情報セキュリティ方針は、ISMSの文書の中でいちばん短く、いちばん多くの人に読まれる文書です。 方針が何を求められているかは、第6回で読みました。中身の4条件と、扱いの3条件です。今回は実務編として、それを実際の1枚に落とすときの考え方を整理しま...

ISMSの構築で最初に作る文書は2つあります。どこまでを対象にするかを書いた範囲の文書と、誰が何を受け持つかを書いた表です。 第5回と第6回では、4.3と5.3が何を求めているかを読みました。今回は実務編として、それを実際の文書に落とすときの考え方を...

連載「ISMS審査員・監査への道」の第28回です。前回で、附属書Aの93の管理策を一巡しました。今回から第4期に入ります。 第2期と第3期では、規格が何を求めているかを読んできました。第4期は、それをどう作るかの話です。入口の今回は、ISMSを作り始めて...

連載「ISMS審査員・監査への道」の第27回です。前回に続いて、技術的管理策（A.8）を読みます。 経済産業省の情報セキュリティ管理基準は、A.8の管理策を8a〜8dの4つに区切っています。今回はその最後、「8d 情報システム開発／導入の管理」にあたるA.8.25...

連載「ISMS審査員・監査への道」の第26回です。前回に続いて、技術的管理策（A.8）を読みます。 経済産業省の情報セキュリティ管理基準は、A.8の管理策を8a〜8dの4つに区切っています。ISOの附属書Aそのものの区切りではなく、管理基準の整理です。今回は...

連載「ISMS審査員・監査への道」の第25回です。前回に続いて、技術的管理策（A.8）を読みます。 経済産業省の情報セキュリティ管理基準は、A.8の管理策を8a〜8dの4つに区切っています。ISOの附属書Aそのものの区切りではなく、管理基準の整理です。前回と...

連載「ISMS審査員・監査への道」の第24回です。前回から、技術的管理策（A.8）を読んでいます。 経済産業省の情報セキュリティ管理基準は、A.8を4つに区切っています。今回は2つ目の区切り「情報資産運用に関する管理」です。ただ、ここには13個の管理策が...

連載「ISMS審査員・監査への道」の番外編です。第7回では、6.1.2のリスクアセスメントを扱いました。規格が求めているのは、シートの様式ではなく手順と物差しだ、という話でした。 あの回で、私は「サンプルを探して来た方には肩透かしかもしれません」と...

連載「ISMS審査員・監査への道」の第23回です。前回で、物理的管理策（A.7）を読み終えました。 今回から、4つ目のテーマ、技術的管理策（A.8）に入ります。34個と、4テーマの中で2番目に大きな山です。経済産業省の情報セキュリティ管理基準は、これを4つ...

連載「ISMS審査員・監査への道」の第22回です。前回は、物理的管理策（A.7）の前半7個を読みました。場所を決め、入口と中を守る管理策でした。 今回は後半の7個です。経済産業省の情報セキュリティ管理基準が「装置の管理」とまとめている部分にあたりま...