- Hauptnavigation
- サービス
- 証明書 + ID（識別番号）
ISO 27001 (ISMS‐情報セキュリティマネジメントシステム)
テュフ ラインランド ジャパンは、ISMS審査登録機関です。
ISMS適合性評価について、第三者認証機関として審査と認証を行っています。
ISO/IEC 27001:2005(JIS Q 27001:2006) とその目的
ISO/IEC 27001:2005(JIS Q 27001:2006) は、情報資産と事業継続保護マネジメントのための国際規格です。「情報セキュリティマネジメントシステム」（ISMS）の要求事項を定義しています。効果的に実施されたISMSは事業活動の妨害を妨げ、重要な事業プロセスを情報システムの重大な不具合、災害の影響から保護して、平常運用へ早急に再開させることに役立ちます。
ISO/IEC 27001:2005(JIS Q 27001:2006) は、すべての業界と事業に適用され、電子媒体で取り扱われる情報だけに限られません。情報は印刷された、または手書きのハードコピー、電子的に保存されたもの、郵便または電子メールによって発信されたもの、または口頭による会話であるかもしれません。ISO/IEC 27001:2005(JIS Q 27001:2006) は、組織の情報資産が常に適切に保護され、必要なときに利用可能であるようにすることに役立ちます。ISMSは組織がネットワークなしの一つのコンピューターを持っていようと複雑な異種ネットワークを持っていようとすべての組織に適用させることができます。
ISO/IEC 27001:2005(JIS Q 27001:2006) の仕組み
ISO/IEC 27001:2005(JIS Q 27001:2006) は、情報セキュリティに対して全体論的アプローチをしています。情報セキュリティとは組織が有効に機能するためにすべての重要な情報の機密性、完全性、可用性を保護することです。
規格はプロセスアプローチを基にしてPDCAモデルを採用しています。それはすべてのISMSプロセスを構築するために適用されます。
ISMSのインプットは情報セキュリティ要求事項と利害関係者の期待から構成されます。必要な処理とプロセスを経た後、情報セキュリティのアウトプットが生じますが、それは先ほどの要求事項と期待を満たすものです。
規格はISO9001:2000、ISO14001:2004などの関連したマネジメントシステムとの一貫した統合実施と運用を支持します。このように、適切に構築されたシステムはこれらのすべての規格の要求事項を満たすことができます。
規格は次の管理領域を網羅します。
ISO/IEC 27001:2005の実施方法
有効なリスク評価と管理がISO/IEC 27001の鍵となる要求事項です。それらによって組織は管理目的を特定し、最も適切な管理策を選択できるようになります。したがって、規格の実施はリスクマネジメントの体系的アプローチと実施を定義することから始まります。
リスクマネジメントアプローチの定義は経済的な要素を踏まえながら、すべての利害関係者の考慮と必要なセキュリティレベルを決定してリスク評価を行った後に行います。
管理目的と管理策はリスク評価とリスク対応プロセスによってとく適された要求事項を満たすためにISO/IEC 27001:2005の付属書から選択し、実施してもかまいません。もしも既存のセキュリティシステムが十分であれば、付属書に記載されている管理策は無視してもかまいません。さらなる追加管理対策も導入することもよいでしょう。
体系的リスクマネジメントアプローチの実施後、組織は組織自体の要求事項と規格の要求事項に基づいてシステムを維持します。
認証サイクルと各監査の着眼点
初回認証監査には、第一段階と第二段階があります。2年目、3年目にフォローアップ監査を行い、4年目に更新監査を行います。
□ 予備監査（オプション）
オプションとして、第一段階監査前に予備監査を行い、
認証監査の準備を行うこともできます。
■ 初回認証監査 第一段階 での着目点
・ リスクアセスメントの方法が妥当であるか
・ マネジメントシステムの構築（文書）が行われているか
■ 初回認証監査 第二段階 での着目点
・ マネジメントシステムを理解し、適切に運用しているか
・ 詳細管理策の実施状況はどうか
■ フォローアップ監査
・ 継続的改善を果たす仕組みが運用されているか
（システムの監視⇒リスクアセスメントの見直し、管理策の最適化）
テュフ ラインランド ジャパンによる監査の特徴
付加価値の高い監査－意味のある監査を目指して
次の点に着目し、組織の継続的な改善をサポートする監査をします。
- 単なる形としてではなく、組織のリスクマネジメントをしてのツールとしてシステム構築を促す
- 単に要求事項準拠、詳細管理策の実施だけでなく、コスト意識を持ったシステムを考慮する
- 監査員個人の固定観念を抑え、組織それぞれの事情（大組織、中小組織の違いも含めて）に合わせた柔軟なシステム作りを認識して監査する
- 簡素化されたシステム構築の推奨
- 重要度・優先順位を考慮した監査・不適合報告の実施
- 年4回の監査員研修により、監査の均一性を保つ
- QMS、EMS、その他のマネジメントシステムとの複合監査も実施
- 世界300拠点を越えるネットワークで、グローバルな展開が可能
