ポリシー・諸規程・ISMS

要点と定義

情報セキュリティ方針は、組織が情報を守るための方向性を示す文書です。JIS Q 27001:2014では、トップマネジメントが方針を確立し、文書化して組織内に伝達し、必要に応じて利害関係者が入手できるようにします。方針を秘密扱いに固定せず、担当者各人が別々に作るものとも考えません。必要に応じて見直せるようにします。

トップマネジメントは、組織を最高位で指揮し管理する個人または複数の人々を指します。ISMSの適用範囲が組織の一部なら、その部分を指揮し管理する人々が該当し得ます。役職名や代表者一人に限定して判断しません。

ISMSのリーダーシップには、要求事項を組織のプロセスに統合し、有効性に寄与するよう人々を指揮・支援することが含まれます。運用を他の業務プロセスから切り離す考え方ではありません。

組織の管理下で働く人々は、情報セキュリティ方針、自らの貢献が有効性に与える意味、要求事項に適合しない場合の意味を認識します。方針の周知だけで完了とはせず、各人が自分の役割を理解できるようにします。

不適合そのものを直す処置と、その原因を取り除いて再発を防ぐ是正処置は区別します。是正処置では原因を調べて処置を行い、その有効性も確認します。

適用条件と例

JIS Q 27001:2014への適合を宣言する場合、規格本文の要求事項と附属書Aの管理策は同じ扱いではありません。箇条4〜10の要求事項は適用し、例外扱いにはできません。一方、組織のリスク対応に基づき管理策を決め、附属書Aと比較します。適用しない管理策があれば、その理由を適用宣言書に記録します。

経営者が自ら行う取組みの例には、組織全体の対応方針を定めること、対策を定期または必要時に見直すこと、新しい脅威の動向を集めることがあります。これらは経営者の関与を具体的な活動につなげる例です。ここで挙げた分類は、設問で参照された中小企業向けガイドライン第2.1版に基づきます。

自社の対策に加え、系列企業やサプライチェーンのビジネスパートナーの対策状況を把握する場合があります。例えば、委託先から対策状況の報告を受け、必要に応じて確認します。この点は設問が参照した「サイバーセキュリティ経営ガイドライン Ver 1.1」の記述に基づきます。