附属書A解説

方針の策定、リスクアセスメントの実施、インシデント対応、教育の実施など、情報セキュリティに関わる業務は多岐にわたるため、
担当者や部署を具体的に定めておかないと、対応の抜け漏れが生じたり、いざというときに誰が動くべきか分からなくなったりします。
特に小規模な組織では、一人が複数の役割を兼務することも多いため、兼務であっても責任の所在を文書化しておくことが重要です。
役割分担は組織図や情報セキュリティ管理規程などに明記し、異動や組織変更があった際には速やかに更新します。
たとえば、情報セキュリティ委員会のような組織横断の体制を作る場合は、委員長・事務局・各部門の担当者といった役割を具体的に決めておくと機能しやすくなります。
責任者が不在の際に誰が代理を務めるかも、あらかじめ決めておくと安心です。