規程・監査・資産管理

ISMS（情報セキュリティマネジメントシステム）は、情報を守るためのルールを決め（Plan）、実行し（Do）、守られているか確かめ（Check）、直す（Act）をくり返す仕組みです。国際規格 ISO/IEC 27001 の認証を取ると、取引先に「きちんと管理している」ことを示せます。個人情報の管理に絞った国内の制度には、プライバシーマーク（Pマーク）があります。

• 3段の構成：基本方針（なぜ守るか・経営の約束）→ 規程・対策基準（何を守るか。アカウント・端末・情報の区分・委託先など）→ 手順書（どうやるか）。上の段ほど変えにくく、手順書は現場で直しやすくします。
• リスクから決める：どんな情報資産があり、何が起きると困るかを洗い出し（リスクアセスメント）、その対策として管理策を選びます。ISO/IEC 27001 の附属書 A の管理策の一覧を、漏れの確認に使います。
• 実態に合わせる：守れないルールは、作った時点で違反になります。テンプレートをそのまま使わず、実際の運用（MDM で強制している・IdP で棚卸ししている）を書きます。

認証の審査は、初回の審査のあと毎年の維持審査と3年ごとの更新審査があり、社内の担当者による内部監査も行います。

記録は審査の直前に作るのではなく、チケットや棚卸しの結果として日ごろから自然に残る仕組みにしておくと、監査の準備が軽くなります。

IT 資産管理は、会社が持つ IT のもの（端末・ソフトのライセンス・SaaS・アカウント・ネットワーク機器・データ）を台帳で把握することです。何があるか分からないものは守れず、費用のむだも見えません。ISMS の土台でもあります。

台帳は「自動で集まる元の一覧（MDM・IdP）」と定期的に突き合わせ、手で書く項目はできるだけ減らします。

バックアップと復旧（3-2-1 ルール）

BCP（事業継続計画）は、災害や大きな障害のときに、大事な業務をどう続けるかの計画です。業務ごとに、どれくらいの時間で戻すか（RTO）、どこまでのデータの消失なら許せるか（RPO）を決め、それに合わせて IT を準備します。

計画は作って終わりにせず、年に一度は連絡網の確認やバックアップから戻す訓練をして、実際に動くかを確かめます。