更新審査

更新審査は3年経過毎に実施される。

更新審査で特に意識されるのは「有効性」。有効性とは何か。

規格でストレートで表現される有効性は、管理策の有効性。

「管理策の有効性」も2段階の構造を持つ。１つは「管理目的」に対する有効性、もう1つは管理策の実行に対する有効性。管理策は組織としての具体的な施策に展開されるが妥当な施策展開とその実施でなければならない。(4.2.2d))

管理目的は、リスク低減そのものだから、リスク値の低下を持って有効性評価とする向きも多い。丼だね。施策が有効でも別のリスクが出ればリスクは上がる。その辺の識別をしておかないと適切なレビューは出来ない。

ISMS自体の有効性。こちらはリスク値が下がることで良さそうだ。全体の有効性は丼で十分。一方で上を見た視点もある。ISMSは機能別管理の１つの機能。その上にあるのは経営目標。経営から見て十分役割を果たしているかと言う視点。

事業継続上の不安が無い状態。事件事故が無い状態。どこから見ても安心。社会的信頼を勝ち得た状態。経営が行う顧客アンケートのセキュリティの項目のポイントが高い状態。もっとも、これは更新審査の枠組みで捕らえることでない。経営品質など上位概念での問題だ。