拡大と移転ではどちらがナーバスか？

拡大と移転ではどちらがナーバスか？

ナーバスとは神経質になることの意味だが、それは当然移転のケースです。適用範囲を拡大するときは、新しい事業、新しい場所（ロケーション、サイト）などを追加するのですが、追加する部分がどのような状況であれ、拡大審査が終わって認証へ組み込まれるまではISMS制度上の責任は発生しません。

ところが移転の場合は認証されたもの動いてしまうため、動いたことによって認証の根拠を失う可能性を認めない訳にはいきません。移転（引越し中）と移転後は、セキュリティが適切に維持されているかどうかは制度上は誰も保証していません。移転直後に臨時の審査を受け、維持されていることを確認する必要があります。

移転して何もしないと次のサーベイランス（継続審査）とか更新審査のタイミングまで放置されることになります。無免許運転状態。もしくは偽りのライセンスでドライブ。悪いのは勝手に引っ越して何も言わないクライアントですが、審査機関は１００％免罪される訳でもない。正しい契約をして正しい説明をしているか、適切にチェックしているか等が問われる。

審査機関に馬鹿な営業が居たりすると始末が悪い。臨時審査（特別審査）をやると費用がやはり余分に発生するから、クライアントからの問合せに対して次回の審査の時に一緒に見ます。アドオンの費用は発生しませんとやってしまう。らしい。

そういう事情が絡んでくると、勝手に引っ越しておいて連絡もよこさないのは契約内容に違反していますとは出られません。

杓子定規をやると窮屈で嫌われますから、曖昧なままで済ませるケースが多いらしい。

厳密に言えば、引越した瞬間、その場所の認証は一旦切れていることをしっかり認識すること。復活するのは臨時審査で合格した時。復活させないまま、新しい引越し先の住所の入った名刺に認証取得のシンボルマークを印刷するのはコンプライアンス違反に相当するので、本来なら問題は深刻です。

.*.

冒頭の問いに対する回答は「移転」で決まりですが、コンサルや審査のビジネスでは「移転」は少しも美味しくない。専ら売上拡大も望める「拡大」に神経を集中させるのです。

商売人が審査をやっても上手くない訳です。ということらしい。

.*.

拡大審査vs.縮小審査vs.移転審査

拡大審査vs.縮小審査vs.移転審査

話を聴いていると定義が今一つはっきりしない。住所先が増えたり減ったりしたらそれは拡大または縮小。所在が単純にAからBへ移れば移転。部門が分散したり統合したりと組織再編が絡むと少し分かり難い。移転といえども新しい環境でのリスク対応を要求されるのは当然。

審査の前に何を確認するのですか？

• 情報資産の拡大縮小の有無
• 組織（部署・人数）の拡大縮小の有無
• ロケーションのセキュリティ境界の拡大縮小の有無
• 住所先（サイト数）の拡大縮小の有無
• ネットワーク環境の変更の有無

変更があったら特別審査をやるかどうかを決める必要があります。その変化によるリスクの可能性に対しても組織は適切に対応できていることを確認する。面倒だけど理屈の上ではそうなる。というより積極的に変化点を理解しリスク対応を済ませて安心するのが本来でしょう。

.*.

ところで、

変化があるときには、移動（引越し）が伴うケースがある。企業は引越しについては結構神経質になる。途中で物が無くなることが懸念されるからだ。もう一つはスペースが十分確保できない場合は資産の処分・外部倉庫利用などが余儀なくされる。引越しは回数も少なく手順が確立されていないから、どの企業も一本勝負的になりがちだ。

セキュリティリスクの大きいこの一連のイベントに対して、不思議なことに、事前または事後の審査でリスク対応の妥当性をチェックされることは殆ど無い。理由は？　彼らは経験も無く殆ど知見を持ち合わせていないことと、規格を読み解く力が無いこと。知見は引越し業者に蓄積されている。規格上は予防処置、あるいは事業継続管理の一環としての取り組みが妥当らしい。もちろん、トラブルが発生してしまえば他の側面からのリスク対応も要求される。

• 既存情報資産の引越しの有無

引越しを見る審査はあまり例を見ないが、引越しマネジメントを見るコンサルあるいは審査があってもいい。トラブルの宝庫が引越しなんだから。

.*.

特別拡大審査～スーパー拡大審査

特別拡大審査～スーパー拡大審査

拡大テンコ盛りはよくある話。最初は情報システム部など特定の1部門で認証を取得し、1年後に拡大で全社の認証取得を図る。最初は、ＩＳＯとはＩＳＭＳとは何かを理解するため、あるいはコンサル会社と審査機関の相性を探るために、プローブ的な認証取得をはかり、特に問題が無ければ一気に全社の展開する。

この時にクライアントはこれが実質的な初回審査だから、初回審査に準じた手順を踏もうとするケースが普通。ところが、中には勘違いしたクライアントと営業の暴走で、杓子定規に只の拡大審査として日程を組むことがある。

時として不幸な事態を招く。

何処のファームも営業とライン部隊は仲がわるいものだ。こういう大きな勘違いも早めに気づけば事なきを得るが、予算とか日程とか、外堀内堀が埋まった後では変更が難しくなる。全員がアンハッピーになってしまう。

何がアンハッピーなの？

拡大審査の工数は初回審査工数より小さい。システムの構築（主に文書審査）は既に終わっていて、現場部署の実施状況の確認だけということが少ない工数でよしとする理由。

新たに500人が追加になった場合、初回審査なら仮に６人日の工数が必要でも、拡大フェーズの場合は4人日で済ますことが出来るというもの。手順を少し変えるだけで、全体としては大きな工数削減が可能になる。この場合は、初回審査を2/3の工数でやることになり、審査の質を落としてしまう。

出費を抑えることができて、誰か喜ぶ人もいるだろうが、本末転倒でしょう。

「拡大審査とする場合は既存の範囲（人数）を超えない範囲に限定する。既存組織範囲を超える場合は特別拡大などとして、工数的には拡大部分には初回の工数を充てるようにするのが、妥当ではないだろうか。

.*.