セキュリティ対策にＩＳＯが関連深いことはあまり知られていない。
一方で、品質マネジメントシステムのＩＳＯ９００１、
環境マネジメントシステムの１４００１という認証システムがあることは、
広く認知されている。
上場企業においてはガバナンスが求められるため、
これらのマネジメントシステムを導入しているところも少なくない。

このＩＳＯの認証システムに情報セキュリティマネジメントシステム
（ＩＳＭＳ / ＩＳＯ２７００１）が存在するが、
認知度が低くあまり浸透していない。
ＩＳＯ２７００１は、組織内においてＩＳＭＳを確立、実施、
維持されていることの適合性が認められて、認証が取得できることとなる。
つまり、その組織が情報セキュリティにおいて国際規格の基準に
適合していると認められるのだ。
最近の情報セキュリティ対策の機運の高まりから、
もっとＩＳＯ２７００１に取り組む企業が増えてもいいはずだが、
なかなか増えない。

取り組んでいる企業においても、省庁、自治体や大手企業との取引に
ＩＳＯ２７００１の取得に迫られて……というのが実態だ。
そのためか、委託業者の管理不徹底のために起きているセキュリティ事件や
事故が発生している。省庁、自治体や大手企業などは発注者側として
適正な委託業者に発注したという口実づくりに「お墨つき」を利用している。
取引にはＩＳＯ２７００１認証が必要だと迫るのだ。

これらのＩＳＯ認証取得のために共通して取り組むのが
ＰＤＣＡサイクルである。ＩＳＯ２７００１であれば、
策定した情報セキュリティ基本方針をもとにＰＤＣＡサイクルを
繰り返す。そこで考えていただきたいことがある。
こういった認証取得はともすれば公的機関から「お墨つき」を
もらうことが目的になってしまいがちだが、
目的を見失わないでいてほしい。
ＩＳＯ２７００１であれば、目的は情報セキュリティの維持と管理である。

きっかけはなんであれ、ＩＳＯ２７００１の認証取得に取り組むのであれば、
ＰＤＣＡサイクルを組織内に定着させるべきである。
ＰＤＣＡサイクルについては、企業の品質管理や生産管理などの
あらゆる業務を円滑に進めるための優れたマネジメントサイクルである。
Ｐｌａｎ（計画）、Ｄ o（実行）、Ｃｈｅｃｋ（チェック）、Ａｃｔｉｏｎ（改善）
という工程を繰り返し行う。
しかし、多くの組織では継続的なＰＤＣＡサイクルの実行を継続できない。
継続力のない企業は、ＩＣＴ活用に関しても継続できるとは思えない。
ＩＳＯ２７００１の認証取得はＰＤＣＡサイクルを組織的に
定着させるよいきっかけになるのではないか。

ところで、士業やＭ＆Ａ仲介企業は企業機密を取りあつかうことが多い。
そういったことからセキュリティ意識の高い職業と思われている。
確かに、顧客とは機密保持契約（ＮＤＡ）を必ず締結し、
職業上知り得た顧客の機密情報を口外するようなことはほぼないであろう。
しかし、そんな士業やＭ＆Ａ仲介企業の方が、顧客との訴訟に関わる資料や
財務諸表に関する機密書類を電子メールで授受している。
電子メールの操作ミスによる第三者への誤送付が起こりうる。
ＰＣがウイルス感染すれば、電子メールの内容がハッキングされることも
ありえる。添付ファイルにパスワードをかけていても、そのパスワードが
ハッキングされるリスクもある。現代ビジネスの現場での
情報セキュリティについて、今一度考える必要がある事象のひとつである。

――――――――――――――――――――――

（近藤 昇　著　2015年9月30日発刊
『ＩＣＴとアナログ力を駆使して中小企業を変革する』
　　第６章　アナログとICTの境界にリスクあり－ＩＳＯ２７００１への取り組みと意義　より転載）