ISMSの監査で問われるのは、決めたとおりに運用し、その証拠を出せるかです。
今日やることは、直近の内部監査の報告書を開き、指摘の1件を選んで、是正の記録まで追えるかを試すことです。報告書から処置と結果までたどれなければ、審査の前に直す場所はそこです。
内部監査と審査は何が違う？
実施する人と、結果の使われ方が違います。
|
内部監査 |
認証機関の審査 |
| 行う人 |
組織自身 |
第三者の認証機関 |
| 時期 |
組織があらかじめ定めた間隔 |
年1回以上のサーベイランス、3年ごとの再認証 |
| 確かめること |
ISMSの適合性と有効性 |
ISO/IEC 27001に基づき適切に運用管理されているか |
| 結果の使い道 |
問題点を見つけ、改善につなげる |
認証の登録と維持の判断 |
時期と審査の内容はISMS-ACの制度パンフレットに、内部監査の役割はISMSユーザーズガイド（JIP-ISMS111-4.0・2025年3月）に書かれています。基準は同じ規格で、JIS Q 27001（ISO/IEC 27001）を自社の内部監査にも、認証機関の審査にも使います。
初回の認証審査は、原則として第一段階と第二段階の2段階です。認証の有効期限は3年です。段階ごとの確認の範囲や日数は、認証範囲や組織の規模で変わるので、認証機関から届く審査計画で確かめます。
内部監査で問題を見つけるのは失敗ではありません。審査の前に自社で見つけて直した記録は、仕組みが動いている証拠になります。指摘ゼロの内部監査報告書が何年も続くなら、監査が見るべき所を見ているかを疑います。
審査で求められる記録は？
規格が証拠を求めるものは、ユーザーズガイドの表にまとまっています。審査の指摘の傾向を集計した公的な統計は、私たちが調べた範囲では見つかりませんでした。そこで、この表から逆算して準備します。
| 規格の箇条 |
用意する記録 |
確かめる点 |
| 6.1.3 |
適用宣言書 |
管理策の適用と除外の理由が今の業務に合うか |
| 7.2 |
力量の証拠 |
担当の交代後も更新されているか |
| 8.2・8.3 |
リスクアセスメントと対応の結果 |
新しい設備やクラウドが入っているか |
| 9.1 |
監視と測定の結果 |
目的に対して数字を見ているか |
| 9.2.2 |
監査プログラムと結果 |
計画と実施の日付、範囲がそろうか |
| 9.3.3 |
マネジメントレビューの結果 |
経営者の判断が残っているか |
| 10.2 |
不適合、処置、是正の結果 |
処置だけでなく結果まであるか |
適用宣言書は、組織が適用する管理策を記述した文書です。ガイドは、記録を「要求事項へ適合していること及び運用の効果を示す証拠」として作成、維持、管理するものと説明しています。
規格の版も見ておきます。ISO/IEC 27001:2022への移行期限は2025年10月31日でした。認証が更新されていても、社内の規程や様式に古い版の管理策番号が残っていることがあります。審査の前に、適用宣言書と規程の番号が今の版でそろっているかを見ます。
抜けやすい記録をどう見つける？
1つの出来事を、最初から最後まで追います。文書の棚卸しより、抜けが早く見つかります。
たとえば、認証範囲を設計部門にしている部品メーカーが、図面の共有に新しいクラウドサービスを入れた場合です。次の順に、記録がつながるかを確かめます。
- 導入を決めた記録があるか
- リスクアセスメントに、そのサービスが追加されているか
- 適用宣言書と利用ルールが変わっているか
- 設計部門の人に、変わったルールを伝えた記録があるか
- 実際のアクセス権が、ルールのとおりか
- 次の内部監査の範囲に入っているか
途中の1つでも欠けていれば、そこが直す場所です。現場の人が、規程と違うやり方で作業していることもあります。規程の文言ではなく実際の動きを聞き、どちらに合わせるかを決めます。
アクセスや操作の確認がExcelと目視で追いつかないなら、統合ログ管理ツールの比較を見る方法があります。ただし、ログをためるだけでは監視の記録になりません。誰が、いつ、何を見て、どう判断したかを残す手順まで決めます。
内部監査はどう進める？
要点は、計画を立て、範囲を決め、結果を経営者に届け、指摘を閉じることです。規格の9.2.2は、監査プログラムの実施と監査結果の証拠を求めています。
少人数の会社では、次の4点で形骸化を防げます。
- 前回の指摘と、この1年で変わった業務から範囲を決める
- 監査員が自分の仕事を監査しない組み合わせにする
- 質問は「規程はありますか」でなく「最後に実施した記録を見せてください」にする
- 指摘には担当者と期限を付け、次の監査の冒頭で結果を確かめる
人が足りないのは、多くの組織に共通しています。ISMS-ACの調査（2023年度・回答1,704件）では、今後の課題の上位が「人材の確保、育成」54.2%と「マンネリ化・形骸化」50.8%でした。内部監査員の育成や確保が難しいという声も書かれています。同じ調査の回答は情報技術が53.3%で、機械・機器の製造業は1.3%です。製造業で事務局を担う人は、社内に相談相手が少ない前提で計画を立てます。
外部に頼む場合は、セキュリティコンサル・CSIRT支援の比較で、支援の範囲と期間を確かめます。頼むなら、監査の実施だけでなく、社内の監査員が横について手順を覚える形にしておくと、翌年の依頼範囲を減らせます。
審査の前は何をいつ確かめる？
審査の日から逆にたどります。次の順番は私たちが整理した一例で、規格や認証機関が定めた期限ではありません。
| 時期 |
やること |
| 約3か月前 |
前回の審査の指摘と、1年の変更点を一覧にする |
| 約2か月前 |
内部監査を終え、指摘の是正に入る |
| 約1か月前 |
マネジメントレビューを行い、結果を残す |
| 2週間前 |
記録の置き場所を1か所にし、説明する人を決める |
| 前日まで |
現場に、普段どおりのやり方を説明してもらうよう伝える |
製品を比べる前に、自社で記録の保管場所を決めます。記録が複数のフォルダーに散らばっていると、審査の場で探すことになります。ツールを使うなら、ISMS・Pマーク取得支援ツールの比較で、文書の作成だけを助ける型か、運用の記録まで助ける型かを確かめます。
審査の当日は、答えを作らないことです。分からない質問は、確認して答えると伝えて構いません。その場で作った説明は、記録と食い違うと指摘の原因になります。
認証は取引の役に立つのか？
役に立つと答える企業は多いものの、因果まで示す数字ではありません。IPAの2024年度の調査では、発注元から要請を受けた企業のうち、ISMS取得済みの73.9%が、要請された対策が取引につながったと答えました。未取得は30.3%です。これは担当者の実感を聞いた結果です。
委託先の管理まで含めた全体の順番はサプライチェーン攻撃の対策の手順に、個人情報の認証の年間予定はプライバシーマークの更新の手順に書いています。認証と取引先管理の関係は、サプライチェーンと認証のカテゴリから見られます。
