ISMSの事務局と情シス、どう分ける?「取りたい」から始まる分担表と1年の段取り

「取引先から、ISMSは取っていますかと聞かれた。うちも取りたい」。営業や経営からこう言われ、気づけば情シスが事務局になっている。ISMS(情報セキュリティマネジメントシステム。国際規格はISO/IEC 27001)の認証をめぐって、よく聞く始まり方です。

ISMSは、情シスだけで回る仕組みではありません。ルールや文書を整える事務局、PCやSaaSの設定と記録を持つ情シス、自分たちの業務と情報を知る各部署、そして経営。それぞれの役割がかみ合わないと、審査の前に一斉メールが飛び交い、事務局がひとりで抱え込むことになります。ここでは、公開されている担当者の声 11 件を読んで、よくある場面と、うまくいく分担の決め方を整理します(編集部)。

よくある場面:「そして情シスが担当になる」

始まりは、たいてい外からの求めです。ISMSを引き受ける前の確認点をまとめた記事は、こう書き出しています。

「取引先に聞かれたので、ISMSを取りたい」 ある日、経営や営業からこう降ってきます。そして情シスが担当になる。

担当になったあとで最初にぶつかるのが、言葉と業務の壁です。入社して半年で事務局を任された情シスの担当者は、各部署の情報資産とリスクを洗い出す「リスクアセスメント」が山場だったと振り返っています。

各部署の人にリスクを書き出してもらったり、ヒアリングして回るんですが、僕自身も社歴が浅いし、他部署の業務内容も深く知らなかったので「みんなが言ってる言葉の意味がよくわからない」というパターンが結構あったんです。

そして、審査の前の風景です。ISMSの運用の見直しを勧める記事は、多くの会社で見かける光景をこう描いています。

審査が近づくと、事務局は焦り、数百人へ一斉にメールを送る。添付されているのは、読むのも大変なほど重いPDFのポリシー。受領返信を求め、未提出者への督促に追われる。現場は十分に目を通す余裕もなく、「確認しました」と返事をして、Excelに記録が溜まっていく。

重いPDFを開かずに「確認しました」と返す側の気持ちも、督促を送る側の気持ちも、どちらもよく分かる場面です。ひとりで事務局を回した情シスは、取得のあとの課題をこう書いています。

現在はISMSの運用が私に依存しており、属人化しているのが課題です。

なぜすれ違うのか

公開されている声を並べると、すれ違いの元は3つに分けられます。

• 目的が伝わっていない: 事務局を1年未満で経験した担当者は、作業の目的をきちんと説明できないまま各部署にお願いすると、現場は必要性を疑いながら作業し、事務局とのやりとりも増えて、事務局を煩わしく感じるようになったと振り返っています(ウェルスナビ、2024年)。
• 役割が決まっていない: 事務局は文書とルールを、情シスはPC・SaaS・アカウント・ログを、各部署は業務と情報を知っています。この3つをつなぐ人が決まっていないと、「その資料は誰が出すのか」で毎回止まります。
• 毎年続くと思われていない: 認証は取って終わりではなく、毎年の審査、内部監査、経営層が参加するマネジメントレビューが続きます。公開の解説は、経営の関与が制度上必要なので「情シスに任せた」では成り立たないと、最初に伝えるよう勧めています。

一方で、うまくいった会社の声には共通点があります。クラスターでは、事務局を受け持つコーポレートITが、経理と一緒に「実際にどんなサービスにお金を払っているか」を一つずつ確かめて、SaaSの洗い出しを進めました。ビズリーチのHRMOS事業部では、事業部の企画担当とPMOが事務局を受け持ち、グループのIT部門やセキュリティ室が要求事項の読み合わせを手伝い、内部監査室が審査のリハーサルまで行っています。事務局がどこにあっても、ひとりで抱えず、得意な部署を巻き込んでいる点が同じです。

分担の表

公開の事例をもとに、編集部で分担の目安を表にしました。会社によって事務局の置き場所は違うので、「事務局」の列を自社の担当に読み替えてください。

IT の部分は、取引先のセキュリティチェックシートへの回答とも重なります。ひとりで事務局を回した情シスは、認証を取ったことで、月に1〜2件届くチェックシートの回答が要らなくなる場面が出てきたと書いています(Bizibl)。情シスにとっても、手間が返ってくる仕事です。

1年の段取りの例

ひとりで取得した会社(Bizibl)の公開のスケジュールは、9月に社内のキックオフ、10月に資産の洗い出しとリスクの評価、9〜12月に規程と文書の整備、12月に内部監査、1月にマネジメントレビュー、1〜2月に審査でした。取ったあとも、同じ順番で毎年まわします。

段取りは、審査の日から逆に数えて、年の初めに全社へ配っておくのが近道です。資産の洗い出しやリスクの評価を審査の直前に詰め込むと、冒頭の「一斉メール」の場面になります。

頼み方の言い方の例

• 経営・営業から「取りたい」と言われたとき: 「どの取引先から、どの事業について求められていますか。範囲が決まると、費用と期間を出せます。毎年の審査も続くので、事務局に割ける時間も一緒に決めさせてください」
• 各部署に洗い出しを頼むとき: 「今年の資産の洗い出しです。取引先から聞かれたときに、うちはここまで管理していますと答えるための材料になります。去年から増えた仕事と、使い始めたツールだけ書いてください」
• 規程と設定がずれていたとき: 「規程では『90日ごとにパスワード変更』となっていますが、実際の設定は多要素認証に切り替えています。設定のほうに規程を合わせる改定案を出します」

今日からできること

• 引き受ける前に4つを握る: 目的、適用範囲、事務局の工数、毎年続くこと。曖昧なまま始めないことが、いちばんの近道です。
• 分担表を1枚つくる: 上の表を自社の担当に置き換え、事務局・情シス・各部署・経営の名前を入れて配ります。
• IT の台帳を経理の支払いと照らす: SaaS は、支払いの明細と照らすと洗い出しの漏れが減ります。SaaSの請求書とカード払いは誰が管理する?も参考になります。
• 1年の段取りを年の初めに配る: 洗い出し・評価・教育・内部監査を年間に散らします。
• 事務局をひとりにしない: 内部監査の担当や、他部署の詳しい人を巻き込み、リハーサルや読み合わせを頼みます。証跡の集め方は、内部監査と情シスが楽になるアクセス権棚卸しの型も参考になります。

ISMSの事務局は、会社じゅうの業務と情報に触れる仕事です。入社半年で事務局を務めた担当者は、苦労の反面で「会社の解像度がぐっと上がった」と振り返っています。ひとりで抱えず、分担と段取りを先に配ること。それだけで、審査の前の慌ただしさは、ずいぶん変わります。