拠点や部門が増えるにつれて、ISMS事務局への問い合わせや承認依頼が増えていませんか。各拠点から報告は集まっていても、「対応済み」の基準が異なり、どこに課題が残っているのか比較できないこともあります。
本社ですべてを確認すれば判断が集中し、拠点に任せきりにすれば管理水準がばらつく。組織の拡大に対応するには、本社が決めることと、拠点・現場に任せることを具体的に分ける必要があります。
本資料では、拠点・部門が多い組織のISMS運用を、役割・権限・規程・報告・内部監査の観点から整理します。
米国NISTのリスク管理の3階層や英国NCSCのガバナンスに関する考え方などを参照し、経営層・ISMS事務局・拠点責任者・現場担当者の分担例を紹介。全社共通の基準と拠点の裁量の切り分け、拠点間の比較指標、リスクに応じた監査計画の例も掲載しています。
従業員500〜3,000名規模をはじめ、複数の拠点・部門を抱え、ISMSの適用範囲が広がっている組織に向けた資料です。
企画・編集：合同会社ロケットボーイズ（セキュリティ対策Lab） 協力：SecureNavi株式会社
この資料で分かること
- 拠点・部門の増加によって生じる、情報共有・意思決定・判断基準の課題
- 組織・業務プロセス・情報システムの3階層で、管理する対象を分ける考え方
- 本社が決める事項と、拠点・現場に委譲する事項の整理例
- 全社共通にする判断基準と、拠点の事情に合わせられる運用手順の切り分け
- 基本方針・テーマ別方針・手順書を分け、改訂と承認を進めやすくする方法
- 教育の未受講や是正の期限超過など、拠点の状態を同じ基準で比較する指標
- 拠点のリスクや過去の指摘を踏まえた内部監査計画の例
- 組織・拠点・現場の3階層を確認する15項目のガバナンス成熟度チェック
巻末では、グループ企業・大規模組織向けのセキュリティガバナンス管理を支援する「SecureNavi Control」の概要も紹介しています。
このような方におすすめ
- 複数の拠点・部門のISMS運用を取りまとめている方
- 組織拡大に伴い、事務局への確認・承認依頼が増えている方
- 本社と拠点の責任範囲や、判断権限を明確にしたい方
- 拠点ごとに規程の解釈や報告内容が異なり、比較に苦労している方
- 全拠点の教育・是正・証跡回収の進捗を把握したい方
- 拠点のリスクに応じて、内部監査の対象や頻度を見直したい方
- 全社のセキュリティ方針やガバナンスを統括している方