教学相長：ＩＳＭＳ／情報セキュリティ

＜ＩＳＭＳ適用範囲の決定＞
　ＩＳＭＳ適用規格である、JIS Q 27001の要求事項には「事業・組織・所在地・資産・技術の特徴の見地から、ＩＳＭＳの適用範囲及び境界を定義する。」とあります。
　具体的には、次の観点から、それぞれの領域／境界を決定します。

１、事業的領域：対象業務を明確にする
　業務内容、情報活用の範囲などで領域を決めます。
　登録時の登録範囲として公開されます。

２、組織的領域：対象組織を明確にする
　一般に事業的領域に連動して部門名などで領域を決めます。
　適用範囲の従業員数は、審査費用にも影響します。

３、物理的領域：対象とする住所や施設、部屋などを明確にする
　建物、部屋、あるいは、扉などの境界で区分して領域を決めます。

４、ネットワーク的領域：対象範囲となるネットワークの範囲を明確にする
　ルーター等のネットワーク上の情報を流入出を制御可能な機器を境界として領域を決めます。

５、情報資産の管理領域：管理すべき情報資産の所在等を明確にする。

　これらを、サンプル文書を参考に「適用範囲定義書」として作成していただきます。
　Ａ社の場合は、事業的にもネットワーク的にも分割が困難であり、全社を対象としました。

　昨年ご支援した会社では、事業の特性から特定部門のみを対象することが望ましいと判断しましたが、物理的領域区分、社内ネットワー的領域区分が不明瞭となるため、当該部門への出入り口に施錠付きドアを設置し、また、社内ネットワークとの分離を行いました。
　これにより、マネジメントシステムがコンパクトとなり、また、ＩＳＭＳの申請に係る費用が大幅に削減できました。