活用しやすい情報セキュリティ関連規程策定 支援

当時の社内の現状は次の通りで、情報セキュリティに対する取り組み姿勢を回答できる状態ではなかった

• 情報セキュリティ関連規程は存在したが、策定当時はコンサルタントに任せっぱなしだっため「ひな形を」そのまま利用したものだった。
• 情報セキュリティは開発部門だけが対応すべきものとの雰囲気があった。
• 情報セキュリティ関連規程の運用推進者が不明確であり、責任者が不在だった。
• 情報セキュリティに関連する予算確保が出来ていなかった

• 取り組み姿勢を示すために、費用も時間も要してしまうISMS等の認証ではなく、登録等の費用がからないIPAが創設した「SECURITY ACTION 」の自己宣言を勧められた（SECURITY ACTION 普及賛同企業でもあった）
• 情報セキュリティ関連規程を定める前に、現場における情報セキュリテへの理解度や取組について確認し、分析後に策定する提案を頂いた
• 情報セキュリティの知見だけなく、委託管理やインシデント対応等の経験も豊富にあった。
• IPAのセキュリティプレゼンタとして登録もされていることから、情報セキュリティ研修の依頼もしやすく、一貫してお願いすることができた。

1. 経営層、管理職、現場従業員それぞれに、情報セキュリティ自社診断を実施。役職や部署による情報セキュリティに対する取り組みや認識のバラツキを分析。
2. ヒアリングや現場確認による業務運用を確認。
3. 情報セキュリティに関して、経営層をトップとした体制と各部署に推進委員の配置を整備
4. 1～３を基に、情報セキュリティ関連規程を策定し、2度の説明会を得てブラッシュアップ
5. 情報セキュリティ診断の分析結果により弱かった箇所に対して、社内研修を実施
6. お客様に、情報セキュリティ関連規程を見直して「SECURITY ACTION 2つ星を公式に宣言」したこと、「社内研修を実施」したことを報告し、ご納得頂いた