前回は、ISMSの要求事項を定めるJIS Q 27001と、管理策の実践規範を示すJIS Q 27002の役割の違いを確認した。今回はISMSシリーズの最終回として、これらの規格に基づいて実際に運用されている「ISMS認証制度」の仕組みと、運用上のポイントを取り上げる。
ISMS適合性評価制度とは
ISMS適合性評価制度とは、組織が構築・運用しているISMSが、JIS Q 27001（国際規格ではISO/IEC 27001）の要求事項に適合しているかどうかを、第三者機関が審査し、適合していれば認証を与える制度である。
重要なのは、個々のセキュリティ対策の実施状況だけでなく、「マネジメントシステムとして、方針の策定から運用・見直しまでの仕組みが継続的に機能しているかどうか」も評価の対象になる点である。この点は、前々回確認したPDCAサイクルの考え方と関連している、と理解するとよい。るとよい。
制度を支える機関
ISMS認証制度は、役割の異なる2種類の機関によって支えられている。
認定機関
認証機関（審査を行う機関）が、公正かつ適切に審査を実施できる能力を備えているかどうかを認定する機関である。日本では、情報マネジメントシステム認定センター（ISMS-AC）がこの役割を担っている。
認証機関（審査機関）
認定機関から認定を受けたうえで、実際に組織のISMSを審査し、合否を判定して認証を付与する機関である。日本国内には複数の認証機関が存在し、組織はその中から審査を依頼する機関を選ぶことになる。
「認定機関が認証機関を認定し、認証機関が組織を審査・認証する」という二段階の構造になっている点を押さえておきたい。
認証取得後の審査サイクル
ISMS認証は、一度取得したら終わりではなく、認証を維持するための継続的な審査サイクルの中に組み込まれる。一般的な流れは次の通りである。
初回認証審査
組織が初めてISMS認証を取得する際に行われる審査である。ISMSの文書体系を確認する第1段階審査と、実際の運用状況を確認する第2段階審査の、2段階で構成されることが多い。
サーベイランス審査（維持審査）
認証取得後、認証の有効期間中（通常は1年後・2年後）に実施される審査である。ISMSが継続的に維持・改善されているかを、要求事項や管理策の一部に焦点を当てて確認する。
再認証審査（更新審査）
認証の有効期間（通常3年）が満了する前に実施される審査である。初回認証審査と同様に、ISMS全体の運用状況と有効性を改めて評価したうえで、認証を更新する。
この一連のサイクルによって、認証取得後も継続的にPDCAサイクルが回り続けていることが、外部から確認される仕組みになっている。
ISMS認証のメリット
組織がISMS認証を取得する意義として、次のような点が挙げられる。
- 情報セキュリティマネジメントの仕組みが国際規格に適合していることを、取引先や顧客など利害関係者に対して客観的に示すことができる
- 経営者が情報セキュリティに関する説明責任を果たす手段となる
- 認証取得・維持の過程で、組織自身のセキュリティ対策の見直し・改善が促される
なお、情報セキュリティマネジメントの分野には、ISMS適合性評価制度のほかにも、ITサービスマネジメントを対象とするITSMS適合性評価制度や、事業継続マネジメントを対象とするBCMS適合性評価制度など、関連する認証制度が存在する。これらは対象とするマネジメントシステムの種類が異なるものの、第三者機関による審査・認証という基本的な仕組みは共通している。
試験対策のポイント
- ISMS認証審査で評価されるのは「個々の対策の実施状況」ではなく「マネジメントシステムとして機能しているかどうか」である点を押さえておく
- 認定機関（ISMS-ACなど）と認証機関（審査機関）の役割の違いを区別できるようにしておく
- 初回認証審査・サーベイランス審査・再認証審査という審査サイクルの流れと、それぞれのタイミング（有効期間3年、1年後・2年後の維持審査など）を押さえておく
- ISMS認証が、一度取得すれば終わりというものではなく、継続的な審査を通じてPDCAサイクルの運用そのものが確認される制度である、という考え方を理解しておく
まとめ
今回は、ISMSシリーズの最終回として、ISMS適合性評価制度の仕組み、認定機関と認証機関の役割分担、認証取得後の審査サイクル、認証のメリットを確認した。これで、ISMSとは何かから、それを支える規格、そして実際の認証制度までを一通り確認したことになる。次回からは、新たなシリーズとして、セキュリティを担う組織・体制（CSIRTなど）について取り上げる。
コメント