制度本来の意義に立ち返れ

　多発する個人情報漏えい事件と、来年4月1日の「個人情報保護法」施行を受けて、企業の情報セキュリティ対策への関心が高まってきた。特に第3者機関からの〝お墨付き〟である「情報セキュリティマネジメントシステム（ISMS）適合性評価制度」の認証取得を目指す企業が急速に増えている。顧客や取引先に自社のセキュリティレベルの高さをアピールするためには、ISMS認証のロゴマークが最も有効的というわけだ。だが、知名度が高まりISMS取得企業が急増している一方で、制度の信頼性を疑う声がある。本来共通化されているはずの各審査登録機関の審査レベルにバラツキが生じ始めているというのだ。ISMS認証の取得支援サービスを手がけるコンサルティング会社は、現状をこう説明する。

　「〝なるべく早く、簡単に取得したい〟という顧客が最近は特に増えている。目的はロゴマークの取得だけと、制度本来の意義を無視している企業が多い」。また、「審査登録機関は基準に沿った審査を求められるにも関わらず、ビジネス拡大のために顧客の要望通りに取得のための助言を行ったり、審査を甘くしている場合もあるのではないか。審査登録機関によって審査レベルにバラツキを感じている」とし、「必ずしも一定ではない」と語る。

　「ISMS適合性評価制度」の審査登録機関は現在、企業と財団法人、社団法人を合わせ14社・団体ある。このうち民間企業は8社。審査登録機関は、取得支援のコンサルティングビジネスなどは禁止されており、審査のみがビジネスの範囲。他社との差別化ができないだけに、「甘く審査して、顧客を多く獲得しようとする審査機関が特に民間企業で出てきてもおかしくない」（大手コンサルティング会社）との見方もある。これに対し、ある民間の審査登録機関は、「他の審査機関の状況を知らないので、バラツキがあるかどうかは何とも言えない」としながらも、「審査を散漫にやって、万が一取得を認めた企業が情報漏えいを起こした場合、審査事業を存続させることも難しくなる。正確な審査の徹底が審査登録機関として当然の義務」と、強調する。

　この状況を受けて、7月下旬にISMS認証取得企業であるKDDIやセキュリティ商社のアズジェントなど9社は、「ISMS適合性評価制度」の課題や問題点などを意見交換する場として、「日本ISMSユーザーグループ」を組織した。一方、審査登録機関側は今年1月に、審査基準の再確認や審査能力向上、審査登録機関の信頼性確保のために、「ISMS審査登録機関協議会（JISR）」を設立している。審査登録機関の審査という屋上屋を架すような行為は、信頼性の確保が急務だという証拠だろう。

　2002年4月に本格稼動した「ISMS適合性評価制度」は、昨年7月の段階では認証取得企業および団体は160程度だったが、今年8月中旬には約500まで膨れ上がった。国際的な整合性があり、セキュリティポリシーや情報システムの管理・運用方法、人的セキュリティ対策までを網羅した総合的な情報セキュリティ認証制度であり、今後も取得企業は増える。本来の取得意義を軽視するユーザー企業と、正確な審査基準を徹底しない審査登録機関があるとすれば、日本の情報セキュリティ対策の〝要〟となっている制度であっても、「ISMS取得企業の情報漏えい」が起きてもおかしくはない。(木村剛士●取材／文)