重要情報漏えいが心配

「そんなに大事な情報扱っていないし」「情シス部門がやればいいんでしょ？」「ウイルスメールなんて引っかかるわけない」等々、案外情報漏えいは他人事と思っている方も多いのではないのでしょうか。顧客情報、製品情報、人事情報等守るべき情報は身の回りにあふれており、一方でサイバー攻撃の手はどんどん巧妙化しています。
ISO27001の7.3認識という要求事項では、情報セキュリティについての活動の意味とその重要性、また要求事項に従わなかった場合、情報セキュリティに対してどのような影響や損害をもたらすのかを“認識”することが求められています。

一口に情報セキュリティ対応といっても、“何をどこまで”というのは非常に迷われるのではないでしょうか。対策を取り始めればキリがなく、その結果制限されることが増え、業務に支障が出るのでは本末転倒です。
ISO27001ではリスクアセスメントを行うことが求められています。そのなかでは、「実際に生じた場合に起こり得る結果」と「現実的な起こりやすさ」からリスクレベルを決定したうえで、対応するか否かの決定、対応する場合の優先順位を決定する手順が求められています。

ウィルスに汚染されたメールの添付ファイルを開いてしまったことが分かったとき、その状況をどうするか、誰に報告するか、どのように対応するか、貴社では決まっているでしょうか。
ISO27001管理策A.16ではその対応手順を文書化し、対応することが求められています。また、これは手順が定められているだけでは意味がなく、万が一が起きた際に、真っ先に誰に報告しなければいけないか等を関係するすべての人に周知する必要があります。