本記事は、動画でも解説しています！ 

ISMS（情報セキュリティマネジメントシステム）は、事業内容や規模、取り扱う情報資産によって具体的な運用方法が異なるため、企業ごとに独自の運用ルールになりがちです。結果的に、担当者しかわからないブラックボックスとなるケースも少なくありません。

「引き継ぎが困難になり、担当者が他の業務に取り組めない」「退職や異動の際にうまく引き継げず、後任者が何をどうするべきか分からず途方に暮れてしまう」「既存のルールや大量のExcel・Wordの作成背景が分からず、変更できない」・・・このような悩みを抱えている情報セキュリティ担当者の方は、実は少なくありません。

なぜ、ISMSの運用はこれほどまでに「あの人しかわからない」状態に陥りやすいのでしょうか。

本記事では、「ISMSの運用がなぜ属人化するのか」という根本原因を分析し、それを解決して「“活きた”ISMS運用」を実現するための具体的な3つのポイントを、詳しく解説します。

ISMS属人化の弊害と原因

属人化の原因1：ISMSの運用が企業に大きく委ねられているからこそ、「際限がない」

ISMSの運用が属人化する大きな原因の一つは、その「自由度の高さ」にあるといえます。

例えば、人事労務の仕事は、労働基準法などで「何をすべきか」がある程度具体的に決まっています。経理や会計も同様に、法律や会計基準という明確な枠組みが存在します。

しかし、ISMSの国際規格であるISO/IEC 27001の要求事項を読んで、すぐに「何をすべきか」が具体的にわかる人は稀ではないでしょうか。規格が要求しているのはあくまで取り組みとその基準であり、「どうやって達成するか」というプロセスや文書といった手段は、企業に大きく委ねられているからです。

この「自由度の高さ」は、柔軟な運用を可能にする一方で、属人化や形骸化につながる側面も持っています。

ISMSの運用は、社内の担当者、支援するコンサルタント、認証取得の審査や維持審査を行う審査員といった、関係者の相互作用によって成り立っています。それぞれの立場での専門性や善意に基づく判断が、意図せず運用を複雑化させてしまうことがあるのです。

例えば、以下のような状況が組み合わさることがあります。

• ISMS担当者の方は、セキュリティレベルをさらに高めようと、自社の実態に合わせて詳細な運用ルールや管理資料を追加・高度化していきます。

• 支援するコンサルタントの方は、豊富な知見に基づき、考えうるリスクを網羅的にカバーできるよう、「こういう規定もあった方がいい」「審査での指摘を未然に防ぐため、この資料も準備しましょう」と、手厚い文書体系やプロセスを提案することがあります。

• 審査員の方は、専門家としての視点から、組織の情報セキュリティレベルを向上させるために有益だと考える「改善の機会」を指摘します。

これらの一つひとつは、組織のセキュリティを真剣に考えた上での、合理的かつプロフェッショナルな行動です。
しかし、規格の解釈や運用方法が多様であるため、これらの「良かれと思って」の行動が積み重なるうちに、次第にその会社独自のルールや管理対象の書類が増加していくことがあります。

結果として、ある種の「ガラパゴス化」のような、属人化を招きやすくなります。運用プロセス全体が複雑化し、後任者には意図が伝わらない「あの人でなければ分からない」状況が常態化してしまいやすいのです。

属人化の原因2：資料の多さによる「データ管理の複雑化・高度化」

第二の原因は、多くの組織におけるISMSの運用が「ExcelやWordまみれ」であることです。

今、経理業務で会計ソフトを使っていない企業様は少ないのではないでしょうか。人事労務も、労務管理ソフトや人材管理ソフトの導入が進んでいます。これらの業務は専用ツールがあり、ツールの手順に従えば、ある程度の業務品質が担保され、業務の引き継ぎも比較的容易といえます。

一方ISMSの運用は、情報セキュリティ担当者の業務を効率化し、標準化するための専用ツールが、他の分野に比べて普及していません。

その結果、情報資産台帳、リスクアセスメントシート、内部監査チェックリスト、委託先管理台帳、法令順守チェックリスト、教育記録……といった大量のExcelやWordファイルを手作業で管理・更新せざるを得ないケースが多いのが実態です。結果として、「あのExcelのこのシートに触れるのは、あの人だけ」という属人化した状態に陥りやすい側面があります。
コンサルタントに納品してもらった立派なExcelの成果物が、契約が終了した途端、メンテナンスが困難な「負の遺産」になってしまった、という経験のあるご担当者様もいらっしゃるのではないでしょうか。

属人化しないISMS構築・運用の3つのポイント

では、これらの根深い原因を踏まえ、どうすれば属人化を防ぎ、「“活きた”ISMS」を構築・運用できるのでしょうか。 ここからは、そのための具体的な3つのポイントを解説します。

ポイント1：「セルフで解決できるヘルプ環境」を整備する

特にISMSの構築フェーズ、あるいは見直しフェーズで非常に重要なポイントです。

ISMSにおける規定や手順書などの関連文書は、専門的な内容を含み、特にISMSの初心者の方には「分かりづらい・読みづらい」と感じられやすい傾向があります。実態として、従業員がそれらのすべてを日常的に熟読・把握し続けることは、難しいのではないでしょうか。

この「文書に記載されたルール」と「現場での運用の実態」との間にギャップが生じやすいことを、まず認識することが大切です。

そこで重要になるのが、「困った時のヘルプ環境」、すなわち社内ナレッジの充実です。

注意すべきは、「ISMSのプロフェッショナル」な担当者の方ほど、この整備を怠ってしまうことがあるという側面です。 ISMSの経験が豊富な方が、自分の知識や経験で資料を作ると、その人にとっては当たり前でも、引き継いだ人や一般の従業員には伝わりづらい資料が出来上がってしまうこともあります。

例えば、「新しく部署が増えた時」に何をすべきか。 ISMSの経験者なら、例えば「適用範囲を見直さないと」「新部署にも、資産台帳を作ってリスクアセスメントを実施してもらわないといけないな」といった、対応すべき事柄が思い浮かぶのではないでしょうか。

しかし、慣れていない人にはその「勘所」は分かりづらいものです。 「こういう場合はどうしたらいい？」という具体的なQ&Aや、業務フローを、分かりやすい言葉でナレッジとして蓄積していく必要があります。

ポイント2：「オレオレISMS」を脱却し、標準化を目指す

運用フェーズでは、「担当者個人の使いやすさを優先した、独自のルール・過度に複雑化したルール」いわば「オレオレISMS」をいかに脱却するかがポイントとなります。

ISMSの運用において、担当者の使いやすさや過去からの慣習を基に、独自のカスタマイズが進められることがあります。その一例が、特定の担当者だけが編集できる、複雑な関数やマクロが組まれた管理シートの利用です。作成者本人にとっては効率的であっても、後任者には仕組みの理解が難しく、属人化の大きな要因となり得ます。

ファイル管理においても、フォルダ構成や版管理のルールは誰もが理解できるようシンプルに保ち、規定の変更履歴や管理項目の目的を明記しておくことが求められます。

組織独自の運用形態に固執しすぎずに、汎用的なプロセスに適合させていく視点が、結果として属人化の防止に繋がるといえます。

ポイント3：最重要！「規格を正しく理解する」

一見遠回りに見えますが、本質的かつ重要なのは、規格の正確な理解です。他の専門業務と同様に、ISMS担当者も、前任者の手順を踏襲するだけでなく、規格要求事項の正しい理解に基づいた運用が求められます。

規格の理解が不十分な場合、審査での指摘に適切に対応することが難しくなる場合があります。ISMS認証の審査での指摘には、主に以下の2種類があります。

1. 不適合：規格の要求事項を満たしていない状態。是正対応が必ず必要です。

2. 改善の機会（観察事項）：規格の要求事項に反してはいないものの、改善が望まれる点についての任意の助言です。是正対応は必須ではありません。

規格を正しく理解していれば、後者の「改善の機会」に対し、リソースや費用対効果など組織の実情を鑑みて、「対応を見送る」という合理的な判断も可能です。 しかし、規格の理解が曖昧だと、改善の機会に対しても「助言を受けたものは全て」必須対応と捉えてしまうケースがあります。
その結果、指摘対応のためのルールや文書が不必要に増加し、運用が複雑化・形骸化する一因となります。規格を正しく理解することで、「必須の要求事項（Must）」と「任意・推奨事項（Nice to have）」の切り分けが可能になります。

その他にも、規格の要求事項として誤解されやすい点として、以下のような例があります。

• よくある誤解1：リスクアセスメントで「資産価値・脅威・脆弱性」の3点評価が必須

これは要求事項ではなく、あくまでも手法の一つです。組織の実態に合わせ、より簡潔な方法も採用可能です。

• よくある誤解2：全ての外部委託先に詳細なセキュリティ調査が必須

こちらも要求事項ではありません。リスクに応じた管理の濃淡が求められます。

• よくある誤解3：Excelの情報資産台帳の作成が必須

「台帳作成」自体は要求事項ではありません。規格が要求するのは「情報資産の特定とリスクアセスメント」であり、台帳はその手段の一つに過ぎません。

もちろん、これらの手法が一概に不要とはいえません。しかし、「規格が要求しているから」と誤認して形式的に実施しているなら、見直しの余地があるかもしれません。
規格の本来の目的に立ち返り、自社にとって必要な運用を見極めることが重要です。

短期的には時間がかかるように思えますが、「規格を正しく理解すること」が、結果として効率的で持続可能な運用に繋がるといえます。

属人化を防ぎ、”活きた”ISMS運用へ

ISMS認証の運用における属人化という多くの企業が抱える課題に対し、その根本原因と解決策を掘り下げてきました。 最後に、ポイントを改めて整理します。

ISMSが属人化する原因
「自由度の高さ」ゆえのガラパゴス化と、ExcelやWordによる手作業での運用管理の限界。

解決に向けたポイント

1. 「セルフで解決できるヘルプ環境」を整備し、「詳しい人・現担当者だけが分かる」ルールではなく、持続可能な標準ルールを目指す。

2. 「オレオレISMS（独自ルール）」を脱し、マクロや複雑な関数に頼らない、標準的な運用に合わせる。

3. 「規格を正しく理解」し、審査員の任意の指摘を適切に判断することで、「本当にやるべきこと」に集中する。

「脱・属人化」を実現するなら…標準的なISMS運用を叶えるクラウドツールSecureNaviのご紹介

これら3つのポイントを、Word/Excelを使った手作業での運用だけで実現し、維持し続ける難しさを感じているISMSご担当者様も多くいらっしゃるのではないでしょうか。
経理や労務に専用ソフトがあるように、ISMS運用にも専用ツールの活用が、属人化を解消する非常に効果的な一手となります。

ISMSやPマーク（プライバシーマーク）の“運用改善・実効性向上”に特化したクラウドツール「SecureNavi」は、まさにこうした課題を解決するために開発されました。

ISMS運用に必要な全てのプロセス（リスクアセスメント、文書管理、内部監査、教育、法令・委託先管理など）を、標準化されたワークフローでご提供します。
これにより、複雑な「独自ルール」から脱却し、担当者が変わっても高品質な運用を維持できる仕組みを構築できます。

SecureNaviで、ISMS運用を効率的で持続可能な仕組みに改善しませんか？

下記フォームからSecureNaviの機能紹介資料をダウンロードいただき、ISMS認証の運用にご活用いただけそうかぜひご確認ください。