04.2a)

04
04.2
04.2a)

ＩＳＭＳに関連する利害関係者の決定

.*.

 interested parties　：利害関係者

消費者（顧客）、従業員、株主、債権者、仕入先、得意先、地域社会、行政機関など。ステークホルダー（英: stakeholder）に同じ。

従業員には従業員の家族も意識すること。従業員をいい加減に扱う会社は家族から提訴を受ける。株主には上場企業の場合は現在の株式保有者だけでなく投資家まで考慮する必要が有ります。

.*.

04.3 a) 04.1にある外部および内部の課題

04
04.3
04.3a)

a) 4.1にある外部および内部の課題

4.3 情報セキュリティマネジメントシステムの適用範囲の決定

04
04.3

4.2 利害関係者のニーズ及び期待の理解

04
04.2

利害関係者のニーズ及び期待の理解

ニーズと期待が難しい。

契約があるものならそこに規定されている訳だが、単にニーズ期待ではぼんやりとしたものになるだろう。理解する方法論が提供されなければいけない。其の方法論の妥当性が検証されなければいけない。

利害関係者が特定についても同様だ。小規模事業者ならまだ良いとしても大規模事業者となれば適切な方法論が維持されなければ利害関係者は洗いきれないだろう。

4.1 組織及びその連関状況の理解

04
04.1

組織及びその連関状況の理解

Organization⇒組織

Context⇒連関

要求事項「組織の外部･内部の課題を決定すること」

前バージョン8.3予防処置が入る？。

少しニュンスが異なる。

マネジメントシステムは1年サイクルと決まった訳ではないが、多くは1年サイクルで大きなＰＤＣＡを回している。その中でも不適合があれば是正処置、あるいは他山の石でもあれば予防処置を行う。

この4.1の課題の決定が、日々のことなら旧版の8.3を含むといえるが、年度サイクルの作業なら、前年度総括したものが入るだけで緊急的な予防処置は含まれない。油断すると穴が開くので注意することだ。

なお、予防処置は6.1へも反映される。

.*.

課題決定の方法論としては

ＩＳＯ31000の5.3.1を参照することを求めている。

ＩＳＯ31000

.*.

4 組織の状況

4. 組織の状況

旧バージョン4.2.1a)の密度が濃すぎたから丁度よくなった。リスクアセスに関する重複も少し解消されたかもしれない。

• 4.1 組織及びその状況の理解

外部及び内部の課題を決定は、旧バージョンの8.3予防処置と同じな訳はありません。むしろリスクアセスメントの方が近い概念だ。旧バージョン4.2.1a)の事業・組織・所在地・資産・技術の特徴はここに入る。

• 4.2 利害関係者のニーズ及び期待の理解

利害関係者の要求事項を把握。法的、規制要求事項、契約上の義務はステークホルダーの要求事項に含まれることは確実。

• 4.3 情報セキュリティマネジメントシステムの適用範囲の決定

 「4.1」「4.2」を踏まえてＩＳＭＳ適用範囲を決める。管理スパン（責任範囲・権限の範囲・・・）を決める。

• 4.4 情報セキュリティマネジメントシステム

ここはなに。ＩＳＭＳの現状ですか。

***