ISO/IEC 27000 / ISMS / BS7799コミュの文書番号、及びISO27001認証基準について

初めまして。aiと申します。
150人弱の会社でISO27001取得チームの主担当をすることになり、急いで色々調べているところです。
これからどうぞ宜しくお願い致します。

先日ISO27001を取得された同業他社を訪問したところ
以下2点の不明点が挙がりました。
もしご存知の方がいらっしゃったらぜひお願いします。

１．文書番号について
セキュリティマニュアルは100、情報セキュリティ基本方針は101・・と決まった番号があるそうですが
この番号の根拠及び一覧というのはどこに載っているものなのでしょうか？

２．ISO27001認証基準について
取得するなら必携、と言われたのですがネットを探してもどこで手に入るのかが分かりませんでした。
ISMSの認証基準はJIPTECのHPにありましたが・・。
初歩的な質問で申し訳ありません。

ちなみにその企業さんでは取得のためのコンサル、パーティション、サーバールームのログ管理などで総額2000万ぐらいかかったそうです。
正直そこまでしないと取れないものなのか・・と思ったりしました。
アドバイス等ございましたら併せて宜しくお願い致します。

コメント(7)

最初
全て
最新の40件

[1] mixiユーザー 10月17日 19:36

どうも。はじめまして＾＾

１．文書番号について

決まった番号はありません。
会社で作成した文書に、番号があると便利だなーと思えば、つけるルールを決めて番号を付けてください。そんなルールがあったら、新しい文書を作ったときに、番号を振らないといけないし、面倒くさい、と思えば、付けなくてOKです。

ほかの文書とごちゃごちゃにならないように、すぐに見たい文書が、検索できて、取り出せれば、OKです。そのために、一般的には、番号を付けている場合が多いと思います。

また、付けるルールを決めたら、付けないといけません。

２．ISO27001認証基準について

ISO27001認証基準は、審査員が審査するときに、根拠となる文書です。日本国内では、今は「JISQ27001：2006」です。
日本規格協会のHPで買えますよ＾＾

http://www.webstore.jsa.or.jp/webstore/JIS/Search.jsp?lang=jp
こちらのページで、規格番号「27001」で検索してみてください。

「取得するなら必携」は間違いないと思います＾＾

3.　コストについて

コンサル、パーティション、サーバールームのログ管理などが、リスクアセスメントの結果、必要だと会社で判断されれば、セキュリティ対策として導入されれば、結構ですが、それがないと、認証取得できない、というわけではありません。

ここは審査員の判断ですが、データセンターの運営をしているような会社でない限りは、ログ管理をそれほど、厳しくは要求しないのではないでしょうか？　あくまで、会社が必要だと判断したセキュリティ対策をする、というのがISOの規格が要求している内容です。

うちは、新しい設備投資0円で認証取得できました。笑。

[4] mixiユーザー 10月18日 10:28

文書番号について
文書管理については、4.3.2文書管理の項目で

-----引用始め------------------------------------
e)　文書が読みやすく、識別可能な状態であることを確実にする。
-----引用終わり-----------------------------------

この規格の識別可能な状態が根拠です。
多くの管理すべき文書が存在する場合、背表紙の文言だけでは間違えることがあります。これを確実にするためには文書番号をつけることも一つです。しかし、文書数（ファイル数）が少ない場合に「ABC0022」などと番号をつけて、判りにくくするより「文書管理規定」としたほうがわかりやすいですよね。
規格文書は、すべての場合を想定して書かれていますので、このような文面になっているのです。

コンサルを使われる場合、このような部分の根本的な説明を受けていないと、今後の運用に大きな支障となりかねません。

[5] mixiユーザー 10月18日 11:17

認証基準について
日本規格協会で売っています
ISO/IEC27001:2005-10-15　が最新版です。

これは必ず備えなければなりません。
外部文書として配布されていること。
それと情報セキュリティの法的準拠として、この文書のコピーの使用などは著作権法違反になりかねません（笑）
できれば、英和対訳版がおすすめです。
日本語に訳されたものは、本来の単語の意味を失っている場合があります。よんで意味が通じない日本語は、英文で読んだほうが判りやすい場合もありますし、なにより意味を辞書で調べることができますよね。

ISOでは規格文書を制定するときに、技術用語をできるかぎり使わない方針で編集されています。その意味ではわかりやすい単語で書かれていますよ。

[6] mixiユーザー 10月18日 16:55

皆様ありがとうございます。

文書番号についてはこういう番号をふれという明確な規定があるというわけではないのですね。
取得した会社に「文書番号100も知らないの？」と言われていたので心配していたのですが、助かりました。

また日本規格協会のHPも見ました。
とりあえずJISQ 27001と27002は買っておきます。（経費だし）
ありがとうございました。

コンサル費用や設備投資もかなりばらつきがあるようですね。
以前社長の知り合いで「審査員補」の資格をお持ちの方にコンサルを受けていたのですが
最近見直したところかなりの漏れがあることが分かったので
現在再検討しているところです。

皆様の意見、大変参考になりました。
また何かありましたらよろしくお願いします。

[7] mixiユーザー 10月18日 17:29

マネジメントの構築ですから、本当は経営者が参加したプロジェクトであるべきなんですが、多くは担当者にお任せスタイルが多いですね。
aiさん、大変でしょうが頑張ってくださいね。
ズモは5年ほど前にBS7799の審査員教育を受けましたが、構築と審査は別物です。
質問があればどうぞ。

ログインすると、みんなのコメントがもっと見れるよ