ISMSの審査で聞かれる質問とは？インタビュー対象別に内容と対策を解説

ISMSの取得を検討している場合や準備を進めている際には、審査でどのような質問があるか気になるものではないでしょうか。あらかじめ聞かれる可能性の高い質問がわかっていれば、システム構築や審査の対策に役立てることができるでしょう。

この記事では、ISMSの審査で聞かれる質問についてまとめます。誰に対する質問かに分けて解説するほか、不適合の例や準備のポイントについても説明します。新規の取得を検討中、あるいはすでに準備中の企業ご担当者様は参考にしてみてください。

ISMS審査でよく聞かれる質問と回答のポイント【対象者別】

ISMSの新規取得のための審査では、構築したシステムの適合性が重視されます。
審査までに以下の質問に答えられるようになっていることがインタビュー対策のゴールと言えるでしょう。

トップマネジメント、ISMSの担当者、現場の作業担当者それぞれに対してよく聞かれる質問に分けて解説します。

以下の記事も参考になります。
ISMS認証基準とは？定義と内容を解説 – ジーサーティ・ジャパン

トップマネジメント

トップマネジメントに対しては、「関与しているか」「理解しているか」「意思決定しているか」を確認する質問が多くなされます。
模範解答を暗記しておくような対策は不要です。答える際は、背景を理解して自分の言葉で語れるかが重要です。

目的や目標など全体の理解、マネジメントレビューが機能しているかなどを確認するための質問が多い傾向があります。
質問例をいくつか挙げてみましょう。

回答のポイントは、報告を受けていることや自ら判断して指示していることが伝わるように答えることです。自社の事業や対顧客など経営の視点が入るとさらによいでしょう。

ISMSの担当者

ISMSの担当者には、「仕組みを理解しているか」「運用できているか」「記録が残っているか」が確認されます。
システムの実態に問題がないこと、証拠となる記録を提示できることが求められます。

質問の内容で多いのは、リスクアセスメント、情報資産の管理、内部監査、インシデント対応などです。
エビデンスとなる記録もすぐ示せるかも問われると心得ましょう。詳細を質問されるため、時間も長くなる傾向があります。

質問例は以下の通りです。

回答のポイントは、記録・手順・実績の具体的な中身まで答えられるようにしておき、「リスク管理台帳」「内部監査報告書」などの記録もすぐ示せるようにしておくことです。「記録をすぐ示せる＝普段から使っている」というサインになり、適切に運用しているアピールにつながります。

現場の作業担当者

現場の作業担当者は、「現場にルールが浸透し理解されているか」を確認する質問が多く聞かれます。
表現が多少不正確でもよいので、運用されているという実態が答えから伝わることが重要です。

情報セキュリティ方針の理解、インシデント発生時の対応、クリアデスク・クリアスクリーン、教育・訓練の状況などの質問に答えられるようにしておきましょう。

具体的な質問例をいくつか挙げます。

質問には、普段から実行していることが伝わるように答えます。
たとえば、実際に使っているものを示す（引き出しのカギ、使っているPCのロック機能など）と運用しているという事実が明確に伝わります。
また「わからない」は必ずしもNGではありません。次に解説します。

審査員が求める回答レベルの基準とは

どの立場の人であっても、完璧に答える必要はありません。ルールの理解と運用、その記録が示せれば多少不正確な言い方でも問題ありません。

また回答者により求められる深さが異なります。

なお「わからない」は必ずしもNGではなく、「確認します」でその場でルールを参照できるならOKです。システムが機能している証拠にもなります。むしろあいまいな回答は信頼感を下げるため、率直に答えましょう。ただしもちろんすべてわからないのは問題です。基本的には一通り答えられるようにしておく必要があります。

不適合を防ぐために｜よくある事例と準備のポイント

次に、不適合を防ぐ対策として、よくある事例と準備のポイントについて解説します。新規取得時に問題となる点が中心です。

不適合の是正措置については、以下の記事で詳しく解説しています。
ISOで求められる是正処置とは？ – ジーサーティ・ジャパン

よくある不適合の事例

新規取得の場合によくある不適合の事例としては、仕組みに不十分な点がある、規格と整合性がない／不十分である、などが挙げられます。
具体的には、ISMSの適用範囲の業務があいまいである、リスク対策の範囲が適用範囲と合っていないといった例が多く見られます。

またISMSの審査までにPDCAを最低1巡させていることが不可欠ですが、改善が確認できないこともよくある不適合のパターンです。
ISMSの構築・運用の各段階の例としては、以下が挙げられます。

改善が確認できない例としては、上記の「A」を行っていないほか、マネジメントレビューの指示にどう対応したか記録がないといったケースです。

審査前に行う準備のポイント

準備の基本は、ルールと運用を一致させ、記録で確認できる状態にしておくことです。
要はシステムが機能している状態にすることだと言えます。

初回審査の場合は、ルールに不十分な点がないように注意しましょう。
リスクマネジメントなど、テンプレートのままで自社に合わない内容になっていないか確認しておくことが大切です。
コンサルタントにサポート／チェックしてもらうのが現実的ですが、コンサルタントが見逃す可能性もゼロではありません。自社でも確認しましょう。

また、日常的に運用上必要な記録はもれなく作成するようにしましょう。直前にあわてて補完すると内容に矛盾が生じることもあります。

初回取得・サーベイランス・更新審査で質問内容は変わる？

初回審査ではルールが規格に適合しているかが問われる一方で、維持審査・更新審査ではルールが形骸化せず改善されているかが主に問われます。

そのため重要となる点としては、リスク評価などの変更点を答えられるか、インシデントへの対応内容の記録があるか、ルール通り運用されている記録があるかなどが挙げられます。質問は、リスクアセスメント、教育・周知、現場のルール順守などに関して多く問われます。

更新審査については以下の記事で詳しく解説しています。
「ISO認証の更新とは？期間と維持審査・更新審査の流れをまとめて解説」

また求められるリスクアセスメントについては以下の記事が参考になります。
ISMSにおけるリスクアセスメントとは？情報セキュリティ対策を具体的に解説 – ジーサーティ・ジャパン

まとめ

ISMSの審査では、インタビューの対象ごとに質問される内容が異なります。
どの立場にあっても、模範解答的な答えは必要ありません。その代わり、問題なく運用されていることが伝わるように答えましょう。そのためには、当然ながらふだんからルールに従って運用することが大切です。

もしも審査について不安な点やご相談などおありでしたら、どんな小さなことでも構いませんのでお気軽に私どもジーサーティーにご連絡ください。