ISO27001/ISMSISO27001の構築手順ISO27001の構築手順にはさまざまな手法がありますが、こちらでは当社が推奨している、リスク対応型構築の手順を紹介します。業務におけるリスクの発生可能性を洗い出しリスクの解決のために必要な項目を明確にしそれらを改善するための仕組みを構築し継続して行えるよう組織作りをするという考え方の手順です。業務の洗い出しまずは業務の洗い出しから始めます。そもそも何の業務を実際にやっているのか、改めて形にしてこないと見えてこないことがたくさんあります。ここで業務フローなどを作成しますが、詳細である必要性は必ずしもありません。業務内容がわかり、その業務にまつわる環境影響について議論できることが大切なので、業務の概要がわかる程度のフローを作成するようにします。リスクの洗い出しリスクについては、規格要求上で、情報資産におけるリスクの発生可能性、リスクの影響を洗い出すことが求められています。情報資産とその取り扱いの状況を明確にしたら、その情報資産と取り扱いのプロセスにおいて、問題となるような状況を想定し、それらの影響と発生可能性を評価します。情報が不完全になった場合の影響ごとに分類し、それぞれの影響を評価します。そこで、リスクの大きいものについては、リスクの軽減リスクの除去リスクの移転などの方法を検討していきます。場合によってはリスクを容認することも許可されています。次に、それらを実現するための対策について考えます。セキュリティ対策については、詳細管理策として選択可能な項目が133項目用意されているので、それらの中から、対策を選択していきます。問題は、人によるものか問題は、手順によるものか問題は、会社の提供する資源によるものか問題は、製品やサービスに含まれる要素によるものか問題は、製品やサービスそのものかなどの、問題の本質をあらかじめ明確にしておくことです。この論点なしに構築を進めると、いたずらに手順を増やしすぎてしまったり、マニュアルを過度に作りすぎてしまうことにつながります。リスク対策といえば、すぐに施錠することなどを考えがちですが、機密性をあげるために鍵をかければ使用したいときに使用しづらくなって可用性が下がりますし、完全性を保つためにアクセス権を制限すると、本来アクセスをすべき人のアクセス権まで侵害してしまい、可用性が下がる、などといったことがよくあります。重要なのは、リスクのバランスを見極めた上で、必要な対策の優先順位を決めることです。組織作り特にこのマネジメントシステムの難しさは、継続することにあります。品質マネジメントシステムなどは、日常の業務に密着したことなので意識しやすいのですが、セキュリティについては意識しなければ忘れてしまうような、業務のおまけとして実施されるようなことが多いのが事実です。そのためにも、組織作りはきわめて重要です。専任の担当者がいればいいというわけではありません。環境に影響を与えるのは実際に業務を行っている部門なのですから、それらの意見を徴収するためには、幅広く意見を拾うことの出来るような組織体が必要です。組織を挙げて環境対策をするためにも、会社ぐるみでいかに取り組むか、ということを検討することも重要な要素になります。