執筆原稿
情報セキュリティ監査・審査系資格の取得と効用 ■第3回■ ISO27001化されるISMSで審査員制度も揺れ動く？！「ISMS審査員」(ISO27001審査員)(後編)
| 掲載誌 | 有料メールマガジン「Scan Security Management（2006年度）」 |
|---|---|
| 掲載年月 | 2006年05月30日 Vol.154 |
| 執筆者 | 株式会社アイドゥ 井上きよみ |
日本の独自規格として、(財)日本情報処理開発協会(以下、JIPDEC)により2002年から本格運用されてきた「ISMS適合性評価制度」。
しかし、情報セキュリティマメジメントシステム(以下、ISMS)そのものが、2005年10月、国際規格「ISO/IEC27001」となり、規格の中身だけでなく、制度そのものも大きく変わりつつある。後編ではISO27001審査員に向けた動きを解説する。
ISO27001差分研修受講が必須
すでにISMS審査員(特に断りがない限り、審査員補・主任審査員を含む)として登録しているか、登録要件を満たしている場合、ISO27001審査員への移行に必要なのは、JIPDEC認定のISO27001差分研修を受講し、その試験に合格することである。
これから審査員を目指す場合は、JIPDEC認定のISMS審査員コース(詳細は前編参照)で、ISO27001に対応したものを受講することになる。
ISMS2.0からISO27001への変更点はいくつかあるが、主なものとして、
- 本文要求事項で「ISMS内部監査」が章として独立
- 詳細管理策で「情報セキュリティインシデントの管理」セクションの新設
- 管理策の有効性評価(適用効果)、監視に対する要求の厳密化
- リスクマネジメントの体系化(ISO27005)
などがある。
国際規格化した時、IAF未加盟のJIPDECは？
日本独自規格のISMS適合性評価制度では、JIPDECが認定機関であることに何の支障もなかった。
しかし、ISO化し国際規格となった場合、問題が出てきた。JIPDECはIAFIAF(InternationalAccreditation Forum, Inc.国際認定機関フォーラム)に加盟していないのだ。なぜ、これが問題視されるかについて、少し説明しよう。
1998年、IAF(International Accreditation Forum, Inc.国際認定機関フォーラム)に加盟する日本を含む先進17ヵ国間で、認定機関同士の相互承認ができ、わざわざ外国の認定機関からの認定をしないで済む国際相互承認協定が締結された。加盟組織は原則1ヵ国1つ、日本は「(財)日本適合性認定協会」(以下、JAB)である。
つまり、現在IAF未加盟のJIPDECで認定を受けた場合、国際相互認証がどうなるのか、という点である。
なお、JABが2006年7月からのISO27001認定を表明しているので、ある意味、一国2制度という事態になる。
審査員の登録機関はJIPDEC、IRCA、それとも？
さらに審査員の登録機関に関しても揺れ動いている。
JIPDECは2006年4月1日、審査員登録機関を別法人として独立させるとリリースしているが、その後が見えてこない。
>>認証基準のISO/JIS化に伴う対応について[改訂2006年4月1日] (JIPDEC)
一方、JIPDECは同文書中で「審査員評価登録業務及び審査員研修機関認定業務の移管先はJRCA及びIRCAとし、現在交渉中」とも記してある。
JRCAとは、ISO9001審査員評価登録機関である、(財)日本規格協会(JSA) 品質システム審査員評価登録センターであり、JABの認定を受けている。JRCA側は、4月17日にJIPDECからの審査員の評価登録業務を引き継ぐよう準備中とのコメントを発表している。
IRCAとは、世界規模のマネジメントシステム審査員の国際登録組織「国際審査員登録機構」のことで、IQA(品質保証協会)の独立組織として運営されている。IRCAでは、すでに2006年1月からISMS審査員のJIPDECからの移行を受け付けている。もちろん新規登録も可能である。
>>JRCA(日本規格協会 品質システム審査員評価登録センター)
>>IRCA(国際審査員登録機構) (日本語ページ)
>>ISO 27001:2005 - IRCA ISMS 審査員のための概説および移行要求事項(pdfファイル)
2006年5月現在においては、JIPDECかIRCAのどちらかに登録申請が可能だ。IRCAでは、「内部監査員」「審査員補」「審査員」「主任審査員」「プリンシパル審査員」と5つの審査員レベルが設けられており、JIPDECとは登録要件も少し異なる。
3年前「特別認定制度」によってISMS審査員の資格を得た者が、更新時期を迎えている。しかし、伸び悩む審査件数により、更新要件をクリアできない者が多く、彼らはIRCAに流れるのではないか、と筆者は予想している。
新規に審査員を取得するには
新規の場合、審査員補からの出発となるが、前述したように、ISMS2.0、ISO27001に関しては、需要と供給とがアンバランスであり、審査実績を積むのは、現状、かなり困難といえる。
また、ISO化により、審査員制度が揺れている現在、慌てて手を出すより、様子見もありではと思う。
しかし、内部統制の強化など、大手を中心として内部監査員を増員中の組織は多い。また、この方面に長けたコンサルタントも不足気味である。
審査員にこだわるか、それともISMSに関わる仕事に携わればと考えるかによって、選択肢は変わってくる。
EDIT
カテゴリ:
トラックバック(0)
このブログ記事を参照しているブログ一覧: 情報セキュリティ監査・審査系資格の取得と効用 ■第3回■ ISO27001化されるISMSで審査員制度も揺れ動く？！「ISMS審査員」(ISO27001審査員)(後編)
このブログ記事に対するトラックバックURL: http://www.eyedo.jp/cgi-bin/mt/mt-tb.cgi/60
コメントする