ISO 27001 & BS 25999

あなたがISO 27001の導入を始めた方は、おそらく導入を簡単にする方法を探しているでしょう。 がっかりさせるて申し訳ありませんが、簡単な方法はありません。 でも、作業を簡単にするお手伝いをさせてください。以下は、ISO 27001認証を取得したいときに、通過しなければならない16の手順の一覧です。

1. 経営陣の支援を得る

これは当たり前に思えるので、通常あまり真剣には受け取られません。 けれども私の経験では、経営陣がプロジェクトに十分な人材や資金を提供しないことこそが、ISO 27001プロジェクトが失敗する一番の原因なのです。（このような事態を経営陣に示す方法については「ISO 27001導入の主な4つの利点」を参照してください。）

2. プロジェクトとして扱う

ISO 27001導入は、すでに述べたように、さまざまな活動やたくさんの人々が関わり、数カ月（もしくは1年以上）の年月を費やす複雑な問題です。なすべき事・なすべき人・時間枠を明確に定義（つまりプロジェクト管理を適用）しなければ、仕事は永遠に終わりません。

3. 適用範囲を定義する

大規模な組織の場合には、おそらく、組織の一部でだけISO 27001を導入することにより、プロジェクト・リスクを低下させるのが賢明でしょう。（ISO 27001で適用範囲を定義する際の問題）

4. ISMSの基本方針を書く

ISMSの基本方針は、ISMSの中でも最も上位にある文書です。基本方針は細かすぎてはいけませんが、組織の情報セキュリティにおける基本的な問題の一部を定義する必要があります。そういう大雑把な方針の目的はなんでしょうか。それは、経営陣が実現したい事やそれを管理する方法を定義することです。 （情報セキュリティ基本方針-どの程度詳しくするべきか）

5. リスクアセスメントの方法論を定義する

リスクアセスメントは、ISO 27001プロジェクトの中でも最も複雑な仕事です。そのポイントは、資産・ぜい弱性・脅威・影響・確率を特定するためのルールを定義すること、および、許容できるリスクのレベルを定義することです。このルールをはっきり定義しておかないと、せっかく出た結果が使えない、というような状況に陥る可能性があります。（「中小企業におけるリスクアセスメントの要領」を参照）

6. リスクアセスメントやリスク対応を実施する

ここでは、前の段階で定義したものを実施する必要があります。大規模な組織ではこれに数ヶ月単位の時間がかかる可能性があるので、慎重に協力して努力する必要があります。 ポイントは、組織の情報に関する危険の全体像を得ることです。

リスク対応プロセスの目的は、許容できないリスクを減らすことです。これは通常、附属書Aの管理策の利用を計画することにより実現されます。

この手順では、リスクアセスメントおよびリスク対応プロセスの際に行われたあらゆる手順を記述した、リスクアセスメント報告を書く必要があります。 また、適用宣言書の一部または別個の文書として、残留リスクの承認を得る必要があります。

7. 適用宣言書を書く

リスク対応プロセスが済めば、附属書のどの管理策が必要なのかを正確に理解できているはずです（管理策は133個ありますが、おそらくこのすべてが必要ということはないでしょう）。この文書（しばしばSoAと呼ばれる）の目的は、全管理策を列挙して、該当するものとしないもの、その決断の理由、その管理策で実現したい目標、その管理策の実施方法の記述などを定義することです。

また、適用宣言書は、経営陣からISMS導入の承認を得る際に最も適した文書です。

8. リスク対応計画を書く

リスク関連文書はすべて済んだと思ったら、まだありました。リスク対応計画の目的は、SoAの管理策を導入する方法、担当する人、導入する時期、その予算などを厳密に定義することです。 この文書は実際の管理策を意識した導入計画なので、これなしでは、それ以上プロジェクトを先に進めることはできないでしょう。

9. 管理策の有効性を測定する方法を定義する

これも過小評価されがちな作業です。 ここでのポイントは、実行結果を測定できなければ、目標が達成されたかどうかを保証できない、ということです。したがって、ISMS全体および適用宣言書の該当する各管理策の両方に対して設定した目標の、達成を測定する方法を定義するようにしてください。

10. 管理策および必須の手順を実施する

これは「言うは易し行うは難し」です。ここでは、必須とされる4手順、および、附属書Aの該当する管理策を実施する必要があります。

これは通常、プロジェクトの中でも最も危険な仕事になります。なぜなら、これは通常、新しい技術の適用、とりわけ、組織への新しい活動の導入を意味するからです。 多くの場合、新しい方針や手順が必要（つまり変化が必要）であり、人間は変化に抵抗するのが普通です。これこそが、リスクを回避するために次の作業（訓練・意識向上）が重要な理由です。

11. 訓練および意識向上プログラムの実施

職員に新しい方針や手順を導入させたいときには、まずその必要性を説明し、それを期待通り実行できるように職員を訓練する必要があります。このような活動の欠如は、ISO 27001プロジェクト失敗の2番目に多い理由です。

12. ISMSを運営する

ここで、ISO 27001は組織の日常業務になります。 ここでのキーワードは「記録」です。 審査員は記録が大好きです。記録なければ、特定の活動が実際に行われたことを立証するのは極めて難しいという事に気づくでしょう。 でも、記録はまず自分自身の役にも立つはずです。記録を使えば、実際に起きている事を監視することができます。あなたは、従業員（および供給者）が作業を要求どおり実行しているかどうかを、確実に知ることができるでしょう。

13. ISMSを監視する

ISMSでは何が起きているでしょうか。 インシデントの発生回数や種類は。あらゆる手順が適切に実行されているでしょうか。

ここが、管理策と測定方法論の目標が一致するところであり、出た結果が設定した目標を達成しているかどうかを検査する必要があります。 達成できていなければ、何かが間違っているはずなので、是正処置や予防処置を実行する必要があります。

14. 内部監査

人間は、自分のしていることが間違っていることに気づかない（また気づいていても、他人には知られたくない）ことが珍しくありません。 けれども、既存の問題や潜在的な問題に気づかないと、組織に害を与える可能性があります。そのような事態を発見するには、内部監査を実施する必要があります。ここでのポイントは、懲戒処分ではなく、是正処置や予防処置をとることです。( 「ISO 27001およびBS 25999-2内部監査員のジレンマ」を参照）

15. マネジメントレビュー

経営陣は、ファイアウォールを直接設定する必要はありませんが、ISMSで起こっている事、つまり、全員が任務を遂行しているか、あるいは、ISMSが望ましい結果を実現しているかを知る必要があります。 経営陣はそれに基づいて、重要な意思決定を行う必要があります。

16. 是正処置および予防処置

マネジメントシステムの目的は、間違った事（いわゆる「不適合」）のすべての是正・予防を保証することです。したがって、ISO 27001では是正処置・予防処置を体系的に実施することを求めています。つまり、不適合の根本原因を特定して、解決・検証する必要があるということです。

この記事により、やるべきことがはっきりすれば幸いです。ISO 27001は簡単な作業ではありませんが、必ずしも複雑ではありません。 必要なのは、各手順を慎重に計画することだけです。そうすれば認証を取得できるのでご安心ください。

をクリックすれば、以上の全手順を示したISO 27001導入プロセスの図を、必要な文書と共にダウンロードすることができます。

私は、多くの中小企業（従業員50人以下）が、ISO 27001導入プロジェクトの一環として、リスクアセスメント・ツールを利用しようとするところを見てきました。リスクアセスメント・ツールの利用は、一般に時間と金がかかり過ぎ、そのわりに効果がないというのが結論です。

そもそも、リスクアセスメントとは何であり、その目的は何なのでしょうか。リスクアセスメントとは、組織における情報セキュリティ・リスクの発生率や影響を特定するプロセスのことです。簡単に言えば、組織は情報に関するあらゆる潜在的な問題や、その発生率や、その影響を認識する必要があります。リスクアセスメントの目的は、リスクを減らすために必要な管理策を発見することです。管理策の選択はリスク対応プロセスと呼ばれています。ISO 27001では、付属書Aで指定された133の管理策から選択されます。

リスクアセスメントは、資産・ぜい弱性・脅威の特定と評価によって実現されます。 資産とは、ハードウェア、ソフトウェア、人材、インフラストラクチャ、（さまざまな形式や媒体の）データ、供給者、パートナーなど、組織にとって価値あるもののすべてです。 ぜい弱性とは、脅威によって利用される可能性のある資産・プロセス・管理策などの弱点のことです。脅威とは、システムや組織に損害を与える可能性のある要因のすべてです。ぜい弱性の例としては、アンチ・ウィルス・ソフトウェアの欠如があります。これに対応する脅威は、コンピュータ・ウィルスです。

これらを前提に考えると、組織が小さい場合には、実際にはリスクアセスメントを行うために高度なツールは必要ないことがわかります。必要なのは、Excelスプレッドシート、ぜい弱性・脅威のカタログ、および優れたリスクアセスメントの方法論だけです。 実際の主な仕事は、確率・影響を評価することであり、これはいかなるツールでも行えません。資産についての知識を持つ資産の所有者が考えなければならないことです。

では、そのカタログや方法論はどこから得られるのでしょうか。 コンサルタントのサービスを利用している場合には、コンサルタントが提供してくれるはずです。それ以外の場合にも、インターネット上で入手できる無料のカタログがあるので、Googleで検索するだけで済みます。方法論は無料では手に入りませんが、（リスクアセスメントおよび対応を詳しく記述した）ISO 27005規格や、方法論を販売している他のウェブサイトを利用することができます。これにかかる時間やお金は、リスクアセスメント・ツールを購入したり、その使い方を勉強したりするより、はるかに少なくてすみます。

優れた方法論には、資産・脅威・ぜい弱性を特定する方法、確率や影響を記録する表、リスクを計算したり受容できるリスクのレベルを定義したりする方法が含まれています。 カタログには、最低でも30個のぜい弱性と30個の脅威が含まれている必要があります。このそれぞれが数百個も含まれているカタログもありますが、中小企業にとってはおそらく多すぎるでしょう。

実際のプロセスはそれほど複雑ではありません。評価および対応の基本手順は、以下の通りです。

1. 方法論（カタログを含む）を定義・文書化して、組織内の全資産所有者に配布する
2. 資産所有者との面談の機会を設定し、その中で資産および関連するぜい弱性や脅威を特定してもらう。次の段階として、特定のリスクが発生した場合の、確率および影響の評価を依頼する
3. データを単一のスプレッドシートにまとめて、リスクを計算し、どのリスクが許容できないかを示す
4. 許容できないリスクごとに、ISO 27001の附属書Aから1つ以上の管理策を選択して、その管理策を導入した後の新しいリスクレベルを計算する

結論：リスクアセスメントおよび対応は、情報セキュリティ/ISO 27001の基盤ですが、必ずしも複雑ではありません。これらは簡単な方法で実行でき、実際に重要なのはあなたの常識です。

—

また、弊社のビデオ・チュートリアルHow to Implement Risk Treatment According to ISO 27001（市販ビデオ）もご利用ください。