拡大審査vs.縮小審査vs.移転審査
話を聴いていると定義が今一つはっきりしない。住所先が増えたり減ったりしたらそれは拡大または縮小。所在が単純にAからBへ移れば移転。部門が分散したり統合したりと組織再編が絡むと少し分かり難い。移転といえども新しい環境でのリスク対応を要求されるのは当然。
審査の前に何を確認するのですか？
- 情報資産の拡大縮小の有無
- 組織（部署・人数）の拡大縮小の有無
- ロケーションのセキュリティ境界の拡大縮小の有無
- 住所先（サイト数）の拡大縮小の有無
- ネットワーク環境の変更の有無
.*.
ところで、
変化があるときには、移動（引越し）が伴うケースがある。企業は引越しについては結構神経質になる。途中で物が無くなることが懸念されるからだ。もう一つはスペースが十分確保できない場合は資産の処分・外部倉庫利用などが余儀なくされる。引越しは回数も少なく手順が確立されていないから、どの企業も一本勝負的になりがちだ。
セキュリティリスクの大きいこの一連のイベントに対して、不思議なことに、事前または事後の審査でリスク対応の妥当性をチェックされることは殆ど無い。理由は？ 彼らは経験も無く殆ど知見を持ち合わせていないことと、規格を読み解く力が無いこと。知見は引越し業者に蓄積されている。規格上は予防処置、あるいは事業継続管理の一環としての取り組みが妥当らしい。もちろん、トラブルが発生してしまえば他の側面からのリスク対応も要求される。
- 既存情報資産の引越しの有無
.*.
