1 現状の把握

組織が抱えている課題や利害関係者からのニーズを把握します。

2 適用範囲の決定

1をふまえてISMSを適用する範囲を決定します。

3 方針の決定

情報セキュリティ分野での取組方針を策定します。

4 現状の把握2

組織が保有している資産を把握します。なお、規格要求ではありませんが、この段階で業務プロセスを洗い出す組織もあります。このあたりのアプローチは様々です。

5 リスクアセスメント

リスクや機会を特定、評価したうえで対応を検討します。

6 リスク対応計画の策定、目標設定

リスク対応検討結果をふまえてリスク対応計画を策定し、計画の遂行を開始します。

また、リスクアセスメント結果をふまえて、目標を設定します。

7 文書類の作成

必須文書を作成します。また、リスクアセスメントの結果等から作成すべき文書を検討し、作成します。

この中で、各種規程や記録の様式を作成することになり、ISMSの形となります。

8 周知、運用開始

構築されたISMSの内容を周知し、運用を開始します。運用の中で、様々な記録を取得していくことになります。

代表的な運用イベントとしては、

• 教育
• 内部監査
• マネジメントレビュー

などがあります。

なお、一般的には第2段階審査までに3ヶ月程度の運用期間を要求されます。

9 審査申請

通常は、審査を受審したい時期の3~4カ月前に審査機関に審査申請することになります。

10 審査受審

2段階審査を受審し、不適合の指摘があれば是正し、報告する必要があります。