クラウドセキュリティ新規認証支援

❶現状調査

まず初めに、想定しているISMS-CLS認証取得の範囲（CSC:利用しているクラウドサービス及びCSP：提供しているクラウドサービス）を対象に、JIP-ISMS517-1.0『ISO/IEC 27017に基づくISMSクラウドセキュリティ認証要求事項とISO/IEC 27017 管理策（クラウドセキュリティ対策）に対して、現時点での適用状況を調査します。フィット＆ギャップ分析によって不足している仕組みや対策を洗い出し、効率的で効果的な構築並びに運用の計画を作成することにより業務に密着したスリムなマネジメントシステム構築を目指します。さらに、調査結果を定量的に評価することにより、現状を見える化します。
 

❷クラウドセキュリティ管理基準

ISMS推進マニュアルを補完するクラウドセキュリティ管理基準を提供します。
クラウドセキュリティ管理基準はJIP-ISMS517（クラウド認証要求事項）に準拠した運用を目的としています。

クラウドセキュリティ認証のための導入プロセス
(1)適用範囲を決定します（利用・提供しているサービスの特定）
(2)クラウドサービスの管理体制と役割及び実務管理責任者などを明確にします
(3)サービス担当者によるキックオフミーティングを開催し導入研修を準備します
　 クラウドセキュリティ管理基準は導入研修教材としても使用します
今後開催される担当者によるミーティングを専門部会若しくは情報セキュリティ委員会と呼びます。（基本プランではこの会議による支援を対象とします）
 

❸ISMS-CLS導入研修

クラウドサービス実務管理者や担当者を対象にISMS-CLS（クラウドセキュリティ）導入のために必要な基礎知識を習得することを目的としています。特に、クラウド固有のリスクやクラウドセキュリティの目的や推進方法について正しく理解し認識することを目的としています。

1.クラウドセキュリティとは
2.クラウド固有のリスク
3.ISO/IEC 27017の構造（ISMSとの関係）
4.クラウドセキュリティ認証制度

本研修コースは、定期研修コースとしても開催が可能です。リモートでのオープンコースとしても定期的に開催しています。詳しくは、人材育成支援をご覧ください。
 

❹基本支援プラン

毎月定期的に開催する委員会にアドバイザーを派遣

基本契約では毎月2時間の支援を実施します。通常は委員会（情報セキュリティ委員会・専門部会・技術委員会）を計画し、規格解説や実装方法のアドバイス・実装事例の紹介や質疑応答などを実施するとともに、進捗確認も主なミッションです。
開催方法や訪問のみならずリモートでも開催可能です。6ヶ月で認証を目指す場合は、毎月4時間の支援体制を提案しています。

クラウドセキュリティ認証支援基本プラン：月額 49,000円（税別）
・月２時間の委員会に講師・コンサルタント・アドバイザー派遣　40,000円
・一般社団法人マネジメントシステム一般会員（法人）会費　　  　3,000円
・LMS専用コース利用料（文書・様式の取得やリモートレビュー　  3,000円
・SMARTリスクマネジメントシステム利用料　　　　　　　　　　 3,000円
 

❺CLSリスクマネジメント実践

リスクマネジメント実践（ワークショップ）は実務として実施します

リスクベースでクラウドセキュリティ対策を考えることが重要です。「そもそもISMSは，リスクマネジメントプロセスを適用することによって，情報の機密性，完全性及び可用性を維 持し，かつ，リスクを適切に管理しているという信頼を利害関係者に与える。（ISO/IEC 27001:2022 序文）」とされおり、リスクベースのクラウドセキュリティ対策が重要で、リスクマネジメント実践研修を重視しています。

JIP-ISMS517（ISO/IEC 27017に基づくISMSクラウドセキュリティ要求事項）
4.2.1 組織は、次の事項を行う情報セキュリティリスクアセスメントのプロセスを定め、適用しなければならない。
ISMSの適用範囲内におけるクラウドサービスに関する情報の機密性、完全性及び可用性の喪失に伴うリスクを特定するために、情報セキュリティリスクアセスメントのプロセスを適用し、特定されたリスクについてリスク所有者を特定する。
 

❻適用状況の評価（レビュー）支援

CSC（クラウドサービスカスタマ）としての適用状況確認
サービス提供のために利用しているサービスについて、JIS Q 27017:2016 拡張管理策及びCSCに適用される実施の手引きと実施している対策内容を比較して適用状況を評価（レビュー）します。

CSP（クラウドサービスプロバイダ）としての適用状況確認
提供されているサービスについて、JIS Q 27017:2016 拡張管理策及びCSPに適用される実施の手引きと実施している対策内容を比較して適用状況を評価します。適用範囲として複数のサービスを提供されている場合は、サービス毎に調査します。
 

❼ISMS-CLS適用宣言書作成支援

JIP-ISMS517 参考 A.3適用宣言書（SOA : Statement Of Applicability）
ISMSクラウドセキュリティ認証では、JIP-ISMS517 4.2.2 d)に基づき適用宣言書を作成しなければなりません。（左図は適用宣言書の例） ISO/IEC 27017に示す管理策は、クラウドサービスプロバイダ及びカスタマに対する固有の管理策であるため、原則は全ての管理策の評価を実施することとなるが、クラウドサービスの種類によっては、管理策が存在しない場合がある。そのような場合は、管理策を適用除外することができます。

❽ISMS-CLS内部監査支援

◉ISMS-CLS内部監査業務委託（監査チーム派遣）
1.監査プログラム作成支援（監査工数・監査基準・監査目的の明確化）
2.審査員資格を有する監査チームを編成
3.内部監査計画の作成
4.内部監査の実施（監査チェックシート）
5.内部監査報告書作成及び報告会
6.結果分析（分析チャート作成）
7.是正改善提案（要求）書作成
8.是正計画のフォローアップ
◉ISMS-CLS内部監査員育成支援
人材育成支援（内部監査員研修参照）
 

❾ISMS-CLS認証審査対応

ご希望があれば、クラウドセキュリティ認証審査に立ち会います。

MSQAから主任審査員資格を有するコンサルタント・アドバイザーを派遣して、御社のオブザーバーとして審査に参加します。ただし、オブザーバーは直接審査対応（審査員の質問への回答）ができませんので、審査中に困ったことがあった場合に御社の相談役として振る舞います。
審査において軽微な不適合が発見された場合、定められてた期間内に是正計画作成し、提出した上で審査員のフォローアップをうけることで認証決定の推薦を受けることができます。MSQAは、是正計画作成を支援します。