ISMS文書を電子ファイルで管理したいのですが、どのような方法がありますか？
ISMSの規程書や様式などを、MicrosoftのWordおよびExcelなどで作成し、これらの電子ファイルを、ISMS文書として管理及び運用していきたいと考えています。
一般的に、どのような方法があるか教えていただけないでしょうか？
可能ならば、具体的な方法などについても、あわせて教えていただけると助かります。
なお、その際のポイントや注意点などもあれば、よろしくお願いいたします。
色々なサービスがあるかと思います。おすすめのサービスなどあれば、参考にさせて頂ければ思っております。
ISMSの規程書や様式などのWordやExcelなど電子ファイルの管理方法に関してですが、既に通常の業務の中で、電子ファイルの文書管理を行っているのであれば、それに従うのが一番良いでしょう。
なぜなら、ISMS認証取得されている方であればご存じかと思いますが、ISMSで使用する文書の中には、通常業務で使う文書（例えば契約書など）も含まれます。よって、ISMSだけの電子ファイル文書といった区分ができない文書も出てくるため、別の方法で管理することは、複雑な管理になる可能性があります。
また、管理面においてもそうですが、ISMSの審査において質問された際、すぐに文書を見つけることができないと、ISO27001の要求事項に適合していないと見なされることになりかねません。
ISMS文書だといって、特別なルールを設ける必要はありません。ISO27001要求事項に準拠した管理方法であれば、問題はありません。
7.5.3 文書化した情報の管理
- a) 文書化した情報が，必要なときに，必要なところで，入手可能かつ利用に適した状態である。
- b) 文書化した情報が十分に保護されている（例えば，機密性の喪失，不適切な使用又は完全性の喪失からの保護） 。
- c) 配付，アクセス，検索及び利用
- d) 読みやすさが保たれることを含む，保管及び保存
- e) 変更の管理（例えば，版の管理）
- f) 保持及び廃棄 ２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
ISMSの計画策定及び運用のために組織が必要と決定した外部からの文書化した情報は，必要に応じて識別し， 管理しなければならない。
注記 アクセスとは，文書化した情報の閲覧だけの許可に関する決定，文書化した情報の閲覧及び変更の許可及び権限に関する決定，などを意味し得る。
※「ISO27001:2023」より
電子ファイルの管理方法の例
電子ファイルの管理方法としては、以下のようなものがあります。
- 自組織のファイルサーバなどで管理する
自組織でファイルサーバ設置する必要はありますが、一番安価に電子ファイルの文書管理が実現可能です。
- クラウドストレージサービスを利用する
クラウドストレージサービスを契約して文書管理を行う方法です。場所を選ばずアクセスでき、自動バックアップ機能によるバックアップの手間が省けたりします。機能は、各サービスによって異なるため、比較検討が必要です。
- 統合型クラウドサービスを利用する
Google WorkspaceやMicrosoft 365などの統合型クラウドサービスを利用して文書管理を行う。メールやファイル共有、チャットなどのオフォス業務に必要な複数の機能が備わっているため、承認フローなどを設定することも可能です。
電子ファイル管理のポイントと注意点
基本、紙での文書管理方法と同じルールとなりますが、以下に電子ファイルを管理する際に注意するポイントを記載します。
- ファイル名およびフォルダ名のルールを統一する
ファイル名やフォルダ名に一貫性を持たせることで、内容を一目で把握でき、探す手間を削減するようにしましょう。
- 不要なファイルは削除する
不要ファイルとなったファイルを削除しましょう。また、定期的なファイルの整理を心がけましょう。なお、長期保存が必要なファイルもあるため、ファイルの削除は、慎重に扱いましょう。
- ファイルのバックアップをする
ハードウェアの故障、システムクラッシュ、人為的ミス、サイバー攻撃など、さまざまなリスクから保護するために、適切なバックアップを行いましょう。
- 重要度の高いファイルはパスワードなどで保護しましょう
ファイルの機密性や完全性の確保、および不適切な使用を避けるためにも、パスワードなどによりファイルのセキュリティを確保しましょう。
- 紙のファイルの取り扱い
紙のファイル管理とのルールを明確にしましょう。紙のまま管理するのか、デジタル化して管理するのか、明確にしておきましょう。
最後に
現在は、電子ファイルでの文書管理に用いるツール多く見受けられるようになりました。これらは、情報セキュリティに用いられるセキュリティツールと同様に、組織のISMS（情報セキュリティマネジメントシステム）を補強または利便性を高めるものであり、必ずしもそのツールである必要がない場合もあります。
また、業務によっては、紙のファイルを主として使っているところもあるかもしれません。業務内容が、ほぼ完全にオンラインベースだったとしても、紙のファイルが今後一切なくなることはないでしょう。
まずISMS文書（マニュアルおよび規程書、様式）を作成し、運用のシミュレーション（できれば紙ベースでの運用）を行った後、自組織にとって、電子ファイルでの文書管理が適切か又は必要かも踏まえ、ご検討されることをお勧めします。
以上、ご参考ください。
執筆・監修：ISM Web store サポート
ISMS、プライバシーマーク、ISO9001に必要な文書及び社員教育用テキストの販売及び無料メールサポートにて、25年以上にわたり取得支援しています。当商品をご利用頂いていない方にも、無料にてメール対応させていただいております。
