ISO/IEC 27001の認証取得を検討し始めた企業が最初に直面するのは、「現状の体制がどの程度要求事項を満たしているか」という問いです。この問いに答えるのがギャップ分析です。Crystal RavenのISMS支援のご相談では、まずこのギャップ分析から始めることをご案内しています。
01 ギャップ分析とは何か
ギャップ分析とは、ISO/IEC 27001の要求事項と、現在の自社の情報セキュリティ体制・文書・運用を照らし合わせ、不足している部分を特定する作業です。認証取得に向けたロードマップを作成するための出発点になります。
ギャップ分析の結果は、「文書が存在しない」「文書はあるが運用されていない」「運用されているが記録がない」という3つのレベルで整理することが多いです。それぞれ対処の方法が異なるため、レベルの区別が重要です。
02 よく見つかる不備のパターン
リスクアセスメントの記録が形式的すぎるケースは非常に多いです。「リスクを特定した」という記録はあるが、リスクの評価基準や対応方針が具体的に記載されていないと、審査員から追加説明を求められます。
- 適用宣言書（SoA）が最新のシステム構成を反映していない
- 内部監査の記録に発見事項と是正措置が記載されていない
- インシデント対応手順書が存在するが、従業員に周知されていない
- サプライヤー管理に関する規程が整備されていない
- 情報資産台帳が最新の状態に保たれていない
03 ギャップ分析の進め方
ギャップ分析は、ISO/IEC 27001の要求事項を項目ごとに確認するチェックリストを使って進めるのが一般的です。ただし、チェックリストへの回答だけでは実態が見えにくいため、担当者へのヒアリングと実際の文書・記録の確認を組み合わせることが重要です。
Crystal Ravenでは、ギャップ分析の結果を「優先度高・中・低」に分類し、認証取得までのスケジュールと合わせてロードマップを作成します。Crystal Ravenの支援の考え方については、会社概要のページをご覧ください。なお、認証の可否を判断するのは審査機関で、Crystal Ravenは認証の取得をお約束するものではありません。
ギャップ分析は、認証取得の準備を始める上での地図です。どこにいるかを正確に把握することが、最短ルートを見つける第一歩になります。