J セキュリティ基礎
ISMSと監視｜記録が証拠になる場面
ISMSの認証を取得する、維持する。監視の記録は、その説明材料として使えます。何が求められ、記録がどう役立つかを整理します。
ISMSで求められること
| 要求 | 内容 |
|---|---|
| リスクの特定 | 情報資産と脅威の洗い出し |
| 対策の実施 | 選んだ管理策の運用 |
| 記録の保管 | 運用した証拠の保存 |
| 見直し | 定期的な評価と改善 |
「やった」ことを示す証拠が求められます。監視の記録は、その一部になります。
記録が証拠になる場面
端末の利用状況の把握、情報の持ち出しの監視、ログの取得と保存。これらは、管理策として位置づけられます。記録の保存期間、閲覧権限、見直しの頻度を文書化しておくと、審査での説明がしやすくなります。
運用が形骸化しないために
認証の維持では、文書と実態の一致が問われます。監視を導入したものの確認が行われていない状態は、管理策が機能していないと判断されます。月次レビューと、確認の記録を残すことが、実態の証拠になります。
運用の設計は月次 レビュー 監視をご覧ください。
監査への備え
監査では、記録の有無だけでなく、記録に基づいて何を判断したかを聞かれます。確認の結果、見つかった事象、取った対応。この流れを説明できるようにしておきます。記録を取るだけの運用は、審査で弱点になります。
よくある質問
Q. 監視ソフトを入れればISMSに有利ですか。
A. 導入そのものではなく、運用と記録が評価されます。確認と見直しが行われていることが重要です。
Q. 記録の保存期間はどう決めますか。
A. 規格上の要求と、自社のリスク評価によります。監視の記録は、他の証拠書類と同じ考え方で期間を決めます。
確認チェックリスト
- 監視を、管理策として文書に位置づけている
- 記録の保存期間と閲覧権限を、規程に書いている
- 月次レビューの実施を、記録に残している
- 見つかった事象への対応を、記録している
- 監査で説明できるよう、判断の根拠を残している
- 規程と実態のずれを、年1回確認している
まとめ
ISMSでは、対策を実施した証拠が求められます。監視の記録は、保存期間・閲覧権限・見直しの頻度を文書化し、月次レビューと組み合わせることで証拠になります。規程は作って終わりではありません。運用の中で見直し、実態に合わせて更新することが、認証の維持につながります。記録の様式は、監査での指摘を踏まえて整えてください。様式が実態と合っていないと、運用そのものが負担になります。
iMonitor でできること
本記事の内容を踏まえて、機能と導入条件を確認したい方は次のページをご覧ください。