貴社のISMSは「認証維持」で止まっていませんか？
ISO27001認証取得企業向け 第三者視点によるISMS成熟度診断サービス
認証は維持できている. しかし、本当に機能していますか？
□ 毎年同じ内部監査を繰り返している
□ リスクアセスメントが形式的になっている
□ 担当者しかISMSを理解していない
□ AI利用ルールが整備されていない
□ クラウド利用管理に不安がある
□ 供給者管理が契約書だけになっている
□ アクセス権棚卸しが形骸化している
□ 審査は通るが改善につながっていない
一つでも当てはまる場合、ISMSの成熟度向上余地があるかもしれません。
なぜ成熟度診断が必要なのか
認証取得と成熟度は別の話です
私はISO27001主任審査員として多くの企業の審査を担当してきました。その中で感じることがあります。
認証を維持している企業でも、ISMSの成熟度には大きな差があります。
同じ認証企業でも、
- 形式的に運用している企業
- リスク管理に活用している企業
- 経営改善に活用している企業
では大きな違いがあります。認証の有無ではなく、どのレベルまで組織に定着しているか。
それが重要です。
ISMS成熟度モデル/審査経験からのアリビオ独自のレベル付け
レベル1 認証維持型
特徴
- 審査前に記録を準備する
- 担当者依存
- 指摘対応中心
レベル2 運用管理型
特徴
- 定期運用はできている
- 内部監査も実施
- ただし改善活動は限定的
レベル3 リスク管理型
特徴
- リスクベースで運用
- 供給者管理
- クラウド管理
- アクセス権管理
が機能している
レベル4 継続改善型
特徴
- インシデント分析
- KPI活用
- 改善活動
が定着している
レベル5 経営統合型
特徴
- ISMSが経営判断に活用されている
- 経営リスク管理と連携
- 事業戦略と整合
審査員が特に確認するポイント
審査員は現在に至るまでの道のりで観点に相違があります。例えば大手ベンダーで開発畑一筋で審査員になった観点と、色々な職種経験し現在も審査をやりながら企業の支援を行っている観点では自ずと違いがでてきます。弊社は後者にあたり独自の観点で審査をしています。当然組織の状態でも審査の観点は変わってきます。
組織的管理策の一例
- 脅威インテリジェンス
- 情報共有
- 供給者管理
- クラウドサービス利用管理
- AI利用ルール
人的管理策の一例
- セキュリティ教育
- リモートワーク管理
- 退職時管理
技術的管理策の一例
- アクセス権管理
- 特権ID管理
- パッチ管理
- ファームウェア管理
- ログ管理
- ネットワーク管理
開発管理に関しての一例
- 開発環境分離
- コードレビュー
- セキュアコーディング
このような企業様におすすめです
- 認証取得から3年以上経過している
- 担当者変更が発生した
- 更新審査を何度も受けている
- 運用が形骸化している気がする
- AI利用やクラウド管理に不安がある
- 情シス担当者が少ない
診断内容
事前ヒアリング
現在のISMS運用状況確認
文書レビュー
規程類／リスクアセスメント／適用宣言書／内部監査／マネジメントレビュー
インタビュー
管理責任者／担当者／必要に応じて経営層
診断レポート提出
成熟度レベル評価
改善優先順位
改善提案
診断結果イメージ
※上記はイメージとなります。内容やデザインは変更することがあります。
私の強み（弊社の強み）
コンサルタントではなく審査員だから見えることがあります
数多くの企業の審査を通じて、
- 成熟している企業
- 形骸化している企業
- 継続改善できている企業
このような組織を見てきました。規格解説ではなく、実際の運用を踏まえた診断を行います。
よくあるご質問
現在の認証機関は関係ありますか？
＞＞どの認証機関でも対応可能です。
診断後にコンサル契約は必要ですか？
＞＞必要ありません。診断のみでもご利用いただけます。
オンラインでも可能ですか？
＞＞可能です。オンラインの方が価格を抑えられます。
お問い合わせ
まずは無料相談をご利用ください
現在の運用状況をお聞かせください。ISMSの成熟度向上に向けた方向性をご提案いたします。
＞＞以下お問合せフォームより
”ISMS成熟度診断無料相談希望”と題名に入力いただき、お申込みください。
