認証の意思決定
今回はマネジメントシステム構築について書きます。
まずは、現状の把握です。
私の場合、アプローチ方法は大きく2つ。
一つ目は、取り組み規格を基準に監査を実施します。
この監査により、規格要求事項と現状との差異が把握できます。
マネジメントシステム構築にあたり、何が不足しているか、何を実施しなければならないかがわかります。現状にプラスすることがわかるので、その結果をもとにどのようにマネジメントシステムに組み込んでいくかを検討します。
二つ目は、私がある程度想定した内容でマネジメントシステムを構築し、その内容を確認しながら、現状との差異を埋めていく方法です。結局、現状を把握しながらとなりますが…
一つ目の方法はどちらかといえば、企業規模が大きい組織向けのアプローチ。
二つ目は企業規模が小さい組織向け。
事業内容により、一概に大小で杓子定規で、とはしませんが。
ここからはISO/IEC27001に取り組むことを仮定します。
企業規模が大きい組織の場合、ISOに取り組む専任の部署や担当者がいたり、情報システム部門があったりということが多く、また、ポリシーや規定・ルールがきちんと作られていることが多いので、現状を把握するために規格要求事項を基準とした監査を実施し、現状との差異を把握し、今ある規定やルールを把握し、可能な限り、現在あるものを活用します。
ときどき、既存の規定やルールについて、それはそれとしてISO用に作りましょう、となることもありますが、あまり感心しません。ダブルスタンダードを生むだけで、業務が複雑化するだけです。例えば、インシデントが発生した場合、既存の書式があるにもかかわらず、ISO用に書式を作るとひとつのインシデントに対して、同じような内容の文書を二つ作ることなります。
あえていえば、既存の規定やルールをISO規格と対比できるように...ということもありますが、この場合は“ハンドブック”や“ルールブック”みたいなものを作成したことがあります。
企業規模が小さい場合、そもそもポリシーや規定・ルールが存在しない、存在するが文書などで明確になっていない、ということが多いです。また、業務も（大規模組織と比較して）シンプルなことが多く、業務の流れもシンプルです。
業界の方はわかると思いますが、SES（システム・エンジニアリング・サービス）事業者はお客様先常駐作業といって、IT技術者をお客様先に派遣（必ずしも派遣法でいう派遣とは限りません）しています。そうすると、システムの開発や運用といった業務はお客様管理下で行われており、組織内の業務が営業活動や間接部門（人事労務、経理、総務など）となります。
SES事業者は業務の内容や流れはほとんど同じが多く、パッケージ化しやすいのです。
さて、次回は“ISO=文書化”みたいなイメージがありますが、文書化をテーマにします。
