ISMS認証は、取得して終わりではありません。
認証取得後も、リスクの見直しや情報セキュリティ教育、内部監査などを継続し、組織の状況に合わせてISMSを改善していく必要があります。
一方で、認証取得までは審査に向けて取り組むことが明確でも、取得後は何を続ければよいのか、どのように運用すればよいのかが分かりにくくなることもあります。
日々の業務と並行して運用するためには、無理なく継続できる仕組みをつくることが大切です。
この記事では、ISMS認証取得後の審査サイクルや継続して行う主な活動、運用を形骸化させないためのポイントについて解説します。
ISMS認証取得後の審査サイクル
ISMS認証を取得した後も、認証がそのまま維持されるわけではありません。
認証取得後は定期的な審査を受けながら、ISMSが継続して運用されていることを確認していきます。
取得後の審査には、主に維持審査と更新審査があります。それぞれの違いを理解し、日頃の運用を継続していくことが重要です。
維持審査と更新審査の違い
ISMS認証では、認証取得後に定期的な維持審査が行われ、認証の更新時には更新審査が行われます。
維持審査では、認証取得後もISMSが適切に運用・維持されているかを確認します。
内部監査やマネジメントレビューの実施状況、リスクへの対応、情報セキュリティに関する活動などが確認されます。
一方、更新審査では、認証を次のサイクルへ更新できる状態にあるか、ISMS全体の継続的な適合性や有効性などが確認されます。
維持審査よりも広い範囲で確認が行われるため、日頃からISMSを継続して運用しておくことが重要です。
審査では日頃の運用状況が確認される
維持審査や更新審査のために、直前になって文書や記録だけを整えればよいわけではありません。
審査では、定めたルールに沿ってISMSが実際に運用され、その結果をもとに必要な改善が行われているかが確認されます。
たとえば、リスクアセスメントを実施していても、事業やIT環境が変化しているのに内容が長期間見直されていなければ、実態に合った運用とはいえません。
内部監査や教育についても、実施した記録を残すだけではなく、その結果を次の改善につなげることが大切です。
審査への備えと日頃のISMS運用は、別々のものではありません。
普段から必要な活動と記録を積み重ねていくことが、結果として維持審査や更新審査への備えにもつながります。
関連記事
ISMS認証取得後に継続して行う主な活動
ISMS認証取得後は、審査の時期だけ対応するのではなく、日常業務の中で必要な活動を継続していくことが重要です。
すべてを頻繁に見直す必要はありません。
日常的に行うことと、年間計画などに沿って定期的に行うことを整理し、自社に合った形で運用を続けていきます。
日常的な運用と記録を続ける
ISMSの運用では、社内で定めたルールに沿って業務を行い、その記録を適切に残していきます。
たとえば、アカウントやアクセス権の管理、バックアップの確認、インシデントへの対応、入退社に伴う権限変更など、日常業務の中にも情報セキュリティに関わる活動があります。
重要なのは、審査のために後から記録を作るのではなく、実際の運用と記録を一致させることです。日頃から必要な記録を残しておけば、運用状況の確認や改善にも活用できます。
リスクアセスメントとリスク対応を見直す
認証取得時に実施したリスクアセスメントも、そのまま使い続けるものではありません。
事業内容や組織、利用するシステムなどが変われば、想定されるリスクも変化します。
新しいクラウドサービスを導入した、業務フローを変更した、取り扱う情報が増えたなど、組織や業務に変化があった場合は、既存のリスク評価や対策に影響がないか確認することが重要です。
すべてを最初から評価し直すのではなく、変化した部分を確認しながら必要な見直しを行うことで、実態に合ったリスク管理を続けやすくなります。
情報セキュリティ教育を実施する
情報セキュリティのルールを定めても、従業員が内容を理解していなければ適切な運用にはつながりません。そのため、ISMS認証取得後も継続して教育や周知を行います。
教育では、社内ルールの確認だけでなく、現在の業務で注意すべきリスクや、実際に起こり得る場面を取り上げることが重要です。
新しいシステムやサービスを導入した場合なども、必要に応じて利用上の注意点を周知します。
また、教育を実施したことだけで終わらせず、理解度や実際の運用状況を確認し、必要に応じて内容や方法を見直していきます。
内部監査を実施する
内部監査では、ISMSが自社で定めたルールや要求事項に沿って運用されているかを確認します。
文書や記録の有無だけを確認するのではなく、決めたルールが実際の業務で守られているか、現在の業務に合ったものになっているかを確認することが大切です。
内部監査で課題が見つかった場合は、その原因を確認し、必要な是正や改善につなげます。
内部監査を単なる審査前の確認作業にせず、ISMSの運用を見直す機会として活用することが重要です。
マネジメントレビューを実施する
マネジメントレビューは、経営層がISMSの運用状況を確認し、今後の改善や必要な対応について判断するための機会です。
内部監査の結果やセキュリティ目標の達成状況、インシデントの発生状況、リスクの変化などを確認し、必要な改善や経営資源の配分など、今後のISMS運用に関する判断につなげます。
単なる活動報告で終わらせるのではなく、現状の課題や変化を経営層と共有し、次の取り組みに反映させることが重要です。
関連記事
ISMS運用を形骸化させないためのポイント
ISMSの運用を続けていると、毎年同じ手順を繰り返すこと自体が目的になってしまうことがあります。
しかし、組織や業務、利用するIT環境が変化すれば、必要な対策も変わります。
決められた活動を実施するだけでなく、現在の状況に合っているかを確認しながら運用することが、形骸化を防ぐポイントです。
前年と同じリスク評価を繰り返さない
リスクアセスメントでは、前年の評価結果をそのまま引き継ぐだけでは、現在の状況を適切に反映できない場合があります。
新しいシステムやクラウドサービスの導入、組織体制や業務フローの変更、取り扱う情報の変化などがあれば、新しいリスクが生じていないか、既存のリスク評価に変化がないかを確認します。
毎回すべてを最初から評価し直す必要はありません。
前年の評価を基礎にしながら、変化した部分を中心に確認することで、負担を抑えながら実態に合ったリスク評価を続けられます。
対策を実施して終わりにしない
情報セキュリティ対策は、導入や実施そのものが目的ではありません。
対策によって想定したリスクを適切に低減できているかを確認する必要があります。
たとえば、情報セキュリティ教育を実施した場合も、受講記録を残すだけでなく、内容が理解されているか、実際の行動につながっているかを確認することが重要です。
対策を実施した後に結果を確認し、必要であれば改善するところまでを一連の活動として考えることで、実効性のあるISMS運用につながります。
ルールが守られない原因を現場から確認する
社内でルールが守られていない場合、従業員の意識や教育だけが原因とは限りません。
手順が複雑すぎる、実際の業務フローと合っていない、必要なツールや権限が用意されていないなど、ルールそのものが現場で実行しにくい状態になっている可能性もあります。
ルール違反を見つけたときは、周知や教育を繰り返すだけでなく、なぜ守られていないのかを確認することが大切です。
原因に応じてルールや手順を見直すことで、情報セキュリティと業務の両立につながります。
関連記事
環境の変化に合わせてISMSを見直す
ISMSを適切に運用していても、認証取得時と同じ環境が続くとは限りません。
新しいサービスの導入や働き方の変化、組織体制の変更などによって、管理すべき情報やリスクも変化します。
認証取得時に決めたルールをそのまま維持するのではなく、環境の変化に合わせてISMSを見直していくことが重要です。
クラウドサービスや生成AIなど新しい利用環境を確認する
業務で利用するクラウドサービスや生成AIなどが増えると、情報の保存場所や共有方法、アクセスできる範囲なども変わります。
新しいサービスを利用する場合は、どのような情報を取り扱うのか、誰が利用できるのか、社内の既存ルールで適切に管理できるのかを確認することが大切です。
また、会社が正式に導入したサービスだけでなく、従業員が個別に利用しているサービスがないかにも注意が必要です。
利用実態を把握したうえで、必要に応じて利用ルールや管理方法を見直します。
組織や業務の変更をリスク評価に反映する
ISMSの見直しが必要になるのは、IT環境が変化した場合だけではありません。
組織改編や新しい事業の開始、業務の外部委託、拠点の新設なども、情報セキュリティ上のリスクに影響する可能性があります。
たとえば、担当者や部署が変わればアクセス権の見直しが必要になることがあります。
また、新たに業務を外部へ委託する場合には、委託先との情報の受け渡しや管理方法について確認が必要です。
組織や業務に変化があったときに、情報セキュリティへの影響もあわせて確認する仕組みをつくることで、実態とISMSの運用がずれていくことを防ぎやすくなります。
関連記事
まとめ｜ISMSは無理なく継続できる運用をつくることが重要
ISMS認証取得後は、日常的な運用や記録、リスクアセスメント、情報セキュリティ教育、内部監査、マネジメントレビューなどを継続していく必要があります。
重要なのは、審査のためだけに活動するのではなく、自社の業務や環境の変化に合わせてISMSを運用し、必要な改善を続けることです。
日頃から運用と記録を積み重ねていれば、それが維持審査や更新審査への備えにもつながります。
すべてを完璧に行おうとして運用の負担を大きくするのではなく、実態に合った方法で継続できる仕組みをつくることが大切です。
ISMSを形だけの仕組みにせず、情報セキュリティを継続的に改善するための仕組みとして活用していきましょう。
ISMSの運用・維持でお困りではありませんか？
ISMSは、認証取得後も継続的な運用や見直しが必要です。
「日々の運用が形骸化している」「内部監査やマネジメントレビューの進め方に不安がある」「自社だけで運用を続けるのが難しい」といった課題がある場合は、外部の専門家を活用することも選択肢のひとつです。
Synplanningでは、ISMS認証取得後の運用・維持や内部監査、継続的な改善を支援しています。
自社のISMS運用に課題を感じている方は、お気軽にご相談ください。
