ISMSクラウドセキュリティ認証の審査に関するご質問Q&A

大原則として、マネジメントシステムの審査ではなく、サービスの信頼性の審査となります。

ISMS-ACに認定されている審査機関と、ISMS-ACに認定されていない独自認証の審査機関があります。後者は、一般的に「プライベート認証」と呼ばれています。

1. １．ISMS認証の新規取得のタイミングと同時に受審する
2. ２．ISMS認証の提起審査や再認証審査のタイミングで受審する
3. ３．１や２とは別に臨時で受審する

結論としては、いつでも受審が可能ですが、ISMS認証と同時取得、もしくは事前にISMS認証を取得していることが条件です。

審査機関によって多少表現が違いますが、おおまかには以下のような指摘の種類があります。

1. １．重大な不適合
2. ２．軽微な不適合
3. ３．観察事項
4. ４．改善の機会
5. ５．グッドポイント

以上で、１は例えば「内部監査をしていない」といった致命的な指摘であり、是正が必須です。２は例えば「内部監査記録に不備がある」といった指摘で、これも是正が必須です。

３は、放置しておくと不適合になる可能性がある事項ですが、是正が必須というわけではありません。４は、不適合でも観察事項でもなく、「改善する余地がある」というものですが、改善は必須ではありません。

５は、「よくできている」という賞賛です。審査機関によっては、５が無い場合もありますが、あった方が嬉しいですね。

サービス毎になります。審査料金は、一般的に対象サービスの数で決まります。

可能です。審査機関の許可を得ることができれば承ります。