ISO/IEC 27001認証：情報セキュリティマネジメントシステム

• 規格を取得する:

関連する規格のライセンスコピーを取得し、要求事項をよく理解して、この規格への認証が組織にとって適切かどうかを判断します。

• 利用可能な文献を確認し、デジタル ツールを適用する: 

利用可能な文献、規格所有者やFSSC財団からのガイドライン (FSSC財団のホームページから入手可能)、実装を支援するデジタル ソースとツールを調べます。 DNV の顧客は、カスタマイズされた支援ツールにアクセスできることに注意してください。

• チームを編成し、戦略を定義する:

マネジメントシステムの導入は、組織全体の戦略的な決定である必要があります。上級管理職は意思決定に関与し、システムの形成に積極的に関与する必要があります。彼らは、マネジメントシステムがサポートすべきビジネス戦略を決定します。さらに、マネジメントシステムを開発および実装するには、専任のチームが必要です

• 必要な能力を決定する:

まず、マネジメントシステムを実装および維持するチームは、選択した標準を完全に理解する必要があります。その後、より広範な組織で意識向上トレーニングが必要になります。 DNV は、組織内のあらゆるレベルでの能力トレーニングのニーズを満たす、さまざまな公開および社内コースを世界中で提供しています。多様な公開講座および社内研修   

• コンサルタントのオプションを確認する:

貴社にそのような能力がまだ備わっていない場合、独立系コンサルタントが実行可能で現実的かつコスト効率の高い実装戦略計画についてアドバイスを提供します。

• マネジメントシステムの文書を開発する: 

文書化された情報に適切なプラットフォームを決定します (ソフトウェア、プロセス マップ ベース、または SharePoint ベースなど)。効果的な管理、コミュニケーション、実装を確保するには、適切なプラットフォームが重要です。

• プロセスを決定、管理し、文書化する: 

まず、主要なプロセス (プロセスが何であるか、どのように機能するか、どのように相互作用するか) を特定します。各プロセスには、明確な目的、定義された責任、および期待される成果が必要です。必要な文書化された情報のレベルは、組織の規模、複雑さ、各プロセスの重要性によって異なりますが、意図した結果を実現し、選択した標準の要件に準拠するために必要な関連プロセスとその他の文書化された情報を含める必要があります。

• マネジメントシステムの実装:

明確なコミュニケーションと必要な能力トレーニングは不可欠な要素です。導入フェーズでは、組織が定義され文書化されたプロセスに従って機能していることを確認するように努めます。成功すると、システムの順守と有効性を証明できます。

• 認証機関/レジストラを選択する:

適切な認証機関/レジストラを選択すると、認証プロセス全体に違いが生まれます。 DNV は、信頼できるパートナーシップ アプローチ、リスクベースのアプローチ、および監査前、監査中、監査後の認証プロセスの管理に役立つさまざまな無料のデジタル ツールを提供します。

• 監査前のギャップ分析を検討する:

 正式な認証プロセスを開始する前に、認証機関による事前評価を検討して、不適合を特定して修正します。目的は、不適合領域や弱点を特定し、正式な認定プロセスを開始する前にそれらを修正できるようにすることです