附属書A解説

自分たちの取り組みを自分たちだけで評価すると、見落としや甘い判断が生じやすくなります。
独立した視点からのレビューを受けることで、方針どおりに運用されているか、改善すべき点はないかを客観的に把握できます。
小規模な組織では、経営者自身や情報セキュリティに直接関わっていない役員がレビューを担うといった工夫も考えられます。
レビューの結果は、経営陣への報告を経て、必要な改善につなげます。
レビューを担当する人が、情報セキュリティの実務にどっぷり関わっていると、客観性が損なわれるおそれがあるため、可能な限り独立性を確保できる体制を検討します。