Top / リスクマネジメント

リスクマネジメント

ISMSにおけるリスクマネジメント †

　JIS Q 27001:2006によれば、情報セキュリティを実施するためにISMSを構築し、運用していくためにはISMSにリスクマネジメントを適用していくことを要求している。その際、次のPDCAを実施する。特に斜線部のところがリスクアセスメントやリスク対応に該当するものである。

1. Plan：ISMSの確立
   1. ISMSの適用と境界の定義
   2. ISMS基本方針の定義
   3. リスクアセスメントに対する組織の取り組み方の定義
   4. リスクの特定
   5. リスクの分析と評価
   6. リスク対応の選択肢の特定と評価
   7. リスク対応のための管理目的と管理策の選択
   8. 残留リスクの承認
   9. 適用宣言書の作成
   10. ISMSの導入と運用の許可
2. Do：ISMSの導入および運用
   1. リスク対応計画の策定
   2. リスク対応計画の実施
   3. リスク対応のための管理目的と管理策の実施
   4. 管理策の有効性の測定方法の定義
   5. 教育および訓練の実施
   6. ISMSの運用の管理
   7. ISMSの経営資源の管理
   8. セキュリティインシデントに対応するための手順および管理策の実施
3. Check：ISMSの監視およびレビュー
   1. 監視およびレビューの手順および管理策の実施
   2. ISMSの有効性のレビュー
   3. 管理策の有効性のレビュー
   4. リスクアセスメントのレビュー
   5. ISMSの内部監査
   6. ISMSのマネジメントレビューの実施
   7. セキュリティ計画の更新
   8. ISMSの有効性またはパフォーマンスに関係する活動および事象の記録リスク対応のための管理目的と管理策の選択
4. Act：ISMSの維持および改善
   1. 改善策の導入
   2. 是正処置および予防処置
   3. 処置および改善策の通知
   4. 目的の確実な達成

参考文献 †

• 『企業情報保護士試験公式テキスト』