まず、情報セキュリティとは、何か？
この定義を確認しておく必要があります。
ISO27001の規格では、こう定義しています。
情報セキュリティとは、情報の「機密性」「完全性」「可用性」を維持すること。
・「機密性」とは、漏らさないこと、不正アクセスから保護すること
・「完全性」とは、正確性、完全性を保つこと
・「可用性」とは、許可された者が、利用したいときに、利用できること
これらのことを維持するために、マネジメントの仕組みを活用して
実行するのが、ISO27001です。
では、何を実行するのか？
以下、実行すべき規格の概要を記します。
１．適用範囲
２．引用規格
３．用語及び定義
４．組織の状況
４．１ 組織及びその状況の理解
４．２ 利害関係者のニーズ及び期待の理解
４．３ 情報セキュリティマネジメントシステムの適用範囲の決定
４．４ 情報セキュリティマネジメントシステム
５．リーダーシップ
５．１ リーダーシップ及びコミットメント
５．２．方針
５．３ 組織の役割、責任及び権限
６．計画
６．１ リスク及び機会への取り組み
６．１．１ 一般
６．１．２ 情報セキュリティリスクアセスメント
６．１．３ 情報セキュリティリスク対応
６．２ 情報セキュリティ目的及びそれを達成するための計画
７．１ 資源
７．２ 力量
７．３ 認識
７．４ コミュニケーション
７．５ 文書化された情報
７．５．１ 一般
７．５．２ 作成及び更新
７．５．３ 文書化された情報の管理
８．運用
８．１ 運用の計画及び管理
８．２ 情報セキュリティマネジメント
８．３ 情報セキュリティリスク対応
９．パフォーマンス評価
９．１ 監視、測定、分析及び評価
９．２ 内部監査
９．３ マネジメントレビュー
１０． 改善
１０．１不適合及び是正処置
１０．２継続的改善
