ISO27001（ISMS）の運用が出来ている！と勘違いしていることが・・・

運用ができているつもりでも実はできていない、よくある勘違いを会話形式で紹介します。

GUIDE

ISMSの運用が出来ている！と勘違いしていることが・・・

結論

「ISMSの運用はできている」と思っていても、実際はできていないことがあります。入退出やキャビネットの施錠、ウイルス対策だけでなく、リスクアセスメントの見直し、従業員教育、内部監査も運用です。ISMSの運用とは、会社が決めた規程を実施することです。

「当社はISO27001（ISMS）の運用が出来ているので更新はあまり心配していません」と言う方が、多くいらっしゃいます。
お客様に以下のような問いかけをすると、結果、ISMSの運用が出来ていないことが判明します。

当社：リスクアセスメントの見直しはできているのですね？

お客様：それ何ですか？

当社：従業員教育と内部監査はされていますか？

お客様：たぶん……していません。今年はやろうと思っています。

当社：どのように従業員教育と内部監査をされるのですか？

お客様：……どうしたらいいですか？

当社：お客様が出来ているとおっしゃるISMSの運用は何ですか？

お客様：入退出とキャビネット施錠管理です。

当社：他は何かされていますか？

お客様：ウイルス対策とかはしていますが、他は特に……無いです。何か問題でも？（少々怒り気味）

このような場合、お客様は根本的にISMSの運用をご理解できていません。
運用とは、お客様が規程で定めたものを実施し、記録に残すことです。

規程に書かれた活動を一覧にし、実施日、担当者、記録の保管先を照らし合わせてみましょう。日常の安全対策だけでなく、定期的な見直しや教育、監査が行われているかも確認します。記録が見当たらない活動は、実施状況を調べて次の対応を決めます。