「A.14.1.2　事業継続及びリスクアセスメント」について

公開日：2010/07/28

※本記事は、ISM Web store が作成・検証したものです。

この記事は、内容が古い可能性がありますのでご注意ください。

お世話になります。

ISMS第一段階審査でコメントされたことで、質問があります。

管理策A14の事業継続計画の件ですが、リスクアセスメントする対象が文例集では、情報資産になっているのですが、業務プロセスでアセスメントするように言われました。確かに規格を読むと業務プロセスになっています。審査員の方もよく間違いやすいと言われていました。御社でもお気付きになっていましたら、対応についてご指導願います。

書式が用意できておりましたら送付願えませんか。よろしくお願いします。

弊社でご支援させていただいたお客様の中で、今回頂いたご質問と同様な指摘及びコメントを、審査員から受けたことがないため、ご要望のような書式自体を持ち合わせていません。よって、ご提供することもできません。ご了解のほど、よろしくお願いします。

指摘事項は、「A.14.1.2　事業継続及びリスクアセスメント」に関する「事業継続における・・・。このアセスメントは、すべての業務プロセスを検討し、情報処理施設に限定しないことが望ましいが、・・・」（ISO27002）のことを指していると思われます。

例えば、様式「事業継続リスクアセスメント評価表」の「関連事業資産」の欄を「業務プロセス」等に変更する、または、同様式の「関連部署」の欄をそれぞれの業務プロセスと関連付けてとらえ処理するなどで対応可能かと思います。

ただ注意しなければいけないのは、ISO27002の14.1.2にもあるように、「・・・このアセスメントは、・・・・情報セキュリティ特有の結果を含むことが望ましい。・・・」と記載されているように、関係ないプロセスまで含めないようにするため、情報資産との関連で考えることが大事かと思います。

この記事を書いた人