策の決定 |
適用宣言書と規程。認証機関の選定 |
| 6〜8か月目 |
運用 |
教育と記録を3か月分ためる。認証機関と契約 |
| 9か月目 |
内部監査 |
別の部門の担当者が監査する |
| 10か月目 |
マネジメントレビュー |
経営層が結果を見て改善を決める |
| 10〜12か月目 |
審査と登録 |
指摘への対応を含む |
短くしたいときは、運用の期間より先に範囲を見直します。範囲が狭いほど洗い出す資産と関わる人が減るからです。JQAの説明でも、適用範囲は組織全体または一部と決められます。
ただし、取引先の要求を満たさない範囲では取得の意味が薄れます。冒頭で確かめた条件から逆算して決めます。
たとえば、部品メーカーが親会社の調査票をきっかけに取得する場合を考えます。図面を受け取る設計部門と、受発注を担当する営業部門を範囲に入れると、社内の情報の流れを説明しやすくなります。工場の現場を範囲に入れるかどうかで、関わる人数も教育の対象も大きく変わるので、最初の1か月で決める価値があります。
兼任でも進められる分担は？
事務局が全部の文書を書く形にすると、本業が忙しい月に止まります。役割は次のように分けます。
分担の例
- 経営層：取得の理由、範囲、予算を決める。方針を出し、マネジメントレビューを行う
- 事務局（総務など1人）：工程表を持ち、文書の版と記録の置き場を管理する。全部は書かない
- IT窓口（情シス、または外部の保守会社の窓口）：機器、ID、バックアップの現状を出す
- 部門の担当（各部門1人）：自部門の情報資産とリスクを洗い出す
- 内部監査の担当：自分の部門以外を監査する
ポイントは2つあります。
1つ目は、経営層の役割を最初に具体的に決めることです。ISMS-ACは、ISMSを組織のプロセスとマネジメント構造の一部として組み込むものと説明しています。範囲と予算を決める人が動かないと、担当者の作業だけでは進みません。
2つ目は、内部監査を別の部門の人に頼むことです。自分が書いた手順を自分で確かめると、抜けを見落としやすくなります。総務の運用を製造の担当が、製造の運用を総務が見るといった組み合わせなら、少人数でも回せます。
社内に監査の経験者がいなくても、取得を止める理由にはなりません。監査の方法は、外部の研修や支援で学ぶ手があります。個人の審査員資格と会社の認証は別のものなので、ISMSの資格と認証の違いも合わせて確かめてください。
外部の手はどこで借りる？
全部を自分たちで進める必要はありません。手を借りる場面は主に3つです。
- 文書と記録の管理：ISMS・Pマーク取得支援ツールの比較で、台帳、規程の雛形、記録の管理機能を見る
- 工程の伴走：セキュリティコンサル・CSIRT支援の比較で、支援の範囲を見る
- 社員教育：セキュリティ教育（eラーニング・メール訓練）の比較で、教育の実施記録が残るかを見る
JQAは、規格の解釈などの相談に応える業務相談と、審査と同様の形式で構築・運用の状況を確かめる予備評価を案内しています。審査の前に不安な所だけ確かめる使い方もできます。
コンサルに頼むときは、文書を書いてもらう範囲と、社内で決める範囲を契約の前に分けます。社内の誰も中身を説明できない文書ができると、運用の工程と審査で困るのは自社です。
取得後に続くことと、ほかの制度との関係
JQAの規則では、ISO/IEC 27001の有効期限は原則3年です。定期審査は年1回または年2回で、更新審査は原則3年ごとです。取得はゴールではなく、内部監査とマネジメントレビューを毎年続ける前提で体制を決めます。担当者が異動しても回るよう、事務局の手順も文書にしておきます。
取引先からSCS評価制度について聞かれることもあります。IPAのFAQは、SCS評価制度の★3・★4は効果の高い管理策を抽出するベースラインアプローチを採るとし、ISMSとは相互補完的な制度と位置づけています。ISMSを取得すれば★の登録が不要になるとは書かれていません。どちらを求められているのかを取引先に確かめ、★の項目についてはSCS評価制度のチェックリストを使った自己点検で足りない所を見ます。
