令和５年度中⼩企業サイバー
セキュリティ対策継続支援事業

13-2-5. ISMS：7. 支援

「7. 支援」は、PDCAサイクルの「Plan（計画）」に位置しており、ISMSの運用をサポートするための要求事項が規定されています。

7.1 資源

ISMSのPDCAサイクルを回すために必要な資源を決定し、利用できるようにする必要があります。必要な資源を決定し提供することは、トップマネジメントが行う必要があります。（リーダーシップ及びコミットメントの箇所で要求されています。）

資源の具体例を以下に示します。例を参考に、ISMSのPDCAサイクルを回すために自社で必要となる資源を決定し、利用可能にします。

7.2 力量

ISMS適用範囲の要員に必要な力量（知識、技能など）を明確にし、実際に要員が力量を備えているか評価を行います。力量が不足している場合、力量を身につけるための教育を計画し、実施する必要があります。教育の結果、力量が取得できたかを評価します。

力量確認表の作成方法（例）

要員の力量を評価し、確認するための力量確認表を作成する方法について説明します。
以下は、部門管理者の力量評価の例です。以下の手順で赤文字の箇所を自社の状況に合わせたものに修正することで、自社に適した力量確認表を作成できます。

• 1.各要員ごとに、「組織の役割、責任及び権限」で割り当てられた役割や責任を果たすために必要となる力量を、「必要条件」として定義します。
• 2.責任者として任命できるかどうか判断するための任命基準を定義します。
• 3.定義された力量をどれほど備えているか、評価基準を決めて評価を行います。
• 4.評価の結果、力量が不足している場合は教育・訓練を実施します。
• 5.教育・訓練の実施後、どれほど改善できたか評価を行い、任命基準をもとに責任者として任命できるか判断します。

教育計画書の作成方法（例）

力量評価の結果をもとに、必要な力量を身につけるための教育を計画します。以下の例をもとに、教育計画書の作成方法を説明します。

教育計画書には、以下の内容を含めます。

• 教育目的
  教育を実施する目的を記載します。
• 教育対象者
  教育を受ける対象者を記載します。
• 教育方法
  教育・訓練方法は、集合研修や、職場訓練（OJT）、資格試験の受験、eラーニングなどさまざまあります。必要な力量を身につけるために適切と考えられる方法を選択します。
• 教育内容
  どのような教育を実施するのか、教育内容を記載します。
• 実施期間
  教育を実施する期間を記載します。
• 教育の有効性評価
  必要な力量を身につけることができたか評価する方法を記載します。
  明確に評価が可能であれば、どのような方法でも問題ないです。たとえば、テストやアンケートの実施が挙げられます。次のページでテストの作成方法について説明します。

理解度確認テストの作成方法（例）

教育の実施後、必要な力量を身につけることができたか評価するため、教育内容に関するテストを行うことが有効です。テストは、理解度が点数という数値で可視化されるため、評価がしやすく、多くの企業が実施しています。テストの作成例は以下の通りです。

• テストは、選択問題や正誤形式にすることで採点がしやすくなります。
• 教育内容に合った問題を考え、作成します。たとえば、今回の教育内容に「当社のルールの遵守」が含まれているため、⑥～⑩のような設問を作成します。

教育実施記録の作成方法（例）

教育を実施した際、実施記録を文書化する必要があります。以下の例をもとに、教育実施記録の作成方法を説明します。

教育実施記録には、以下のような内容を含めます。

• 教育の名称
  どのような教育を実施したのか、教育テーマを記載します。
• 実施期間
  教育を実施する期間を記載します。
• 教育方法
  教育・訓練方法は、集合研修や、職場訓練（OJT）、資格試験の受験、eラーニングなどさまざまあります。その中で、実際に実施した方法を記載します。
• 教育の概要
  実施した教育の概要や、教育を実施した目的を記載します。
• 受講対象者・部門
  教育を受講する対象者を記載します。
• 参加者
  教育を実際に受講した者を記載します。以下の例のように、「教育の受講者一覧」を別紙で作成し、実施記録と分けて記載すると分かりやすくなります。

7.3 認識

ISMS適用範囲で働くすべての社員、従業員が情報セキュリティ方針を理解し、それを実現することの重要性を認識する必要があります。逆に、セキュリティ対策を実施せず、セキュリティ方針を実現できなかった場合、どのようなことが起きるのかについて理解する必要もあります。
具体的には、以下の内容について教育を行い、ISMSの重要性を十分理解させる必要があります。

これらの内容について認識を持たせるために、教育や訓練を実施します。
具体的な教育・訓練の実施手順は、「力量」や「コミュニケーション」で説明します。

7.4 コミュニケーション

ISMSのPDCAサイクルを回すためには、内部および外部とのコミュニケーションを円滑に行う必要があります。そのため、組織内および組織外の関係者とコミュニケーションをとる手順などを定め、必要なときに円滑なコミュニケーションが行える体制を整えておくことが重要です。コミュニケーションの手順などには、以下の内容が含まれます。

ISMSに関連するコミュニケーションをとる手順を確立した例を、以下に示します。例を参考に、自社のISMSのPDCAサイクルを回す上で必要なコミュニケーションをとる手順を確立します。

• 内容：コミュニケーションで伝える情報
• 実施時期：伝えるタイミング
• 対象者：誰に伝えるのか、情報を伝える対象者
• 実施者：誰が伝えるのか、情報を対象者に伝える者
• 方法：情報を伝える手段

7.5 文書化した情報

ISMSに必要な文書化した情報の作成、更新、管理方法を決めます。

一般

以下の情報をISMSに含める必要があります。

• ISO/IEC 27001が要求する文書化した情報
• ISMSの有効性のために必要であると組織が判断した文書化した情報

作成および更新

ISMSに必要な文書化した情報を作成・更新する際に、以下の事項を確実にする必要があります。

文書化した情報の管理

ISMSの文書化した情報を管理する必要があります。