ISMS, プライバシーマークおよび商品に関する質問と回答をご紹介

目標と目的の使い分けに関して

2016/02/02
ISMSサンプル文書集.  7,560 views

この記事は、内容が古い可能性がありますのでご注意ください。

COM-B04-1.00-D04 「内部監査チェックリスト」の『6.2 情報セキュリティ目的及びそれを達成するための計画策定』について質問です。

基本的な語句の解釈が曖昧な為の迷いなのですが、「情報セキュリティ目的」で間違いないのでしょうか?

目標と目的の使い分けに混乱しています。

全社目標をブレークダウンして部門目標は理解できるのですが、全社目的をブレークダウンして部門目的とは繋がらなくて、説明に窮してしまいました。

「4.2 利害関係者のニーズ及び期待の理解」の「b) 1) 」の質問事項『基本方針には目標の設定や目的(全般的な方向性及び行動指針など)は明記され実施されていますか?』とあるので、別のものでは有ると思うのですが・・・。

「情報セキュリティ目的」で間違いはございません。

ここの「目的」という用語は、附属書SLでの「共通テキスト」の文言により使用されている用語となります。

※附属書SLに関しては、以下のURLでも説明しています。ご参考まで。
https://www.ismwebstore.com/materials/archives/2115

「目的」と「目標」に関してですが、「目的」が最終的に目指すものであり、「目標」がその“過程”で目指すものとなります。
例えば、「利益を上げたい」ということを目的と設定した場合、「今月の目標売上げ数値」などが「目標」です。
ただ、目標がより具体的に目指すものがあれば、その目標は目的にもなり得ます。

ちなみに、要求事項6.2のb)では、「(実行可能な場合)測定可能である。」とあるので、目的が目標であっても構わないということになりますね。

ISMSサンプル文書では、「6.2 情報セキュリティ目的及びそれを達成するための計画策定」にて、「当組織は、関連する部門及び階層における情報セキュリティ目的(目標)・・・」という表現を使っています。