取得目的を明確にすること。公的な認証制度ではなく、民間の認証制度である。ISMSと海外の相互認証は検討中だが、現在のところまだない。BS7799-2とISMSのダブル認証取得は可能。両方の審査を実施してくれる審査機関がいくつかある。安対精度を取得しても、直接ISMSとは関係無いため、省略できる部分は無い。ISMS構築の際には管理責任者を選定する必要がある。ITに強い人やセキュリティに強い人を選ぶのではなく、経営資源や要員などについてもきちんと管理できる立場の人を任命するのが適切である。プライバシーマークは基本的に全社取得であるが、ISMSの場合は企業が取得する範囲を決めることが可能。ISMS認証を取得してもセキュリティ対策が100%大丈夫ということではない。常により精度を高めていく努力が必要である。ISMS認証取得により、3年間の有効期間が認められるが、毎年第三者の認定機関によるサーベランスが行われ、情報セキュリティ管理に対するチェックを受けなければならない。PDCAシステムを実行することにより、セキュリティの精度が上がり、より高度な情報セキュリティ体制が構築されていく。業務量の増加ISMSの構築・運用のためには、文書化が義務付けられている。そのため、利用者にとっては業務量が増加する。適切なフォーマットを作成することで、セキュリティマネジメントは向上する。新しい業務フローの発生ISMSの要求事項に合わせて業務フローが追加・修正しなければならないことがある。そのときは一時的に作業効率が落ちる。そのため、業務形態に対応したセキュリティ管理策を構築する必要があるコスト的な負担ISMS構築に伴なうソフトウェアやハードウェアの費用が発生する。長期的な視点でみると、健全な運用のための一時的コストと考えることもできる。被審査組織によって構築されたISMSに対して適合しない状況が発生している場合は、審査チームにより不適合の指摘がされる。このとき、不適合の度合いにより、重大な不適合と軽微な不適合とに区分されてしまう。重大な不適合とは、マネジメントシステムに要求されている要素が完全に欠落している、あるいは組織のセキュリティ方針が達成するように機能していないと判断されるものである。その不適合が、現在または近い将来、セキュリティリスクが顕在化することにつながる可能性が高いものも含まれる。軽微な不適合とは、ISMSに欠落が認められるが、マネジメントシステムの欠落とはいえないもの(個人のたまたまの忘れ・ミス)でリスクが顕在する可能性が低いものをいう。軽微な不適合であっても、同じような不適合が多数発見され、結果としてISMSの核となる要素が欠落していると判断された場合は、重要な不適合と評価される。必要に応じて観察事項(オブザベーション)の指摘がある。観察事項(オブザベーション)とは、不適合ではないが、そのまま放置すると不適合問題に発展する恐れがあるものである。不適合は次の3つの要件で成立する。この要件をひとつでも欠くと不適合は成立しない。不適合については、その発見された現場で審査員により事実確認がある。毎日の審査作業の終了時点で、または必要に応じて、被審査側の責任者および当事者を交えた中間会議の場で、摘出した不適合の再確認がある。膨らむような問いかけ語法。5W1H完結型質問YES/NO形式の回答を求める質問である。実地審査では発展型質問に対応できるように準備を怠らないようにすることが必要である。し、維持及び改善に対するコミットメントの証拠を、次の事項によって示さなければならない。情報セキュリティ基本方針を確立する。・最終会議の実施方法に定まった規則はない。・しかし、会議の重要度から当然会議の質は問われる。・審査チームの使命は、効果的なISMSを構築するための被審査組織側の努力を支援することにある。・審査チームリーダーからは、以上の点を絶えず意識した積極的(建設的)な説明がある。・被審査組織例は指摘事項を真摯に受け止め、すぐに是正処置を行う気持ちが大切である。状態および審査証拠の3要件で論理的に説明する。最終会議の場で指摘された不適合について不明点・疑問点がある場合は、被審査組織側としてその点について質問し疑問を解くための機会が与えられる。このとき、審査チームリーダーからは、論理整然とした説明があるはずである。会議の席が「審査の再現の場」になってはいけない。会議に入る直前までの審査の結果を確認する機会である。審査所見には、現時点で不適合とはいえないが、そのまま放置すると不適合またはセキュリティ上の問題に発展する恐れのある点も存在する。これを観察事項(オブザベーション)として、被審査組織側にその対応を求めることがある。審査チームからは、手順書が効果的に運用されている部分などISMSの充実点についての説明がある場合がある。充実点についても審査証拠が示されると評価に重みが増す。サンプリング審査の限界について審査はサンプリング審査に基づくものとする。不適合が1件あったということは、ほかにも同様な不適合の存在する可能性があることを示唆している。ともに表明された不適合が限られた時間名でのサンプリング審査の結果であることを認識しなければならない。不適合が双方により確認されると、審査チームリーダーは期限を定めて被審査側に問題点の是正処置を求められる。この場合、審査側の責任は問題点と是正処置の必要性を明確にすることであり、是正処置を計画し実施するのは被審査側の責任である。審査側は、被審査側との間で是正処置の計画および実施の日程について合意を得る。約束などを考慮し、かつ審査側の判定基準に基づき審査結論の明確な表明がある。審査チームリーダーから、審査の実施方法、審査の結果(審査所見および審査結論)を含むについて被審査側に異議のないことの最終的な確認をする。意義がある場合は、被審査側の疑問や誤解を解くための審査チームの誠意を持った対応がある。それでもなお解決できない場合は、異議申し立ての手続きがある。審査チームリーダーより、審査報告書が審査の正式記録として被審査側に発行される胸の伝達がある。Applicability)とは、リスクアセスメントとリスク対応の結果、採用し承認された詳細管理策の一覧である。・ある意味で、ISMS要求事項と組織としての取り組みのチェックリスト的な役割がある。・品質・環境などの他のマネジメントシステムには存在しない。それらの選択の理由を記載することが求められる。詳細管理策の中から適用除外とした管理目的、管理策についても除外理由を記載しなければならない。制約、すぐには実施できない」、「適用なし」であるかもしれない。・適用宣言書は、組織がリスクをどのようにしてコントロールしているかを示す文書であり、潜在的な取引相手に開示することも考えられる。したがって、アタッカーに有益な情報を与えるほど詳細に記述はしないほうがよい。「適用なし」、「リスク評価の結果不要」などと書いたあれば十分である。†セキュリティ教育を行い、すべての要員がISMSの重要性を認識し、自らの役割を自覚させる必要がある。力量(competence)とは、知識と技能を適用するための実証された能力である。例:ペーパードライバーは実際の路上での運転はできない。技能はあっても力量はないといえる。ISMSに影響がある業務に要求されている力量が何であるかを明確にする。要員に必要な力量が持てるように教育・訓練をしていく。実施した教育・訓練やその他の講じた処置が、結果として業務遂行面で適切であったかを評価する。教育・訓練や技能、経験、資格について記録し、これを記録として維持する。†ISMSの監査の種類には次の3種類がある。第一者監査(内部監査)組織自らが、組織のISMSを監査する。基本的に、自社の監査員がISMSを監査する。これによって、効果的なマネジメントレビュー、是正処置または改善処置のための有益な情報が提供される。被監査者が望めば、一緒に問題の解決に努める。第二者監査(外部監査)取引関係など、利害関係にある者が組織の監査を行う。これにより、組織に対する信頼が生まれる。監査員は不適合の是正について解決方法などをアドバイスするが、被監査者と一緒に問題の解決まではしない。第三者監査(外部監査)利害関係のないものが行う審査(監査)で、審査登録機関などが行うもの。これにより、組織は潜在的顧客からの信頼を得ることができる。情報システム全体のセキュリティを扱う。コンプライアンスを主眼とした個人情報のみを扱う。・日本は、ISMS認証を取得した組織の数が世界一になったが、取得した後のPDCAサイクルがうまく働いていないことがある。・ISMSは中小企業や地方自治体には重過ぎるともいわれ、これらの組織にどう適用していくかが課題になっている。・リスクについての定量化やレベルの判断はISMSではできない。どの対策をどのレベルで行うかを示すこともリスク管理上重要である。経営者(4721d)。