移転審査を受けるに至った流れ
LRMでは、神戸オフィスが移転したことに伴い、2020年9月にフルリモート形式でISMS、ISO27017、ISO27018の移転審査を受けました。
本記事では、その流れをご紹介できればと思います。
移転審査の流れ
移転審査のおおまかな流れは以下のとおりでした。
※今回は変則的な流れで移転審査を受けることになりましたし、審査機関によっても手続きの流れはまちまちだと思いますので、あくまでご参考まで。
※LRMでは、BSIグループジャパン（以下、BSI）という審査機関による審査を受けました。
- BSIから次回の維持審査(※1)の案内メールが届く
→移転や人員増加など前回審査からの変更点を返信で伝える - BSIからプロファイルフォーム(※2)が送られてくる
→記入して返送 - BSIから移転審査を受けるよう打診される
- BSIから移転審査の見積もりが届く
→確認して承諾する旨を返信 - 移転審査日程が届き、審査方法(※3)を確認される
→審査日程に承諾する旨、リモートを希望する旨を返信 - BSIからリモート審査申請書が届く
→申請書を返送 - BSIに主要な文書(※4)の事前提出を依頼される
→メールで送付 - BSIから審査計画書とリモート審査実施確認書が届く
→確認書を返送 - Zoomを利用したリモート形式での移転審査を実施
→審査員さんからサインシート(※5)をもらう - BSIからメールで審査報告書が届く
→報告書の内容を確認し、修正点とサインシートを返送 - BSIでのレビューが完了し、無事新しい証書が届く
→証書は電子データで提供されるので、印刷して掲示
(※1)LRMでは例年10月～12月頃に審査を受けています。
(※2)BSIに詳細なお見積を出してもらうために記入する書類です。組織の所属人数、所在地などの情報を詳しく記載します。
(※3)今回は新型コロナウイルス感染症の影響により、リモート形式での審査と通常通りの実地審査のどちらで受審するか選ぶことができました。
(※4)ISOに関する文書、ネットワーク図、セキュリティエリア図などが該当します。
(※5)審査を確実に実施したことを証明するための書類です。審査員と受審組織の代表者がそれぞれ署名します。
移転審査までにやったこと
移転審査までに対応しておくべきToDoとしては、下記のようなものがあります。
- ISOに関する文書の修正
- フロア図の修正
- ネットワーク図の修正
- 情報資産の見直し
- リスクアセスメント
- 内部監査
- マネジメントレビュー
上記のうち「情報資産の見直し」「リスクアセスメント」の2つはちょうど移転前後に対応していたので、残りの5つの項目を審査前日までに対応しました。
内部監査はLRMのコンサルタントによっておこなわれ、4つの改善の機会が出ましたので、今後情報システムチームとコーポレートチームが中心となって改善していく予定です。
移転審査当日
移転審査は9月4日(金)10:00～13:30に実施されました！
審査員は1名でした。
ISMS事務局長が中心となり、2名のコンサルタントがオブザーバーとして立ち会うかたちで実施されました。
審査内容は、ざっくりですが下記のとおりです。
- オープニング
- アイスブレイク
- 参加メンバーの確認
- 審査での注意事項などの確認
- 新しい証書や今後の審査計画に関する共有
- リスクアセスメントの確認
- コーポレートチームのものを確認
- ネットワーク図の確認
- 移転前と移転後で変わった点の確認
- ネットワークへの接続方法の確認（無線なのか？有線なのか？など）
- フロア図の確認
- 移転前と移転後で変わった点の確認
- 施錠方法の確認
- カードキーの管理方法の確認
- 避難訓練の有無の確認
- 内部監査の確認
- 監査概要、チェック項目、指摘事項の確認
- 監査方法のアドバイス
- マネジメントレビューの確認
- レビュー内容の確認
- レビュー結果の確認
- 従業員教育の確認
- 移転にあたって変わった点(施錠方法など)が周知されているかの確認
- 法令の変更点の確認
- 証書の掲示状況の確認
- クロージング
- 審査結果の共有
- 認証範囲の表記方法の確認
移転審査を受けてみて
移転に関する箇所しか見られないので、普段の審査に比べるととても気楽でした！
特に今回は
- 紙がない
- 機器類が少ない
- オフィスのグレードが上がっている
- しっかりしたセキュリティエリア図がある
といった点から、確認しなければならない箇所も少なかったそうです。
審査員さんはとても気さくで優しい方でした。内部監査の方法についてアドバイスしてくださったり、コンサルタントからの質問にもとても丁寧に答えてくださいました。
次は2020年12月に維持審査が控えていますので、そちらの内容も、またこちらで共有できればと思います。
