皆さんこんにちは。私はIT統括本部 情報システム部 セキュリティ対策課に所属しており、ISMS関連の業務に従事しております。今回は、ISMS規格の要求事項に追加や変更があった際の大まかな対応ステップをご紹介いたします。
ISMSの規格は、一度取得して終わりではありません。
サイバー攻撃の高度化やクラウドサービス・AIの普及など、激しく変化するビジネス環境や技術トレンドに対応するため、原則5年に1度の定期改訂や、必要に応じて随時追加や修正が行われます。
Step1：追加・変更された「要求事項」の正確な把握
まずは、ISO/IECから発行される改訂内容を読み解き、「何が新しい脅威として定義され、企業としてどのような対策（管理策）が新たに求められているのか」を正確に把握します。
近年では、クラウドセキュリティや脅威インテリジェンスに関する要求などが強化されています。
Step2：現状との「GAP（差分）分析」の実施
次に、新しく求められる要件と、Ｓｋｙ株式会社の現在の社内規定・運用ルール（現状のセキュリティ対策）を照らし合わせます。
「すでにＳｋｙ株式会社のルールでカバーできている部分はどこか」「新たに対応が必要な不足部分（GAP）はどこか」を洗い出し、分析・評価を行います。
Step3：新規格への対応と運用改善
Step2で判明したGAP（不足部分）を埋めるため、具体的なアクションを実行します。
社内ルールの改訂をはじめ、新しい運用の検討、そして従業員への周知・再教育を行い、新しいルールの定着を図ります。
その後、外部の審査機関による審査を経て、新規格への移行を完了させます。
まとめ
Step1～3が大まかな流れとなりますが、イメージを持っていただけましたでしょうか。
認証準拠の対応が単に「認証を維持する作業」ではなく、改訂などを契機として現在の体制を見直し、自社のセキュリティ体制をさらに強固なものへレベルアップさせる一助になるよう、引き続き取り組んでまいります。
