2009年03月18日：第07回リーダー会議

※ISMS要員の教育訓練は、会社で義務づけられています。
※閲覧のレベル分け基準：

【レベル1】	【レベル2】	【レベル3】
・スタッフ全員	・社外と情報資産のやりとりがあるスタッフ ・全社員	・権限の強い人（主にチーフクラス以上）

■第7回ISMSリーダー会議
【日時】2009年3月18日(水)13:00～
【場所】本社1階会議室

審査指摘事項一覧

2009年2月19日(木)、20日(金)で社内全部門の外部審査があり、その更新審査の結果と観察事項などの報告が行われました。
東京オフィスに対する、書面での「主だった指摘事項」は以下の1つです。

■第三者との契約におけるセキュリティ【レベル3】

保護レベルの高い情報を委託する場合に、委託先の情報セキュリティ管理状況の把握をされることが望まれます。
例えば、東京オフィスは、外注先（会社及び個人も含めて、20～30社）へ提供される情報資産の中に、個人情報を含んでいる外注先の実情把握等もあるかも知れません。

※簡単にいうと、外注に委託する際は「情報資産の取り扱い方」について、取引業者の管理状況も含めて注意しましょうということです。

観察事項への対処

■セキュリティ事故、セキュリティ問題について【レベル1】

セキュリティ事故という言葉通りの解釈だけでなく、業務場での事故やミスを含めてセキュリティ事故と認識してください。
社長は、ISMSの推進により情報漏洩など直接的なセキュリティ事故だけでなく、大きな解釈での「事故」を減少させ、その対応にかかるコスト削減を期待されています。
事故を公開する目的は、制裁を加える意味ではなく、事故発生の経緯を伝えて全社員への注意を喚起し、次の事故防止へ繋げていくことが目的です。

【リーダーメモ】
★「事故には至ってはいないが問題かもしれない。」という事象を洗い出し作業を行う。
★相当する事象があれば「セキュリティ事故報告書」と「セキュリティ問題報告書」を事務局に提出する。

※セキュリティ事故発生時は、速やかに上司に「報告」→後に全員で「共有」するプロセスが定められています。また今度、リスクを「想定」をする機会を設けます。
※「セキュリティ事故報告書」と「セキュリティ問題報告書」は、「Tkocore2/Office/ISMS」に置いてあります。

■メディア管理の徹底【レベル2】

今回の審査では、印刷部門で特に「MOメディア」管理の不徹底が見受けられました。保管、返却、破棄するものを明確に識別し、管理を徹底させてください。

【CDの破棄】→必ず割ってから捨てる。（雑誌に挟んで割ると怪我しない）
【MOの破棄】→物理的なフォーマット、または破壊が必要。事務局に提出してもOKです。
【MOの保管・返却】→部門ごとに保管場所や返却のタイミングなど、MO管理のルールを策定してください。次回内部監査では重点的にチェックします。

※東京オフィスでは、物理メディアでのやりとりは比較的少ないはず。
メディア管理について、懸念点ある方は倉田までご相談ください。管理ルールについては今度つめる予定。

【リーダーメモ】
・メディア管理の現状把握。

■保護ラベル記入方法【レベル1】

今回の審査で、保護レベルの保管期間が記入されてないものが多く見受けられました。
「情報ラベル貼付手順書」を一部改訂し、統一された記入方法を浸透させます。

※東京オフィスでは、個々の書類ではなく、書類をまとめた箱に対して「保護レベルシール」を貼り付けています。
※箱には「公開日の異なる指示書」があったり、また「進行により書類が流動的」なため、保管期間（終了日）のラベル記入は困難な状況です。
※終わった案件で、箱やファイリングを期間で分類して保管しているものがあれば、保管終了期間の記入をお願いします。

メール

■取引業者からのメール受託方法【レベル2】

取引業者（クライアントではなく、外注・下請けのこと）から受け取るメールの保護を怠っていました。
保護するべき情報資産を送ってもらう場合は、適切に保護された方法での送信を依頼します。

※現在、ルール策定中なので、運用方法が決まった段階で連絡します。
※この話は、ウチが使う外注に対しての話だそうです。

■送信時、添付ファイル無保護の対応【レベル2】

クライアントからの指示や、手順が面倒だということで、メールデータを保護しない状態でKDSから送信するケースがあります。
その顧客の確認と、情報漏洩のリスクがあがることの承認を得る手続きを行います。

※現在、ISMS事務局で方法や手順を検討中。→全社的に行われていないことが判明。
※ファイル送信ツール【光画アップローダー：http://mx.kohga.co.jp/file_upload 】については、東京オフィスでの利用・運用方法を検討中です。

【リーダーメモ】
・アップローダーの理解。運用ルールやメリットの検討。

取引業者関連

■機密保持契約先で現在取引が行われていない業者の識別【レベル3】

「機密保持契約締結先一覧」の中に、社名が変更されたり取引が完全になくなっている業者がありました。
各部門で、「機密保持契約締結先一覧」の内容に修正がないかどうか、1回/月の頻度で確認を行ってください。毎月のリーダー会議で確認を行います。

※機密保持の一覧は、頻繁にチェックしましょう。

■保護レベルが高い情報資産委託の確認【レベル3】

現状、個人情報を含む保護レベルが高い情報資産の外部委託先は2社のみです。新しく発生する場合は速やかに事務局に報告してください。
各部門で、1回/月の頻度で確認を行ってください。毎月のリーダー会議で確認を行います。

※個人情報の外部委託は、いろいろな手続き発生。

■取引業者の再委託の確認【レベル3】

再委託の際は、書面での申請が必要です。
各部門で、「外部委託先の再委託震申請について」をもとに、再委託有無の確認、申請書提出の手続きをおこなってください。毎月のリーダー会議で確認を行います。