【ISO27001 2022 6.1】 ISMS　計画がわかる

ISMS 計画（情報セキュリティ計画）の重要なポイントをわかりやすく解説します。

ISMSには、似たような文書があります。
相互の関係性、整合性をおさえることが重要です。

活用方法が異なりますが、違うものとして扱うと、

と混乱します。

つまり、

そして、

となりますよね。

すると、

となりますよね。ここって、
あまり解説されていないので迷ってしまいます。

ここで、注意したいのは、

なので、

すると、先の疑問が湧きますので、
３つの関係性を解説します。

まず、

この共通点は当たり前ですね。

あえてそれぞれのテーマ、文書としてあるので、何がちがうのでしょうか？

それは

方針の例として、

がありますね。
確かに、【対外】、【対内】の両方があります。

一方、

内外の影響から自分たちにとってどんなリスクがあるかを洗い出す性質があるので、
【対内】のみとなります。

以上から、下の関係図でまとめることができます。

この図から、関係性がよくわかりますね。

具体的に、計画表を作ってみましょう。

「① 方針(ポリシー)とリスクアセスメントとの関係をおさえる」
で述べた通り、

これは確かにそうですが、

ISMSを取り掛かる人の中で、
QMS(品質マネジメントシステム)、ISO9001も
取り掛かる人もいるでしょう。

QCプラネッツもそうです。

同じ組織、会社でマネジメントシステムを回すならなおさらだと思います。

例を出します。

計画事例を挙げました。
次に活用のポイントを解説します。

まず、一番大事なことは

情報セキュリティ計画を管理する上で、
管理が目的化するのではなく、
あなたの組織に襲うリスクがないこと
である点を忘れずに運営しましょう。

QMS、ISO9001 品質目標と似ていますが、以下のポイントで運営します。

その他、【社外秘】（文書のセキュリティレベル）や
変更履歴
承認回付
もあります。

計画の事例を挙げました。
ISMSはルールが煩雑で
書類が多くなる傾向があり、
それぞれの要素感の整合性を合わせる必要がある
など、運営を難しくなる傾向が強いです。

だからこそ、ISMSの各要素の整合性を確実にし、
統合できるところは統合し、簡素化する工夫が重要です。

計画も簡素化し、計画から実行・評価につなげ、
ISMSリスクをあなたの組織から排除できることが一番大事です。

以上、「ISMS　計画がわかる」を解説しました。