ISMS認証取得は、規程を作るだけでは進みません。最初に整理すべきなのは、誰が判断し、どの情報を守り、どのリスクを受け入れるのかという運用の前提です。
体制と責任者を決める
まず、ISMSの責任者、実務担当者、承認者を決めます。兼任でも構いませんが、リスク受容や規程承認のような判断は責任者が行う必要があります。
情報資産を洗い出す
顧客情報、従業員情報、契約情報、ソースコード、SaaS上のデータなど、事業に重要な情報を洗い出します。情報資産の一覧があると、リスク評価やアクセス管理の検討が進めやすくなります。
リスクと対策をつなげる
情報資産ごとに、漏えい、改ざん、利用停止、委託先管理不備などのリスクを確認します。そのうえで、既存の対策と追加が必要な対策を整理します。
証跡を継続的に残す
ISMSは取得後の運用が重要です。教育記録、アクセス権限レビュー、委託先確認、内部監査、マネジメントレビューなどの証跡を、日常業務の中で残せる状態にしておきます。
SecureLensは、これらの情報を文書、台帳、タスク、証跡としてつなげ、認証取得準備から継続運用までを支援します。