ISO27001を取得する上で、付属書Aへの対応はとても重要

ISO27001内には付属書Aというものがあります。

これはISMSを推進、取得する上で必要になってくる管理策が133個書かれています。

実際ISMSを取得しようとするとこれらについてきちんと検討し、適用するかどうかを判断していく必要があります。

認証を目指す上でこれらの133個を検討することはとても重要です。

理由としては現状の社内の管理状況とISMSの基準とのギャップをきちんと把握出来ますし、普段見えていないことが見えてくる絶好の機会になってくるからです。

また、コンサルタントの立場からするとお手伝いしている企業の現状を把握させてもらえる良い機会にもなってきます。

LRMではこの133個の管理策の検討にかなりの時間を割いてお手伝いします。

現状をきちんと把握出来なければ適切なセキュリティのための提案を行えないからです。

自社に合ったISMS運用を

逆に言えば、こういったところにあまり時間を割かないISMSのコンサルタントは規格に従い、経験上、それで認証取得を得ることが出来たので、自分の経験通りになっているかの確認を行うだけで、そのお手伝いしている企業よりも規格に向いているだけと言えます。

それでもISMSの認証取得は可能ですが、実際に会社に合っていてきちんと運用が出来るものかと言えば疑問点が残ってしまいます。

LRMのコンサルティングポリシーにも書かせてもらっていますが、ISMSそれ自体をツールとして活用してもらい、現場の業務を、会社の経営を改善していく事が一番の目的であると言えます。

やはり、取ることだけを目的にして取り組んでしまうと最終的には「ISMSは取得しているだけで、全く仕事の役にたっていない」と判断してしまい、投資ではなく単なるコストとして見てしまう企業もあるようです。

せっかく取り組まれるのであれば、認証取得というものをキッカケにしてもらい、社内をよりよくするための改善のツールとしてISMSを活用してもらえればと思います。