ISMS（ISO27001）認証取得と、これから取得を目指す企業様へ

1．プロジェクトチーム発足 まずはこのプロジェクトの参加希望を募ることからスタートです。
過去に取得経験がある従業員もいれば、未経験でも興味があるからやってみたい！など、うれしいことに多くの従業員が集まってくれました。
最終的には、私を含め3名と当社情報システム部でプロジェクトチームを発足しました。

2．情報資産の洗い出し 情報資産とは契約書類、労働者管理書類、顧客預かりデータなど種類はさまざまで、紙管理のものもあれば、電子データのものもあります。またPC、サーバは当然のことながら、電話やFAXも資産として洗い出しました。
あと忘れてはならないのは従業員です。
情報資産としてはイメージしづらいですが、当社の事業を継続していくには重要な要素の一つです。

3．リスクアセスメントとリスク対応 洗い出した資産のうち、個人情報を含むものや重要な資産をピックアップして、想定される脅威や脆弱性を評価します。
評価した結果、重大なセキュリティリスクが存在したものについては、対応策を策定し実行に移します。

4．内部監査と教育 従業員が正しく管理を遂行しているか、また定めたルールに従って行動できているかなど定期的に内部監査や教育会を実施します。

5．事業継続計画の策定 緊急事態の発生により事業の継続が困難になると想定されるケースがある場合は、リスクアセスメントを実施し、緊急時にどう対応するかを計画します。

当社は、認証取得以前からセキュリティ対策は実施しており、様々なルールは存在していたもののすべてが明文化されていたわけではありませんでした。
この度、認証取得のためとは言え、すべてを文書化できたことは大きな成果でしたが、
この「文書作成」という作業に膨大な時間を要すことになり、実はこれが一番大変だったような気がします。

そんな時、アドバイザーとしてコンサルタントに支援してもらうのも有効な手段だと思います。
認証取得までの管理資料の作成や、文書作成などすべての作業を「代行」してもらえるサービスもあるようです。
今後の運用や管理資料の見直しなど、自社にフィットするシステムを構築するには、「支援」程度にとどめ、なるべく自分たちで構築することをお勧めします。