27001:2013 10. Improvement

Improvement

1.　不適合と是正処置
2.　継続的改善

予防処置が消えている。予防処置の項目で単独に活動している実態が殆ど無いこと、実際の予防処置は、リスクアセスメントとか事業継続管理におけるリスクケース分析の中で実施されていることを、踏まえれば当然かもしれない。

.*.

不適合というのが面白い。

不適合を殆ど出さないのが自慢の審査機関はどうするんだろうね。性根を入れ替えるかな？。クライアントを甘やかしすぎた審査機関は少しずつ論理破綻をきたすかな。口先で誤魔化すかな。

是正の要因は不適合に限るのか？限らないのか？。適合なのに是正することはあるのか？。禅問答だな。不適合の代わりに観察事項しか出さない審査機関があるが、そこでは観察事項を見て是正処置をやることになる。スキーム放棄だな。システム改善に全く貢献しない審査を延々とやっているのだから犯罪的かも。

.*.

しかし、日本的価値観で捉えるとやはり難しい。不適合というのは水準に達していないこと。常識的にやるべきことは全てやっていても事故事象はおきるものであるから、更なる改善を求める場合は「不適合に対する是正」という言い方・捕らえ方はしない。一生懸命なんだから咎めるような言い方は避けたい、と。

ここで「日本的」というのは間違いの元。ここで必要なのは水準、即ちあるべき姿を静的に理解するか動的に理解するかの違いです。何か事故事象が発生した瞬間、有るべき姿そのものが見直されることになる。其の新しい水準に対して不足分は是正処置（狭義）として取り組む必要がある。講義ではあるべき水準の見極めも含むことになるだろう。

.*.

27001:2013 9. Performance Evaluation

Performance Evaluation

普通に訳すと達成度評価。有効性評価が使われるかも。

1.　監視、計測、分析及び評価
2.　内部監査
3.　マネジメントレビュー

マネジメントレビューは経営者自らが評価を行う。

内部監査は経営者から委託された独立した組織が評価を行う。

監視計測分析評価は運用者が運用の一環として行う（適切に運用するためのフィードバック回路）。組織の機能設計の観点から理解すればISMS事務局の仕事になる。

27001:2013 8.Operation

Operation

1.　運用計画と管理：

何処から何処までが運用(Operation)なのかな。日常管理的な部分と、年間の手順、イベントまでを含むのでしょうね。

27001:2013 5. Leadership

Leadership

経営者の責任に相当するかな。

1.　基本要求
2.　経営者の責任
3.　方針：基本方針のこと？
4.　組織の役割、責任、権限

27001:2013 4. Context Of The Organization

Context Of The Organization

従来、4.2.1a)とした部分かな？。適用範囲の理解あるいは記述の重要性を認識して大きな章立てにしたのだろうか。

「組織の枠組みと適用範囲」ぐらいの理解で如何ですか。

1.　組織概要と組織の関係性の理解：

2．関連団体の要求と期待の理解：利害関係者の要求と期待でしょうね。

3.　マネジメントシステムの適用範囲の明確化：従来からの適用範囲。

4.　情報セキュリティマネジメントシステム：推進または管理のための組織。ISMS委員会など。

ISO/IEC 27001の改定まで後2年？

ISO/IEC 27001の改定まで後2年？

改定の話は少しずつ進んでいるようだ。大きく内容が変わるものではないが、今までの規格にあった分かり難さを幾分解消するものになるような気がする。但し、構造は大幅に変わるから、規格に合わせて文書を組み上げてきた組織では、過渡期は大変な思いをするだろう。

加えて、27000シリーズが広がっていくので付いて行くのも容易でない。

そうは言っても、要求規格は27001だけで、残りは全てガイドラインだからその点はISMSに携わる人には助かるというか、優先順位を付けて作業にかかれるかも。一番誰もが気にする27001の改定はWEBを探してもこれだと言うものにお目にかかれない。

今のところは2013年の最終リリースが見込まれているようだ。「ISO 27001:2013」

断片的に飛び交う情報だけでも分かる範囲で並べれば何か見えるかもしれない。

.*.

章立てが変わる。下は適当に拾っているので間違っていると思うが、継続的に眺めて行きたい。

1.　Introduction
2.　Normative References
3.　Terms and Definitions
4.　Context Of The Organization
5.　Leadership
6.　Planning
7.　Support
8.　Operation
9.　Performance Evaluation
10.　Improvement

.*.

ISO27001:2013リリースの目的？

1. 他の9規格とのハーモナイズ。9000, 14000, 20000など。用語の整合化。ここにもっとも時間が割かれたようだ。それは当然でしょう。考え方の違いなど背景にあるもののギャップが埋まらないと言葉は正されない。
2. 章立ての変更
3. 章立ては変わるが内容は80％以上は現行のものと同じらしい。リスクアセスメントは殆ど同じらしい。と言うことは詳細リスクアセスメントとする現行で行くんだろう。誤魔化しのアセスメントで済ますコンサルはそろそろやめては如何かな。
4. リスク対応はISO31000との調整が図れる。ISO31000はリスク管理に関する規範規格かな。
5. 適用宣言書(Statement Of Applicability)がドロップってどういうことだろう。そういう固定的な文書を要求することは止めるということかな。しかし相互参照と整合化は要求されるらしい。と言うことは適用宣言書と言う名前はつけなくても良いが、組織が用意した（用意する）各施策と付属書の管理策との連関は明確であることが要求されるようだ。まあ、現物を見ないと分かりませんが。
6. PDCA(Plan-Do-Check-Action)モデルもドロップする。規格の冒頭に入っている図がなくなるということ。PDCAという言い方もやめるのか。継続的改善は依然要求されるが、改善プロセスを一律に決める必要は無いだろうと言うことでしょう。PDCAも大きな回り方と小さい回り方が交錯するので理念としては理解できても何処まで細分化してもキリが無いものだ。ついでに加えるなら、プランとアクションの部分は重なるので継続的に見る場合はPDCAとすることは返って難しくなるものだ。
7. 外部委託に関するセクションが新たに設定されると言う情報もサイト上にあるがはっきりしない。委託してもISMSの責任を回避できるものではないと言う主旨のものか。

.*.