「ISMS規格をわかりやすく解読する」シリーズの9回目は、「10.改善」について見ていきたいと思います。

※今回利用する「ISMS規格」とは、JIS Q 27001:2014を指します。
※用語の定義は、JIS Q 27000:2014によります。

10.1 不適合及び是正措置

ここでは、ISMSのPDCAサイクルのA、つまりActの部分についての要求が記載されています。もし、ISMSに関して、何らかの不適合（規格にそぐわなかったり、社内ISMSのルールに従っていなかったり）な事象が発生した場合、組織が行わなければならないことが記載されています。

まず初めに、発見された不適合を修正する必要があります。その不適合によって何らかの結果が起こってしまった場合は、その結果にも対応しなければなりません。

その後、その不適合が再発しないように、不適合の原因を除去するための処置を講ずる必要があるかどうかを検討します。具体的には、不適合を適切にレビューし、原因を明確にし、類似の不適合があるかどうかの調査や、類似の不適合が発生してしまう可能性を明らかにすることを行う必要があります。

最後に、必要とされた処置を行い、それが有効に機能しているかどうかをレビューします。もし万が一、ISMSを変更する必要がある場合は、変更を行います。

不適合の性質や、不適合に対して取った処置、その処置の結果は、文章化して保存しておく必要があります。

10.2 継続的改善

これらの改善は、継続的に行っていく必要があります。