ISMSとは？どんな会社に向いているか

SECTION 01

ISMSとは、何をする仕組み？

個別の技術対策ではなく、組織の管理の仕組み

ISMSの認定機関である情報マネジメントシステム認定センター（ISMS-AC）は、ITシステムやネットワークが社会に欠かせないものになる一方で、標的型攻撃やランサムウェアなどの被害も多く起きていると説明しています。こうした脅威に対して、会社全体として情報セキュリティを確保するために、適切なリスクアセスメントを行ったうえでISMSを構築し、運用することが求められています。

ここで大事なのは、「どの対策を入れるか」を先に決めるのではなく、「自社にとって何がリスクか」を先に調べるという順番です。扱っている情報や業務の進め方は会社ごとに違うため、必要な対策も会社ごとに変わります。ISMSは、その判断を組織として行い、続けていくための枠組みだと考えると分かりやすくなります。

目指すのは、情報を守れていることへの信頼

ISMS-ACは、ISMSが達成すべきこととして、リスクマネジメントのプロセスを適用し、情報の機密性・完全性・可用性をバランスよく維持し改善すること、そしてリスクを適切に管理しているという信頼を利害関係者に与えることを挙げています。

そのためには、ISMSを特別な取り組みとして切り離すのではなく、組織のプロセスやマネジメントの構造の一部として組み込むことが重要だとされています。情報セキュリティの担当者だけが動くのではなく、日々の業務の流れの中に、情報を守るための判断や手順が入っている状態を目指すということです。

ISMSは「対策の一覧」ではなく、自社のリスクを評価して対策を決め、運用し、見直していく組織の仕組みです。

SECTION 02

情報セキュリティの3つの要素とは？

機密性・完全性・可用性をバランスよく保つ

ISMSでは、情報セキュリティの主な要素として、機密性・完全性・可用性の3つを扱います。大まかにいうと、機密性は見てよい人だけが情報を扱えること、完全性は情報が正しく欠けのない状態であること、可用性は必要なときに情報を使えることを指します。

ISMS-ACの説明では、これらに加えて、真正性、責任追跡性、否認防止、信頼性といった特性の維持を含めることもあるとされています。どこまでを重視するかは、扱う情報や業務の性質によって変わります。

どれか1つだけを強くしても、守れているとは限らない

3つの要素は、どれか1つだけを強くすればよいというものではありません。たとえば、情報を厳しく閉じ込めすぎると、必要な人が必要なときに使えなくなります。反対に、使いやすさだけを優先すると、見てはいけない人に情報が届くおそれが出てきます。

ISMSで「バランスよく」という言葉が使われているのは、この3つを自社の業務に合わせて調整し、続けて改善していくことが求められているからです。検討の段階では、自社の業務で特にどの要素が損なわれると困るのかを考えておくと、後のリスク評価が進めやすくなります。

SECTION 03

ISO27001（JIS Q 27001）と認証の関係は？

ISMSは、ISMSの要求事項を定めた規格

JIS Q 27001（ISO/IEC 27001）は、ISMSの要求事項を定めた規格です。組織がISMSを確立し、実施し、維持し、継続的に改善するための要求事項を示すことを目的としています。JIS Q 27001は、ISO/IEC 27001に合わせて日本産業規格として定められた国内規格で、内容は国際規格との整合が保たれています。

この規格の特徴は、ISMSを「どのように実現するか」という方法ではなく、組織が「何を行うべきか」を中心に書いている点です。そのため、同じ規格に沿っていても、具体的な手順や文書の形は会社ごとに違ってきます。

規格は、自社の中で情報セキュリティの取り組みを評価する基準としても、取引先などの外部の関係者や第三者が評価する基準としても使うことができるとされています。

認証は、認証機関の審査を受けて取得する

ISMS適合性評価制度は、国際的に整合のとれた、ISMSに対する第三者の適合性評価の制度です。ISMS-ACは、この制度がわが国の情報セキュリティ全体の向上に役立ち、諸外国からも信頼を得られる水準を達成することを目的にしていると説明しています。

ISMS認証は、ISMS-ACが認定した認証機関の審査を受け、認証基準に適合していると認められることで取得できます。認証基準となる規格の版は改正されることがあるため、どの版が適用されるかは、検討の時点でISMS-ACや認証機関の案内で確かめておくことが大切です。

SECTION 04

ISMSは、どんな会社に向いている？

会社の規模や業種を問わず、使えるように考えられている

JIS Q 27001では、組織が自らのニーズや目的、情報セキュリティの要求事項、使っているプロセス、組織の規模や構造を考えてISMSを確立し、実施することになっています。ISMS-ACも、この規格は広く利用できる基準として、あらゆる組織に適用できるよう配慮されていると説明しています。

つまり、ISMSは大企業だけのものではありません。小さな会社であっても、自社の規模や業務に合った形で仕組みを作ることが前提になっています。ここからは、規格や制度の説明をもとに、ISMSが特に合いやすい会社の状況を4つに分けて整理します。

1. 多くの情報を扱い、リスクの変化に対応したい会社

ISMS-ACは、JIS Q 27001について、多くの情報を扱うようになった現代の組織が、業務を取り巻くリスクの変化に対応できるよう、組織の基盤を作る目的に適していると説明しています。顧客から預かる情報やシステムに関わる情報が増えてきた会社では、対策を場当たり的に足すより、仕組みとして整えるほうが管理しやすくなります。

2. 情報を守れていることを、外部に示したい会社

ISMSが目指すことの1つは、リスクを適切に管理しているという信頼を利害関係者に与えることです。取引先や顧客から情報の扱いについて確認を受ける機会がある会社にとっては、第三者の審査を受けて認証を取得することが、取り組みを説明する手段の1つになります。

3. 情報セキュリティを、担当者任せでなく組織で管理したい会社

ISMSは、組織のプロセスやマネジメントの構造に組み込むことが重要だとされています。特定の詳しい人に頼っている状態から、役割や手順を決めて組織として続けられる状態に移したい会社には、ISMSの考え方が合いやすいといえます。

4. 自社の状況に合わせて、必要な対策を選びたい会社

規格は方法を細かく決めず、組織が何を行うべきかを示す形になっています。また、事業の特性によって適用を除外できる管理策もあります。自社の業務に合わない一律の対策を入れるのではなく、リスク評価に基づいて対策を選びたい会社にとって、この点は検討しやすい部分です。

規模の大小よりも、「情報を組織で管理し、その取り組みを外部に示したいか」が、ISMSを検討するかどうかの分かれ目になります。

SECTION 05

検討の前に、誤解しやすい点は？

管理策の適用除外には、理由の明示が必要

JIS Q 27001は、どの組織でも必ず適用する要求事項（本文）と、事業の特性によって適用を除外できる要求事項（附属書Aの管理策）で構成されています。ただし、除外は自由に選べるわけではありません。

ISMS-ACは、安易な適用除外や理由のはっきりしない適用は、マネジメントシステムの一貫性に大きく影響すると説明しています。除外を考える場合の原則として、ISMSの能力や責任に影響しないこと、情報セキュリティの目的と相反しないこと、関連する法規や規制に関する要求事項でないこと、といった例が示されています。

適用宣言書には、適用しない理由も書く

どの管理策を適用し、どれを適用しないかは、適用宣言書という文書にまとめます。適用宣言書には、適用した結果とその理由、適用しない場合にもその理由を書きます。附属書Aにない管理策を自社で追加した場合は、その内容と理由も記述します。

この文書は、組織がどのような情報セキュリティの管理策を適用しているかを示すもので、特定の利害関係者に開示したり交換したりすることで、情報セキュリティを保っているという信頼にもつながるとされています。

取得の進み方は、会社の状況で変わる

規格が方法ではなく行うべきことを示している以上、ISMSの作り方や文書の量、社内で決めることは会社ごとに変わります。扱う情報の種類、業務の進め方、関わる人数や拠点などによって、リスクの評価結果も必要な対策も違ってくるためです。他社の事例や一般的な説明をそのまま自社に当てはめず、自社の状況から考えることが大切です。

SECTION 06

取得までと取得後には、どんな流れがある？

取得までは、仕組みを作って動かしてから審査を受ける

ISMSの取得は、書類をそろえて申し込めば終わるものではありません。一般的には、自社の情報資産を調べ、リスクを分析し、どう対応するかを決めるところから始まります。そのうえで情報セキュリティの目的と計画を立て、従業員への教育を行い、社内の規定を作り、実際に運用を始めます。

運用を始めたあとは、決めたことが守られているかを監視・測定し、内部監査で確かめ、経営層によるマネジメントレビューで見直します。認証機関の審査は、こうして仕組みが実際に動いている状態になってから受けるのが基本の流れです。審査は段階に分かれて行われ、指摘があれば是正処置を行い、判定を経て認証に至ります。

取得したあとも、見直しを続けて維持・更新する

JIS Q 27001は、ISMSを確立し、実施するだけでなく、維持し、継続的に改善するための要求事項を示した規格です。そのため、認証を取得したあとも取り組みは続きます。

取得後には、関係する法令の見直し、情報資産の見直し、リスク分析の見直し、目的の達成度の評価、定期的な教育、継続的な監視測定、定期的な内部監査とマネジメントレビューなどを繰り返していくことになります。業務や扱う情報が変われば、リスクも変わるためです。

ISMSは「取って終わり」ではなく、取得後の見直しまで含めて続けていく仕組みです。検討の段階から、運用を続ける体制も一緒に考えておくと安心です。

SECTION 07

取得を考え始めたら、何から進める？

まずは、自社が扱う情報と目的を整理する

取得を考え始めたら、まず自社が扱っている主な情報と、それを使っている業務を整理するところから始めると、検討が進めやすくなります。あわせて、なぜISMSを検討するのか、取引先への説明のためなのか、社内の管理を整えるためなのかといった目的も言葉にしておくと、範囲や進め方を決める際の判断材料になります。

認証の手続きや、認証取得までの流れについては、ISMS-ACの案内でも参照先が示されています。制度の正確な条件や最新の規格の版は、公的な案内で確かめながら進めることが大切です。

社内だけで進めるか、支援を受けるかを考える

ISMSの構築では、適用範囲の決定、情報資産の洗い出し、リスク分析と対応の決定、規程づくり、教育、内部監査など、いくつもの作業が続きます。社内の体制や時間の余裕によっては、外部の支援を受けながら進めるという選択肢もあります。

ワークストラストは、ISMSの新規取得と運用・更新を支援しています。新規取得の支援は、従業員の人数の目安に合わせたコースや、SES事業者様向けのコースに分かれており、書類づくりや教育、審査の準備を当社が支援することで、お客様の作業を減らすことを目指しています。審査を行うのは認証機関であり、当社は取得に向けた準備と運用を支える立場です。

まずは自社の情報と目的を整理し、そのうえで自社だけで進めるか、支援を受けて進めるかを決めると、無理のない検討ができます。

FAQ

よくある質問