A.7.2 情報の分類

A.7.1は情報に対する責任、オーナーシップを明確にしなさいと。その狙いは、ここで言う分類を行う責任者を明確にするということ。

分類とは、重要か重要でないか。特定用途か一般用途か。目視あるいは適当な方法で判別できること。

面白いことがあった。重要なものに重要と書くとそれが狙われるから重要と書かない。で、どうするかというとマークをつける。管理番号の頭（末尾でもいい）のコードで識別する。ままごとだね。重要なものにはきっぱりと色も鮮やかに重要と書くのですよ。迂闊に持ち歩けない雰囲気。犯罪は７割が内部ですからね。その人に対するけん制です。何か勘違いしたコンサルかコンサル風の審査員が吹き込んだのでしょう。

もっと酷いケースもある。まったく識別しない。机の上に放置されたCDROMは誰が管理するのか、重要なものかどうか、パソコンで読んでみるまでわからない。識別しない識別と強弁たれて涼しい顔をしている人がいる。面倒なことをやらないための屁理屈。ファイルロッカーの中も同じ。背表紙には何も識別コード/マークは無い。

分類という始めの一歩が実は大変に難しい。ある意味ではISMSの自己矛盾の露呈になっているかも。識別、ラベル付けはやり直しが難しいからね。