090226

-オーディット-計画

• ページ割付をミスしたものあ送られてきたから、注意をしたのに放置。見るソフトとの相性で変な見え方になるケースも考えられない訳ではないから、とりあえず確認することを示唆したのに。10日もたって漸く気付いて修正版をお客に送るのはいいが、こちらに何故添付して教えてくれなかったかクレームしてきた。馬鹿につける薬無しだね。発信控えを見れば済むことだろうに。
• この人の審査メモはページ数が膨大。確認したいことなど一切をプレプリントして持参だからそうなる。プロセスベースの審査は規格の基本要求だけど、これでは単なる消化器官ですね。
  

090210

-システム-リスクアセスメント

• 現場でリスクアセスメントをやっていない。非情に基本的なことだが、本来は自分の問題を事務局に任せる運営になっている。
• こういうところは弱点の報告、ひやりはっとの類は上がらない。リスクアセスメントそのものをやらないので、資産の変化、脅威脆弱性の変化が、自分たちの態度にどのように反映すべきかが分からない。
• 詳細なリスク分析は資産価値にレベル３が合った場合。CIAのどれかがレベル３なら実施。資産価値は１～３の3段階。しかしこの場合は、該当するし算数の割合も見ないと適切かどうか分からない。下手をすると形骸化する。ミニマム２０％は実施とか別の切り口も必要。
• リスクアセスの手法はオーソドックスだが、受容レベルが20近い値で極めて高い設定になっているのも懸念。

-オーディット-計画

• 場所、時間、アテンディーのバランスが悪い。本社の管理機能などが各サイトに分散しているので、仕組み確認と現場確認の割り振りが明確になる工夫が必要。複数の審査員で見るときは役割分担も連携も必要。全体のマネージは弱い。
• バイオ認証におけるバイオデータの取扱の確認が出来ていない。バイオ情報の深刻さに気付いていない。
  

090326

-システム-携帯電話の扱い

• セキュリティゾーンへ入るときに、写真撮影を禁じる観点から、カメラは勿論デジカメ付き携帯まで、預けることを強要するサイトが増えている。
• ずっと同行しているから隠しカメラでもなければ写真は撮れないのにそのように杓子定規をやる。悪意の人は目立たないところに隠す訳で鼻から預けてはくれない。画しカメラを探ると成ると相当厄介だ。
• 携帯を仕舞って出さないでくれと言うだけで不十分なのでしょうか。携帯そのものは情報の塊で、それを預かることの方が余程問題だ。ロッカーに仕舞うようにしているが、ロッカーは相当に厳重な管理を強いられる。勝手にロッカーを開けないことは保証するんですよね。
  

090205

-システム-

• カスタマーサポートセンターなど顧客との問い合わせ対応は個人情報が出てくるので、良くやっている口かな。
• 事業継続については、実質的な訓練が出来ていない。バックアップをとる意味が理解されていない。
• 24時間体制は凄いけど人に負担が掛かっているのだから、教育にしても業務固有のリスクへの配慮などの工夫がいる。
• リスクアセスメントはやや形骸化。脅威脆弱性を部署で拾えているか。結果の妥当性をみるために、統計情報での検証活動が無い。
• データセンターは、委託先に変わって説明してはいけない。委託先の説明を行きだす形のセッティングが必要。
• 共用エリアに名札をつけて設置しているのは頭かくして尻隠さずに近い。実際に他社のラックを見ても名前は全部伏せてある。
  

-審査員-

• 審査計画は破綻していない。殆ど1箇所だから。部署数も少ない。
• ホテルでクレームしてきたのは始めただ。決の穴の小さい男かも。違うところに泊まれば料金は違って当然。
• 鼻から、チームメンバーを信用しない態度では大物にはなれない。図体はでかいのに。
• コンサルのネガティブ情報を披露してきたのは有り難いが、スタンスが違うだろう。この男もあの馬鹿コンサルの力量を見抜けていないということだな。
• 3年間の振り返りで、日付の指摘が多いといっていたが、この男がそればっか見ていたということ。是正のフォローと効果確認も同様だが、もし繰り返しを問題にするなら、問題の本質に迫るコメントが必要。
• 途中段階の星取表にクレームしてきたが、網羅性の観点で、初日に目くじら立てないでよ。
• プレチェックリストが膨大すぎる。前の審査機関のチェックリストより酷いかもしれない。本当の審査にならないだろう。だから枝葉末節の指摘ばかりになるんだ。今回こちらで見つけた単純な指摘はとっくの昔に終わっている筈のもの。馬力と熱意はあるが、かなり空回り。

-システムアドバイス-

• 適用範囲を素直に広げなさい。
• 特に情報システムなどの基幹インフラ部門が入らなければPDCAが回り難いので形骸化しやすい。
• 現場でリスクアセスをやってもらう。
• マンネリ化の懸念払拭のために審査員を変更する。
  

-アセスメントアドバイス-

• もっとゆったりと本質に迫ること。
• チェックリストはもっとラフに。星取表もこの人だけやたら細かい。
• 内部監査の指摘件数のカウント～トレンドに本質的な意味は無いことを知るべき。((こういう発想をやるから問題ないのがいいことになってやがて自滅していくんだ。その意味ではこの審査機関の審査全体に共通するスキームだから始末が悪い））
• 疑心暗鬼で仕事をしてはいけない。

-

• 更新審査でも、スキームまで手を付けるお客は皆無に等しい。
• 改善件数を競うスキームに組み替えないと駄目だ。内部監査で指摘をすると是正と効果確認と手番が増えて、嫌がる形になる。指摘が無いのが現場の本音として助かる形。これじゃ駄目だ。改善競争に変えるべきで、誰がどれだけ有効な（リスク値を下げる）を改善をしたか。こうなるとリスク値を一度上げてやらないといけない。環境変化を取り込むとリスク値は上がるから、リスクアセスも回り始める。
• 空回りするだけのシステムを大量生産している。
• 迎合的審査態度。