A-02 ISMSマニュアル¶
ISMSマニュアル
| 文書番号 | A-02 |
|---|---|
| 版数 | 第1.1版 |
| 発行者 | 情報セキュリティ委員会 |
| 制定日 | 2023年12月18日 |
| 最終改訂日 | 2024年12月3日 |
| 承認 | 作成 |
|---|---|
| 沈 燁 | 情報セキュリティ委員会 |
| 改訂履歴 | |||||
|---|---|---|---|---|---|
| 改訂日 | 版数 | 内容 | 承認 | 作成 | |
| 2023年12月18日 | 1.0 | 新規制定 | 沈 燁 | 委員会 | |
| 2024年12月3日 | 1.1 | 4. 組織の状況 4.1、4.2 気候変動に対する対応を追記 4.3 オフィス移転に伴い所在地変更 |
沈 燁 | 委員会 | |
目次
4.1 組織及びその状況の理解 [1](#組織及びその状況の理解)
4.2 利害関係者のニーズ及び期待の理解 [1](#_Toc119309476)
4.3 情報セキュリティマネジメントシステムの適用範囲の決定 [1](#情報セキュリティマネジメントシステムの適用範囲の決定)
4.4 情報セキュリティマネジメントシステム [2](#情報セキュリティマネジメントシステム)
5.1 リーダーシップ及びコミットメント [2](#リーダーシップ及びコミットメント)
5.3 組織の役割、責任及び権限 [3](#組織の役割責任及び権限)
6.1 リスク及び機会に対処する活動 [4](#リスク及び機会に対処する活動)
6.1.2 情報セキュリティリスクアセスメント [4](#情報セキュリティリスクアセスメント)
6.1.3 情報セキュリティリスク対応 [6](#情報セキュリティリスク対応)
6.2 情報セキュリティ目的及びそれを達成するための計画策定 [7](#情報セキュリティ目的及びそれを達成するための計画策定)
7.5.3 文書化した情報の管理 [11](#文書化した情報の管理)
8.1 運用の計画策定及び管理 [12](#運用の計画策定及び管理)
8.2 情報セキュリティリスクアセスメント [12](#_Toc119309501)
8.3 情報セキュリティリスク対応 [13](#情報セキュリティリスク対応-1)
9.1 監視、測定、分析及び評価 [13](#監視測定分析及び評価)
9.2.2 内部監査プログラム [14](#内部監査プログラム)
9.3 マネジメントレビュー [17](#マネジメントレビュー)
9.3.2 マネジメントレビューへのインプット [17](#マネジメントレビューへのインプット)
9.3.3 マネジメントレビューの結果 [17](#マネジメントレビューの結果)
10.2 不適合及び是正処置 [18](#不適合及び是正処置)
1. 適用範囲¶
本マニュアルは、当組織の事業上のリスクから、当組織の情報を保護するため、JISQ27001：2025(ISO/IEC27001:2022+Amd 1:2024)の要求事項に従い、情報セキュリティマネジメントシステム（以下、『ISMS』という）を確立し、実施し、維持し、継続的に改善するための要求事項について規定するためのものである。
2. 引用規格¶
JIS Q 27000:2019(ISO/IEC27000：2018) 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語
JISQ27001：2025(ISO/IEC27001:2022+Amd 1:2024) 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項
JIS Q 31000:2019(ISO/IEC 31000：2018) リスクマネジメント－原則及び指針
3. 用語及び定義¶
このISMSマニュアルにおける用語の定義は、原則としてJIS Q 27000：2019で示された用語の定義に従う。ただし、当組織で固有に使用している用語は、以下に定義する。
| 使 用 用 語 | 定 義 |
| 当組織 | 株式会社PacPort |
トップマネジメント （経営陣） |
代表取締役 沈 燁 |
| リスク所有者 | トップマネジメント 及び「資産目録」で特定したリスク所有者 |
| 従業者 | 雇用関係にある従業者（正社員、契約社員、パート社員、アルバイト社員など）のみならず、取締役、監査役、派遣社員、受入出向社員も含まれる。 |
¶
4. 組織の状況¶
4.1 組織及びその状況の理解¶
外部及び内部の課題
当組織は、気候変動が関連する課題かどうかを決定する。
外部及び内部の課題
当組織のISMSに関連する利害関係者及び、それら利害関係者の関連する要求事項、それら要求事項のうちISMSを通して取り組むものを「外部及び内部の課題」に記述する。
注記：関連する利害関係者は、気候変動に関する要求事項を持つ可能性がある。
4.3 情報セキュリティマネジメントシステムの適用範囲の決定¶
当組織は、以下を考慮し、ISMSの適用範囲を以下の通り定める。
a）“4.1”に規定した外部及び内部の課題
b）“4.2”に規定した要求事項
c）当組織が実施する活動と他の組織が実施する活動との間のインタフェース
及び依存関係。
| カテゴリー | 対 象 |
|---|---|
| 事業 | IoTシステムに関わる企画、設計、開発、販売、導入、保守運用業務 |
| 組織 | 株式会社PacPort ※境界は「組織図」にて別途定義 |
| 所在地 | 〒100-0004 東京都千代田区大手町二丁目 2 番 1 号 新大手町ビル ※境界は「レイアウト図」にて別途定義 |
| 資産 | 重要資産及び個人情報とそれらが記録された媒体、情報施設・設備並びにそれらの維持に必要になるサービス。 ※「資産目録」にて別途定義 |
| 技術 | ネットワークの境界をルータとし、その内側を対象ネットワーク範囲とする。 ※境界は「ネットワーク図」にて別途定義 |
4.4 情報セキュリティマネジメントシステム¶
当組織は、必要なプロセス及びそれらの相互作用を含むISMSを確立し、実施し、 維持し、かつ継続的に改善する。
5. リーダーシップ¶
5.1 リーダーシップ及びコミットメント¶
トップマネジメントは、次に示す事項によって、ISMSに関するリーダーシップ及びコミットメントを実証する。
a）情報セキュリティ方針及び情報セキュリティ目的を確立し、それらが組織の戦略的な方向性と両立することを確実にする。
b）組織のプロセスへのISMS要求事項の統合を確実にする。
c）ISMSに必要な資源が利用可能であることを確実にする。
d）有効な情報セキュリティマネジメント及びISMS要求事項への適合の重要性を伝達する。
e）ISMSがその意図した成果を達成することを確実にする。
f）ISMSの有効性に寄与するよう人々を指揮し、支援する。
g）継続的改善を促進する。
h）その他の関連する管理層がその責任の領域においてリーダーシップを実証するよう、管理層の役割を支援する。
情報セキュリティ
方針
当組織は、次の事項を満たす「情報セキュリティ方針」を定める。
a）当組織の目的に対して適切である。
b）情報セキュリティ目的を含む、又は情報セキュリティ目的の設定のための枠組みを示す。
c）情報セキュリティに関連する適用される要求事項を満たすことへのコミットメントを含む。
d）ISMSの継続的改善へのコミットメントを含む。
また、「情報セキュリティ方針」は、次の事項を満たすようにする。
e）文書化した情報として利用可能である。
f）組織内に伝達する。
g）利害関係者が入手可能である。
5.3 組織の役割、責任及び権限¶
トップマネジメントは、情報セキュリティに関連する役割に対して、以下の責任及び権限を割り当てる。
また、トップマネジメントは、これらの役割、責任及び権限を組織内に伝達する。
情報セキュリティ
委員会組織図
|
|
| 情報セキュリティ委員長 | 情報セキュリティマネジメントシステムの実施、運用について統括する。 ISMSが、この規格の要求事項に適合することを確実にする。 ISMSのパフォーマンスをトップマネジメントに報告する。 |
| 部門管理者 | 情報セキュリティマネジメントシステムの部門代表者として、部門を管理する。 |
| 情報システム管理者 | 情報システム部門の管理者で、情報システム管理に関する規程・規則に従い、ISMSを維持するための安全管理対策を実施する |
| ISMS事務局 | 情報セキュリティ委員長を補佐し、マネジメントシステム活動の管理を行う。 |
| ISMS内部監査責任者 | ISMS内部監査責任者は、情報セキュリティマネジメントシステムとその実施状況に係わる監査を統括する責任と権限を有する。 |
情報セキュリティ委員会の責任及び権限は、以下の通りとする。
a）ISMSリスク対応計画の策定
b）ISMS実行体制の構築
c）選択された管理策の実施
d）教育・訓練
e）運用の管理
f）経営資源の管理
g）セキュリティ事件・事故の管理
h）関連当局、専門組織との連絡（警察・ISMS-AC・審査機関・コンサル会社・取引先・委託先等）
6. 計画策定¶
6.1 リスク及び機会に対処する活動¶
6.1.1 一般¶
計画の策定において、当組織は、“4.1”に規定する課題及び“4.2”に規定する要求事項を考慮し、次の事項のために対処する必要があるリスク及び機会を決定する。
外部及び内部の課題
a）ISMSが、その意図した成果を達成できることを確実にする
b）望ましくない影響を防止又は低減する
c）継続的改善を達成する。
当組織は、次の事項を計画する。
d）上記によって決定したリスク及び機会に対処する活動
e）次の事項を行う方法\ 1）その活動のISMSプロセスへの統合及び実施\ 2）その活動の有効性の評価
6.1.2 情報セキュリティリスクアセスメント¶
a）情報セキュリティのリスク基準
ISMS数値評価基準
2）情報セキュリティリスクアセスメントを実施するための基準\ ①当組織では、あらかじめ定めた間隔（年間計画表に基づく）で、又は重大な変化が生じた場合に、情報セキュリティリスクアセスメントを実施する。\ ②情報セキュリティリスクアセスメントの対象とする資産は「資産目録」の各情報資産の中から、機密性、完全性、可用性が1項目でも３となった資産を重要資産とする。\ ③また、情報セキュリティリスクアセスメントで実施する分析は、「ISMS数値評価基準」（影響の分析値、起こりやすさの分析値）に基づいて行う。
b）情報セキュリティリスクアセスメントは以下のプロセスで行う。
1）情報セキュリティリスクの特定\ ISMSの適用範囲における情報の機密性、完全性及び可用性の喪失に伴うリスクを特定する。 （リスクの一覧を作成)
2）情報セキュリティリスクの分析\ 情報に及ぼす影響、起こりやすさを分析(数値化)し、それぞれの分析値を乗じリスクの集計値（リスクレベル）を算出する。
3）情報セキュリティリスクの評価\ 分析値及びリスクレベルとリスク受容基準を比較しリスク対応が必要であるか否かを判断する。
4）リスク所有者の特定\ 各リスクに対するリスク所有者を「3. 用語及び定義」のリスク所有者、及び「資産目録」に記載のリスク所有者から特定する。
c）情報セキュリティリスクの特定(リスクの一覧の作成)
1）「リスクアセスメント報告書」に、「資産目録」で機密性、完全性、可用性それぞれの資産価値の高い重要資産を選択し、情報セキュリティリスクアセスメントを実施する。
2）その際、「資産目録」の各項目からグルーピングを行いまとめる。
3）次に、機密性、完全性、可用性の喪失に伴うリスク源、影響を受ける領域・事象・原因を特定する。
ISMS数値評価基準
資産目録
リスクアセスメント報告書
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
d）情報セキュリティリスクの分析\ 「リスクアセスメント報告書」を用いて、情報に及ぼす影響、起こりやすさを特定する。さらに、影響、起こりやすさ、それぞれの分析値を乗じ、リスクの集計値（リスクレベル)を算出する。
1）“情報に及ぼす影響”については、資産価値を考慮し影響を分析する。
2）「ISMS数値評価基準」（リスクの受容基準、影響の分析値、起こりやすさの分析値）を参照
e）情報セキュリティリスクの評価（一次評価）\ リスク集計値とリスク受容基準を比較し、リスク対応が必要であるか否かを判断する。また、リスク対応のために分析したリスクの優先順位付けを行う。
6.1.3 情報セキュリティリスク対応¶
a）当組織は、次の事項を行うために、以下の情報セキュリティリスク対応のプロセスを適用する。
1）リスク対応：リスクアセスメントで測定したリスクへのセキュリティ対策を検討し管理策を決定する
2）管理策を附属書Aに示す管理策と比較
3）適用宣言書：JISQ27001が要求する管理対策の適用状況を明確化した文書を作成
4）情報セキュリティリスク対応計画の策定
5）二次評価：リスク対応を実施した結果を基に、情報資産に対する再評価を実施
6）リスク所有者の承認
b）算出したリスクレベルがリスク受容基準以上の情報資産については、重大なセキュリティリスクがあると認識し、リスクを低減する・回避する若しくは移転するのいずれかを決定し、リスク受容基準以下の情報資産については、リスクを保有する。
c）リスク対応のための管理策の特定と二次評価
1）管理策の特定\ リスクを低減する・回避する若しくは移転すると定めた情報資産について、想定される管理策を策定する。\ 管理策を策定するにあたり、附属書Aから管理策を選択するとともに他の管理策も考慮する。
2）1）で決定した管理策を附属書Aに示す管理策と比較し、必要な管理策が見落とされていないことを検証する。
3）二次評価\ 重大なセキュリティリスクがあると認識された情報資産について、リスクを低減するために管理策を実施した結果、リスク移転、リスク回避を行った結果を二次評価として再評価を実施する。リスク保有は、二次評価を実施しない。\ 再評価の評価基準は、一次評価と同じ評価基準とする。
適用宣言書
リスク対応計画
6）リスク所有者の承認\ ①二次評価の結果を元に、最終的な情報セキュリティリスク対応の評価を実施する。\ ②情報セキュリティリスク対応計画及び残留している情報セキュリティリスクの受容について、リスク所有者の承認を得る。
6.2 情報セキュリティ目的及びそれを達成するための計画策定¶
有効性評価表
a）情報セキュリティ方針と整合
b）測定可能
c）適用される情報セキュリティ要求事項、並びにリスクアセスメント及びリスク対応の結果を考慮
d）これを監視する
e）これを伝達する
f）必要に応じて、更新する
g）文書化した情報として利用可能な状態にする
「有効性評価表」には、情報セキュリティ目的をどのように達成するかについて次の事項を記録する。
h）実施事項
i）必要な資源
j）責任者
k）達成期限
l）結果の評価方法
6.3 変更の計画策定¶
当組織は、ISMSの変更の必要があると決定したとき、その変更は計画的な方法で行う。
7. 支援¶
7.1 資源¶
当組織は、ISMSの確立、実施、維持及び継続的改善に必要な資源を決定し、提供しなければならない。
7.2 力量¶
a）情報セキュリティパフォーマンスに影響を与える情報セキュリティ委員会の役割には定められた条件（力量）を満たす者を任命する。\ 情報セキュリティ委員会の各役割に求める条件は、「力量確認票」に定める。\ 従業者に求める力量は、以下の通りとする。
1）情報セキュリティ方針及び社内の規程、基準などを把握していること
2）当組織ISMSの有効性に対しどのように貢献するかについて理解していること。
力量確認票
理解度確認テスト
2）従業者：理解度確認テスト
7.3 認識¶
a）当組織では従業者が次の事項に関して認識をもてるよう教育・訓練を実施する。
1）情報セキュリティ方針
2）情報セキュリティパフォーマンスの向上によって得られる便益を含む、ISMSの有効性に対する自らの貢献
3）ISMS要求事項に適合しないことの意味
b）教育計画は情報セキュリティ委員会が作成し、トップマネジメントが承認する。
教育計画書
教育報告書
1）導入教育及び新任情報セキュリティ委員\ ISMSの円滑な導入を目的として、情報セキュリティマネジメントシステム導入時及び、新任情報セキュリティ委員会メンバーに実施する
2）入社時・社内異動者の教育（適時）\ 新入社員、中間採用者に対して、入社時にセキュリティ教育を実施する
3）定期教育（「年間計画表」に基づく）\ 年に最低１回、適用範囲内の従業者に対して、ISMSの理解、再確認とISMSの改善、向上のための教育を実施する
4）再教育\ セキュリティ違反者及びISMSに関する低理解度の従業者に対して、再教育を実施し、違反の再発防止に努める
5）実施した教育の有効性評価\ 上記の教育実施後に理解度調査等を実施し、実施した教育の有効性の評価を行う
7.4 コミュニケーション¶
当組織のISMSに関連する内部及び外部のコミュニケーションを実施する内容、手順を以下に示す。
|
|
対象者 | 方法 | |
|---|---|---|---|---|
| 実施者 | 実施プロセス | |||
|
随時 | 利害関係者 | トップマネジメント（情報セキュリティ委員会） | 外部 ・当社HPに公表 内部 ・ISMS定期教育にて ・当社HPに公表 ・社内掲示 |
|
|
従業者 | 情報セキュリティ委員会 | 承認後、情報セキュリティ委員会より通達 |
|
|
お客様 | 情報セキュリティ委員会 | ・お客様より調査票等を入手した場合、主管部門にて回答を作成 ・情報セキュリティ委員長が確認の上、お客様に提出 |
|
|
情報セキュリティ委員会 | 発見者 | 「情報セキュリティ手順書5.26 インシデント対応フロー」の通り |
|
トップマネジメント | 情報セキュリティ委員会 | 同上 | |
|
関係当局 | 情報セキュリティ委員会 | 同上 | |
7.5 文書化した情報¶
7.5.1 一般¶
当組織のISMSには、次の事項を含める。
a）JISQ27001：2025(ISO/IEC27001:2022+Amd 1:2024)規格が要求する文書化した情報
b）以下について考慮の上、ISMSの有効性のために必要であると当組織が決定し文書化した情報
1）組織の規模、活動、プロセス、製品・サービスの種類
2）プロセス及びその相互作用の複雑さ
3）人々の力量
ISMS文書一覧表
c）4.3 ISMSの適用範囲
d）5.2 情報セキュリティ方針
e）6.1.2 リスクアセスメントプロセスに関わる文書化された情報
f）6.1.3 リスク対応プロセスに関わる文書化された情報
g）6.2 情報セキュリティ目的に関わる文書化された情報
h）7.2 力量の証拠
i）7.5.1 組織が決めた文書化された情報
j）8.1 プロセス実施に関わる文書化された情報
k）8.2 リスクアセスメントの結果
l）8.3 リスク対応の結果
m）9.1 監視・測定・分析及び評価の結果
n）9.2 監査プログラムの実施、結果に関わる文書化された情報
o）9.3 マネジメントレビューの結果
p）10.2 不適合の内容と処置、処置の結果
7.5.2 作成及び更新¶
情報セキュリティ委員会は、文書化した情報を作成及び更新する際、次の事項を確実にする。
a）識別及び記述
1）文書化した情報は、適切なタイトルを記載し容易に識別できるようにする。
2）文書化した情報の構成、採番方法は、下記の通りとする。
| 文書の種類 | 採番方法 |
|---|---|
| 「基本文書」 | A-□□（01から採番を始める） |
| 「記録」類 | B-△△-☆☆（☆☆は、枝番号） |
| 「外部文書」 | 採番せずに文書名、作成社名等の名称にて識別する |
・既にISMS以外の目的で使用している「記録」類の書式を利用する場合、 ・文書番号には、必要に応じて枝番号を付与することもできる。 |
|
3）文書化した情報は必要に応じて作成者、承認者、日付等を記載する。
b）形式
1）文書化した情報は適切な形式(文字、図表等)にて、読みやすく、簡潔に記載する。
2）文書化した情報の正式版は、電子媒体として管理する。
c）レビュー及び承認\ 文書化した情報は、「ISMS文書一覧表」において定める承認者が、適切性及び妥当性に関するレビュー、及び承認を行う。
7.5.3 文書化した情報の管理¶
a）文書化した情報は、適用範囲内の対象者が必要なときに、必要なところで利用可能にするため、情報セキュリティ委員長が、電子として共有フォルダに保管する。
b）上記a）における文書化した情報は、機密性の喪失、不適切な使用及び完全性の喪失から保護するため、アクセス権限の設定やPDFファイルとして保存する等の対策を講じる。
c）配付、アクセス、検索及び利用
1）ISMSマニュアル、情報セキュリティ手順書等を改定した場合は、情報セキュリティ委員長が共有フォルダに最新版を保存し、適用範囲の対象者に通知する。
2）コピー又は出力は、複製であることが判る識別を施した上で行わねばならない（使用後は、シュレッダーで廃棄する）。
3）フォルダ、ファイルに適切な階層を設け、またラベリングにより識別性を高める。
d）保存及び保管\ 保存及び保管期間は下記の通りとする。
1）「基本文書」：1世代前まで
2）「記録」類：法令に定めのある場合を除き原則3年間
e) 変更の管理（版管理）\ 版管理は以下に従う。
| 区分 | 該当例 | 版管理 | 版管理例 |
|---|---|---|---|
| メジャーな変更 | ・適用宣言書の管理策の適用を変更 ・情報セキュリティ手順書を大幅に改訂（運用への影響が大きい） |
第N版 又は、VerN.0 ※N：メジャー版数 |
・第1版、第2版… ・Ver1.0、Ver2.0… |
| マイナーな変更 | ・適用宣言書の適用（または除外）理由の変更 ・情報セキュリティ手順書の部分的な改訂（運用への影響が小さい） |
第N.R版 又は、VerN.R ※R：マイナー版数 |
・第1.1版、第1.2版… Ver1.1、Ver1.2… |
※文書名等と承認日により版管理が可能な場合は、この限りではない
f）保持及び廃棄
1）廃棄文書を何らかの目的で保持する場合には、適切な識別を施す。
2）情報セキュリティ委員長が、旧版文書を廃棄する。廃棄は、紙データはシュレッダー、電子データは削除にて行う。
g）外部文書
1）外部文書は「ISMS文書一覧表」に登録し管理する。
2）外部文書は、7.5.2.a）の採番方法に従って確実に識別できるようにする。
8. 運用¶
8.1 運用の計画策定及び管理¶
年間計画表
－ プロセスに関する基準の設定
－ その基準に従った，プロセスの管理の実施
また、“6.2”で決定した情報セキュリティ目的を達成するための計画を実施する。
計画の実施に関しては、「年間計画表」を作成する。
計画の実施に関しては、以下を考慮する。
- プロセスが計画通りに実施されたという確信をもつために必要とされる、文書化した情報を利用可能な状態にする。
b）計画した変更を管理し、意図しない変更によって生じた結果（有害な影響）をレビューし、必要に応じて、有害な影響を軽減する処置を講じる。
c）ISMSに関連する、外部から提供されるプロセス、製品又はサービスを明確にし、確実に管理しなければならない。
リスクアセスメント報告書
情報は、あらかじめ定めた間隔で、又は重大な変更が提案されたか若しくは重大な変化が生じた場合に、“6.1.2 a）1 ）” で確立した基準を考慮して、情報セキュリティリスクアセスメントを実施する。
情報セキュリティリスクアセスメント結果は、「リスクアセスメント報告書」に保持する。
【ISMSに影響を及ぼす重大な変化の例】
a）事業の追加／削除／変更、業務手順の大きな変更、住所変更
b）ISMSの主たる担当を変更した場合等
c）関係する法令又は規制の大きな変化
d）契約に関する大きな変更等
リスク対応計画
8.3 情報セキュリティリスク対応¶
“6.1.3 c）5）”で策定した情報セキュリティリスク対応計画に基づき実施する。情報セキュリティリスク対応結果は、「リスク対応計画」に記録する。
9. パフォーマンス評価¶
9.1 監視、測定、分析及び評価¶
情報セキュリティ委員会は、情報セキュリティパフォーマンス及びISMSの有効性を評価しなければならない。
監視及び測定の対象は、以下の通りとする。
有効性評価表
b）情報セキュリティプロセスのパフォーマンス\ 情報セキュリティプロセスの評価は、9.2 内部監査のテーマとし実施する。
c）管理策のパフォーマンス\ 管理策のパフォーマンス評価は、9.2 内部監査のテーマとし実施する。
また、妥当な結果を確実にするための評価は、妥当と考えられる、比較可能かつ再現可能な結果を生み出すことが可能な方法とする。
d）実施時期、実施者
| No | 対象 | 監視及び測定 | 分析及び評価 | ||
|---|---|---|---|---|---|
| 時期 | 実施者 | 時期 | 実施者 | ||
| 1 | ISMSの有効性 | 「有効性評価表」にて定義 | 「有効性評価表」に定義した責任者が指名 | 定期的に実施するマネジメントレビューに先立ち実施 | 情報セキュリティ委員会 |
| 2 | 情報セキュリティプロセスのパフォーマンス | 内部監査のテーマとし実施 | 内部監査責任者又は内部監査員 | 定期的に実施するマネジメントレビューに先立ち実施 | 情報セキュリティ委員会 |
| 3 | 管理策のパフォーマンス | 内部監査のテーマとし実施 | 内部監査責任者又は内部監査員 | 定期的に実施するマネジメントレビューに先立ち実施 | 情報セキュリティ委員会 |
年間計画表
e）評価結果の利用
1）ISMSの見直し\ 情報セキュリティ委員会は、評価結果を、ISMSの見直しのための資料とする。
2）マネジメントレビューのインプット\ 情報セキュリティ委員会は、監視及び測定結果、分析及び評価の測定結果を、トップマネジメント（経営陣）に提示し、トップマネジメント（経営陣）はISMSのあらゆる改善のための、判断資料とする。
f）監視、測定、分析及び評価方法の改善\ 監視、測定、分析及び評価方法は、定期的に実施されるマネジメントレビューからのアウトプットとしての改善指示以外に、情報セキュリティ委員会が起案し、トップマネジメント（経営陣）の承認を得る方法で、改善する。
9.2 内部監査¶
9.2.1 一般¶
当組織のISMSが次の状況にあるか否かに関する情報をトップマネジメントに提供するために内部監査を実施する。
a）次の事項に適合している。
1）ISMSに関して、当組織が規定した要求事項
2）JISQ27001：2025(ISO/IEC27001:2022+Amd 1:2024)規格の要求事項
b）有効に実施され、維持されている。
9.2.2 内部監査プログラム¶
内部監査計画書
その他の事項については以下に従う。
a）内部監査の頻度\ 当組織は、最低年一回（「年間計画表」に基づく）あらかじめ定めた頻度で、またISMSに影響を及ぼす重大な変化があった場合に、ISMSの内部監査を実施する。
b）方法\ 内部監査責任者は、内部監査の方法について検討し「内部監査計画書」に記載する。
c）責任\ 内部監査の統括責任は、内部監査責任者が負う。また個々の被監査対象に対する内部監査の実行責任は、担当する内部監査員が負う。
d）計画に関する要求事項及び報告\ 内部監査責任者は、内部監査のスケジュールや担当者及び報告手段等について「内部監査計画書」に記載する。
e）考慮事項\ 監査プログラムの作成においては以下について考慮する。
1）関連するプロセスの重要性
2）前回までの監査結果
f）内部監査手順
1）内部監査計画立案\ ①内部監査責任者は「内部監査計画書」により監査基準及び監査範囲（被監査部門）を明確にする。\ ②内部監査責任者は、内部監査員が自らの業務を監査しないように担当を割り当てる。\ ③内部監査責任者又は内部監査員は被監査部門と日程や対応者等を調整する。\ ④内部監査責任者又は内部監査員は、「内部監査計画書」にて、被監査部門に内部監査の実施を通知する。\ INPUT：\ ｱ）プロセスの状況及び重要性\ ｲ）前回までの監査結果\ OUTPUT：\ ｱ）内部監査計画書 －承認：トップマネジメント\ －保管（原本）：内部監査責任者
内部監査チェックリスト
是正処置実施記録
内部監査報告書
| 指摘事項のランク | 基準 |
|---|---|
| 重大な不適合 | 当組織の規程、規則等や規格要求事項、顧客要求事項等に違反しており、直ちに改善を実施しなければ、重大なリスクを引き起こす可能性のある不適合。 |
| 軽微な不適合 | 当組織の規程、規則等や規格要求事項、顧客要求事項等に違反しており、改善を実施しなければ、近い将来にリスクを引き起こす可能性のある不適合。 |
| 観察事項 | 改善されないまま放置した場合に、将来にわたって不適合となる可能性のあるもので、改善計画の立案、実施、報告は必要ないが、次回の監査までに対応を要するもの。 |
※重大な不適合・軽微な不適合に関しては、是正要求から14日以内に是正計画を作成し基本として30日以内に是正対応を実施するものとする。
※観察事項に関しては、次回の内部監査にて対応結果を確認するものとする。
なお、観察事項に関してもトップマネジメント又は内部監査責任者が必要とした場合は、「是正処置実施記録」に記入し改善を管理する。\ OUTPUT：\ ｱ）内部監査報告書 －承認：トップマネジメント\ －保管（原本）：内部監査責任者
i）フォローアップ\ 処置の内容について内部監査責任者がフォローを必要と判断した場合はフォローアップ監査を実施する。フォローアップ監査の計画手順は以下に従う。
1）内部監査責任者は、フォロー監査の要否を「是正処置実施記録」に記入する。
2）フォロー監査が必要な事案のうち、確認の緊急性が高いと判断したものについて、内部監査責任者が、「内部監査計画書」により、フォローアップ監査の計画を立案する。
3）確認の緊急性が低いと判断したものについて、次回の定期内部監査の計画に反映する。
j）内部監査員の選任\ 内部監査責任者は、内部監査の客観性及び公平性を確保する内部監査員を選任するため、7.2に従い、内部監査員の力量を評価する。
k）社内報告\ 内部監査の指摘事項及び処置・改善策は、適切な方法で社内共有する。
l）文書化した情報
内部監査責任者は内部監査の記録を、監査プログラムの実施及び監査結果の証拠として、文書化した情報を利用可能な状態にする。
9.3 マネジメントレビュー¶
9.3.1 一般¶
マネジメントレビュー報告書
9.3.2 マネジメントレビューへのインプット¶
マネジメントレビューは、次の事項を考慮しなければならない。
a）前回までのマネジメントレビューの結果講じた処置の状況
b）ISMSに関連する外部及び内部の課題の変化
c）ISMSに関連する利害関係者のニーズ及び期待の変化
d）次に示す傾向を含めた、情報セキュリティパフォーマンスに関するフィードバック
1）不適合及び是正処置
2）監視及び測定の結果
3）監査結果
4）情報セキュリティ目的の達成
e）利害関係者からのフィードバック
f）リスクアセスメントの結果及びリスク対応計画の状況
g）継続的改善の機会
9.3.3 マネジメントレビューの結果¶
マネジメントレビューの結果には、継続的改善の機会、及びISMSのあらゆる変更の必要性に関する決定を含めなければならない。
マネジメントレビューの結果の証拠として、文書化した情報を利用可能な状態にする。
10. 改善¶
10.1 継続的改善¶
当組織は、情報セキュリティ方針、情報セキュリティ目的、監査結果、監視した事象の分析、是正処置及びマネジメントレビューを通じて、ISMSの適切性、妥当性及び有効性を継続的に改善する。
なお、情報セキュリティ委員会は、ISMSの改善に際し、次の事項を実施する。
a）必要と判断され識別（抽出）されたISMSの改善策を実施
b）適切な是正処置を実施する。その際には、当組織及び他の組織の情報セキュリティに関する経験から学んだ教訓を活用する。
c）利害関係者全てに対し、状況に応じた詳細さで講じた処置及び改善を伝達し、該当する場合は、今後の進め方について合意を得る。
d）改善が、その意図した目的を確実に達成するようにする。
10.2 不適合及び是正処置¶
a）是正処置\ 不適合が発生した場合、以下の手順に従って是正処置を講じる。
是正処置実施記録
2）不適合の処置\ その不適合に対処し、該当する場合には、必ず、次の事項を行う。\ ①その不適合を管理し、修正するための処置を講じる\ ②その不適合によって起こった結果に対処する
3）不適合のレビュー及び原因の特定\ 当該部門は、速やかに調査・検討を行い不適合の原因を明確にし、「是正処置実施記録」に記録する。また、類似の不適合の有無、又はそれが発生する可能性も明確にし「是正処置実施記録」に記録する。その結果に基づいた「是正処置対策(是正処置実施記録)」を策定する。
4）再発防止に対する処置の評価・決定\ 部門の責任者はその重要性・影響度等を考慮し、策定された「是正処置対策(是正処置実施記録)」の必要性・適切性を判断し、評価・決定する。その決定結果は情報セキュリティ委員会に報告しなければならない。
5）処置の実施・記録\ 決定された是正処置については、「是正処置対策(是正処置実施記録)」に従い、計画的かつ効率的に実施する。また処置状況・結果を「是正処置実施記録」に記録し管理する。
6）処置結果の報告・レビュー\ 処置の進捗状況及び実施結果については、定期的に情報セキュリティ委員会に報告する。情報セキュリティ委員会は報告に基づき、類似の不適合再発防止の観点も含めたレビューを実施する。必要な場合には、ISMSの変更を行う。
附 則¶
本マニュアルは 2023年12月18日より施行する。