認証審査 †
初回認証審査 †
第1段階（文章審査） †
第2段階（運用審査） †
認証取得後 †
1年毎：サーベイランス審査（維持審査） †
- 内部監査とマネジメントレビューの実施は必須
- 前回の審査の「改善の余地」への対応
- 前回の審査で不適合にならなかったものの、「改善の余地」として指摘された事項についても対応しておく
- もし対応ができなかったとしても、なぜできなかったのか、今後どうする計画なのかくらいは回答できるようにしておく
- リスクアセスメントの見直し
- 新たなリスクや脅威がリスクアセスメントシートに追加されているか？
- リスクは適切に評価されているか？
- リスクへの対応がされているか？
- 1) 内部監査及びマネジメントレビューの実施状況
- 2) 前回審査で特定した不適合についてとられた処置の確認
- 3) 苦情処理
- 4) マネジメントシステムが企業の目的達成のために機能しているか
- 5) 継続的に改善していく上で、PDCAサイクルが回せているか
- 6) 継続して実施している業務の運用
- 7) マネジメントシステムの変更点の確認
- 8) ISO認証の使用方法の確認
3年毎：更新審査（再認証審査） †
ISMSのPDCAサイクル †
A.8 資産の管理 †
A.9 アクセス制御 †
ISMS/ISO27001 認証取得コンサルティング †
情報セキュリティ管理規定 †
A.9 アクセス制御 †
A.9.4.3 パスワード管理システム †
- 「対話式でなければならず」とは？
- システムで有効期限を過ぎたらパスワード変更をしないとログオン出来ないなどの制限を行うことなどを指すらしい
A.11 物理的及び環境的セキュリティ †
A.12 運用のセキュリティ †
A.12.1.1 操作手順書 †
A.12.1.2 変更管理 †
A.12.3.1 バックアップ †
A.12.4.1 イベントログ取得 †
- 「イベントログ」はWindowsのイベントログのことを指しているわけではない
- 認可されていないアクセスや情報漏洩の兆候を検出したり、インシデントの発生原因を調査したりするために、利用者の活動、例外処理、過失および情報セキュリティ事象を記録したイベントログを取得し、定期的にレビューすることを要求している
A.18 遵守 †
A.18.1.5 暗号化機能に対する規制 †
情報セキュリティの目的 †
- 情報セキュリティマネジメントシステムを確立し、実行、維持、改善に努める
情報セキュリティ計画 †
リスクアセスメント †
- どのようなリスクが存在し（リスク特定）、それがどの程度発生しやすいのか、発生したときにどの程度の影響があるのかを明らかにし（リスク分析）、予め定められているリスク受容基準と比較してリスク評価するまでのプロセスのこと
リスク対応計画 †
情報セキュリティ対応計画 †
- いつまでにやるか
- 誰がやるか
- 資源は何が必要か（費用も含め）
- 何をもって計画完了と評価するか
- 誰が完了と判断するか
- 計画実施により他の管理策に影響は無いか
内部監査 †
適用宣言書 †
文書管理 †
- 文書番号はあってもなくても良い
- 2020年現在、ISO9001の規格要求事項には「文書番号を付与しなければならない」という要求はなく、「文書を識別しなければならない」という要求があるだけです。
- 「文書を識別する」とは、その文書が何の文書であるか、最新の文書であるか（古い版ではないか）、判別できるようにしときなさい。ということです。
スタートアップでの事例 †
関連ツール †
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
