結論
ISMSの維持・更新審査では、リスクアセスメントがよく指摘されます。例では、顧客リストの保管場所を社内サーバーからクラウドに変えたのに、そのリスクアセスメントがされていませんでした。新しくクラウドを使うときは、クラウド業者の供給者評価も必要です。リスクアセスメントは、定期的な見直しと細かい確認が必要です。
維持、更新審査においては、前回と比べ、より詳細な部分まで確認される傾向があり、リスクアセスメントはよく指摘となります。
指摘概要
貴社規程6.1.2（情報セキュリティリスクアセスメント）に基づきリスク分析を行って「リスクアセスメントシート」にまとめている。
しかし、顧客リストを社内サーバーからクラウド上に変更したことのリスクアセスメントがなされていない。
是正内容
「リスクアセスメントシート」にクラウド上の保管リスクを記載し、想定されるリスクに対する管理策（対策）を策定し、代表者が承認した。
当社からのコメント＆アドバイス
一部のファイル（顧客リスト）の保管場所を変更しただけなので、リスク分析の実施を失念してしまったそうです。
このお客様は、過去からクラウドを利用していたことで供給者評価は行っていましたが、もし、新規でクラウドの利用を行った場合、クラウド業者に対する供給者評価を行う必要があります。
やはりリスクアセスメントは、定期的な見直しと、細部までの確認が必要ですね。
ご相談予約
資料請求
お問い合わせ