ISMSのマネジメントプロセス

組織の状況とリスクに基づいて情報セキュリティを計画・運用し、パフォーマンスを評価して継続的に改善する仕組みです。管理策の導入だけでなく、目的、責任、証拠、経営判断を含みます。

■ 試験で押さえるポイント

• 計画では組織の状況、利害関係者、適用範囲を定め、リスクアセスメントとリスク対応を行い、情報セキュリティ目的を設定します。

• 運用では計画したプロセスと管理策を実施・管理し、変更と外部委託も統制して、実施した証拠を保持します。

• パフォーマンス評価では測定・分析、内部監査、マネジメントレビューにより、適合性と有効性を確認します。内部監査は監査対象からの客観性を確保します。

• 改善では不適合を是正し、原因と類似不適合の有無を確認して再発を防ぎ、ISMSの適切性・妥当性・有効性を継続的に高めます。

• 適用宣言書は必要な管理策、その採否理由、実施状況を示します。附属書の管理策を無条件に全て導入する一覧ではありません。

■ 過去問での着眼点

内部監査で運用を客観的に確認し、マネジメントレビューでは経営層がISMSの適切性・妥当性・有効性を評価します。不適合の修正だけでなく、原因を除去する是正処置まで行います。

例: アクセス権棚卸しの未実施が監査で判明したら、当該棚卸しを実施するだけでなく、責任・期限・通知の欠落原因を直し、有効性を再確認します。