まず、ISO27001は何なのか？
というところから始めないと、
改訂内容についても、認識がしにくいと思うので、
そこから説明します。
ISOは、世界中のルールを規定している
いろんな人が、好き勝手に運用すると、
ある人はこのやり方。この人は違うやり方。
になってしまい、
それぞれが「ちゃんとやっている」という意思を
表示するときに、ズレが出てきてしまいます。
そこで登場するのがISOという機関です。
この機関は、ある程度の品質は担保しているということを
照明するための規格（ルール）を決めています。
そして、それが満たされている場合、ISOの認証を
その会社に与えて、この会社はISOの規格に則っているという
照明をすることができます。
一定の品質を担保していることを、外部機関が照明して、
他の会社から見ても、安心して取引できるということですね。
もちろんISOの認証を取らなくても、ただしく運用している
会社はあると思います。
正しく運用しているという認証があれば、
それをわざわざ説明しなくても、
他の人に証明できて、その分安心させてあげられることができるんですね。
そういう点がISOの認証を受ける意義だと思います。
ISO27001の改訂内容 2013→2022
今回、改定された内容は、管理策の見直しが主になります。
一部の管理策が統合されたり、更新がなされ、
時代の変化にあった形に刷新されました。
特にリモートワークが大きな変更点となります。
昔はオフィスで働くのが当たり前で、会社以外で仕事をすることは
ほとんどありませんでした。
自宅で仕事するなんて、全く想像できませんでしたよね。
でも、今では自宅で仕事をする人が増え、
会社に行く際は、パソコンを持ち歩くことも増えているかと思います。
そうすると、パソコンを紛失するリスクが増えますし、
外で仕事することで、覗き見されるかもしれません。
そういった情報のリスクに対して、
適切に管理するため、管理策が見直されています。
細かいところは、ホームページなどで確認いただくとして、
リモートワークが行われることで、どのようなところに気を付ける必要があるか。
情報セキュリティを強化する
リモートワークを進めている場合は、
パソコンがいくつあって、誰が、どの場所で使っているか。
それを把握するところから始まります。
今までは、オフィスに置いてます。
で済んだかもしれません。
これからは、Aというパソコンは田中さんが、自宅で使っている。
Bというパソコンは佐藤さんが持ち歩きで使っている。
そのような、パソコン一つ一つに対して、
リスクがどれだけあるのかを把握して、
適切に対処しなければ、なりません。
自宅で使っているAのパソコンについては、持ち歩きがない分、
リスクが少ないかもしれません。
Bは持ち歩き、外で使うこともあると思うので、覗き見防止のための
プライバシーフィルターなどを導入する必要があるかもしれません。
そういった、環境の変化に対して、
リスクが増えた箇所について、さらに対処する必要があります。
そういった点で、ISOは改訂されています。
情報セキュリティを行なっていくことで、
適切に情報を扱えるよう、一人一人がこれからも
意識して対処していき、
セキュリティ事故が０件になるように、対処していきたいですね。
