情報セキュリティマネジメントシステム（ISMS）の確立、実施、維持、継続的改善に関する要求事項を規定するISO/IEC 27001:2022によると、管理策A.7.2では、組織はセキュリティエリアへの不正アクセスを防止するために適切な物理的入退室管理を実施する必要があるとされています1。組織は、セキュリティエリアへのアクセス権の付与および取り消しの基準を定義し文書化し、そのようなアクセス権の使用状況を監視および記録する必要があります1。したがって、ISMS監査員は、組織による管理策A.7.2の適用状況を監査する際に、これらの側面が監査基準に従って満たされていることを確認する必要があります。
上記のシナリオに基づき、監査員は管理策A.7.2に関して不適合を指摘すべきである。なぜなら、セキュリティエリアは不正アクセスから適切に保護されていないからである。監査員は、不適合の根拠として以下の証拠と理由を提示する必要がある。
* 証拠：監査人は、外部の請負業者2名がセンターの受付から提供されたスワイプカードと暗証番号を使用して顧客のスイートに入り、承認された電気修理を行っているのを目撃した。監査人は顧客のスイートのドアアクセス記録を確認したところ、カードが1枚しかスワイプされていないことがわかった。監査人が受付係に尋ねたところ、請負業者がカードを1枚だけスワイプして不正に入室するのはよくある問題だが、彼らは受付のサインインで顔見知りであると告げられた。
* 根拠：この証拠は、組織が管理策A.7.2で要求されているように、セキュリティエリアへの不正アクセスを防止するための適切な物理的入退室管理を実施していないことを示しています。組織は、セキュリティエリアへのアクセス権の付与および取り消しの基準を定義し、文書化していません。これは、外部委託業者にスワイプカードと暗証番号を提供するための検証または承認プロセスがないためです。組織は、セキュリティエリアへのアクセス権の使用状況を監視および記録していません。これは、各個人がセキュリティエリアに入る前にカードをスワイプして暗証番号を入力することを保証する仕組みがないためです。組織は、身元確認手段として受付でのサインインに依存していますが、これは情報セキュリティを確保するには不十分で信頼性に欠けます。
その他の選択肢は、管理策A.7.2の監査において有効な措置ではありません。なぜなら、それらは管理策またはその要求事項に関連していないか、不適合に対処するのに適切または効果的ではないからです。例えば、次のとおりです。
* 何もしない: この選択肢は、監査人が不適合を無視または容認することを意味するため、有効ではありません。これは、マネジメントシステムの監査に関するガイドラインを提供する ISO 19011:20182 の監査原則と目的に反します。
* サプライヤーと情報セキュリティ要件について合意していないため、管理 A.5.20「サプライヤー関係における情報セキュリティへの対応」に対して不適合を提起する: この選択肢は、サプライヤー関係ではなく物理的なアクセス制御に関連する不適合の根本原因に対処していないため、有効ではありません。管理 A.5.20 では、組織は、情報資産 1 の情報インフラストラクチャ コンポーネントにアクセス、処理、保存、通信、または提供する可能性のあるサプライヤーと情報セキュリティ要件について合意する必要があります。この管理は、サプライヤー関係における情報セキュリティの確保に関連する可能性がありますが、外部の請負業者によるセキュリティ領域への不正アクセスの問題には対処していません。
* 管理A.7.6「セキュリティエリアでの作業」に対して不適合を提起する。セキュリティエリアでの作業に関するセキュリティ対策が定義されていないため: このオプションは、セキュリティエリアでの作業ではなく、物理的な入退室管理に関連する不適合の根本原因に対処していないため、無効です。管理A:7.6では、組織がセキュリティエリアでの作業に関するセキュリティ対策を定義し、適用することを要求しています1。
この管理策は、セキュリティが確保された区域で作業する際の情報セキュリティを確保する上で有効かもしれないが、外部委託業者によるセキュリティ区域への不正アクセスという問題には対処していない。
* 安全区域への個人のアクセスを確認するための追加の有効な措置（例：CCTV）が実施されているかどうかを判断します。このオプションは、不適合に対処または解決するものではなく、その影響または発生確率を軽減する可能性のある代替または補償的な管理策を見つけようとするものであるため、有効ではありません。CCTVなどの追加の措置は、安全区域への個人のアクセスを確認するのに役立つ場合がありますが、管理策A.7.2で規定されている適切な物理的入退室管理の要件に取って代わるものではありません。
* 請負業者がセキュリティ施設に立ち入る際は常に同行者が必要であるという改善の機会を提起する：このオプションは、不適合に対処または解決するものではなく、不適合の再発または深刻度を防止または軽減する可能性のある改善策を提案するものであるため、有効ではありません。請負業者がセキュリティ施設に立ち入る際に常に同行することは、情報セキュリティを確保するための良い慣行かもしれませんが、管理策A.7.2で規定されている適切な物理的入退室管理の要件に取って代わるものではありません。
* 受付に、アクセスが必要な人は全員常にスワイプカードを使用する必要があることを知らせる大きな看板を設置するという改善の機会を提起する: この選択肢は、不適合に対処または解決するものではなく、既存の管理に対する認識または遵守を高める可能性のある改善策を提案するものであるため、有効ではありません。受付に、アクセスが必要な人は全員常にスワイプカードを使用する必要があることを知らせる大きな看板を設置することは、情報セキュリティを確保するための役立つリマインダーとなるかもしれませんが、管理策 A.7.2 で規定されている適切な物理的入退室管理の要件に取って代わるものではありません。
* 組織に対し、請負業者にアクセスカードを適切に使用する必要性を改めて伝えるよう指示する：この選択肢は、不適合に対処または解決するものではなく、情報セキュリティの確保に効果的または十分ではない可能性のある是正措置を組織に指示するものであるため、有効ではありません。請負業者にアクセスカードを適切に使用する必要性を改めて伝えることは、情報セキュリティを確保するためのコミュニケーション手段となり得ますが、管理策Aで規定されている適切な物理的入退室管理の要件に取って代わるものではありません。
7.2.
参照規格：ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、ISO 19011:2018 - マネジメントシステムの監査に関する指針

Reference:
ISO/IEC 27001:2022 Information technology - Security techniques - Information security management systems - Requirements ISO/IEC 27005:2022 Information technology - Security techniques - Information security risk management

情報の段階は、作成、配布、使用、保守、廃棄です。これらは、情報が生成された瞬間から破棄またはアーカイブされる瞬間までのライフサイクル中に情報が経るフェーズです。情報の各段階には、異なるセキュリティ要件とリスクがあり、それに応じて管理する必要があります。作成、進化、保守、使用、廃棄は、情報の正しい段階ではありません。進化は明確な段階ではなく、どの段階でも発生する可能性のあるプロセスだからです。作成、使用、廃棄、保守、進化は、正しい順序ではないため、情報の正しい段階ではありません。作成、配布、保守、廃棄、使用は、正しい順序ではないため、情報の正しい段階ではありません。参照: : CQI & IRCA ISO 27001:2022 主任監査員コース ハンドブック、32 ページ。 : [ISO/IEC 27001 主任監査員 - PECB]、12 ページ。

ここで述べた責任は、「ガイド」の役割に合致する。監査におけるガイドとは、通常、被監査組織のメンバーであり、監査活動を円滑に進め、ロジスティクスを管理し、安全衛生方針の遵守を確保するとともに、監査プロセスに立ち会い、監査チームを支援する人物を指す。

ISMS（情報セキュリティマネジメントシステム）を導入するメリットは、情報セキュリティリスクの低減にとどまらず、ビジネスパフォーマンスの向上、顧客満足度の向上、法令遵守の促進、ステークホルダーの信頼向上などにも及ぶ。
ISMS認証を取得するメリットは、政府機関からの契約獲得だけでなく、組織の情報セキュリティへの取り組みを他の潜在顧客、パートナー、規制当局に示すことにもあります。ISMSの目的は、情報セキュリティを維持するためのリスク管理プロセスを適用することであり、これは組織が直面する情報セキュリティリスクの特定、分析、評価、対処、監視、および見直しを意味します。ISMSの目的は、規制要件への準拠を示すことではなく、組織が自らの情報セキュリティ目標と義務を確実に達成することです。
参考文献：
* ISO/IEC 27001:2022 リードオーディター（情報セキュリティマネジメントシステム）の目的と内容は、Quality.orgおよびPECBによるものです。
* ISO/IEC 27001:2013 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項 [セクション 0.1] および [セクション 1]