090326

090326

リスクアセスメントそのものが殆ど出来ていない。事務局だけでやっている。これではISMSの定着は無理。

ルール（ISMSマニュアル）は一定の様式で作成されているが、事務局だけが認識していて事務局だけが実施している。組織全体では形骸化の危険がある。

資産台帳に資産価値も記載されていない。リスク値は現場は誰も認識していない。どうやって資産を守る気かわからない。

資産価値脅威脆弱性の識別区分が妥当性を欠く内容。可用性は、秒のレベルが３で、１日のレベルが１。統計的に見て妥当性を評価する活動もやっていない。

コールセンターはゾーニングとしては、一般公道レベルと最高セキュリティがドア１枚。サーバー室も施錠していない。

ゾーニングは基本的に段階的にレベルアップさせなければいけない。公道（レベル０）にいきなり金庫（レベル３）を置いてはいけない。こういう常識でも、ドアとか間仕切りが入ると忘れてしまうようだ。

コールセンターで私物の持ち込み管理をしていないのも珍しい。受け渡しも無い。バックアップサイトの位置づけもあるらしいが尚更いい加減と言う事になる。

結論：

レベルは低い。腹立たしいくらい低い。一生懸命にやっている姿・情熱も感じない。

丸ごとアウトソースして適用範囲に入れている場合。全てのルールは受け入れる必要がある。PDCAは有効でなければいけない。この組織の場合は、自主的な管理を要求しないまま適用範囲に入れているので穴が空いている状況。ISMS活動の記録が一つもないのもありえない。役割責任の文書ぐらい用意しなさい。

かなり最低レベル。