ISMS（Information Security Management System，情報セキュリティマネジメントシステム）とは、ISO/IEC 27001の規格番号で示される国際標準です。一般的にIT（Information Technology，情報技術）のための標準だと思われがちですが、OT(Operational Technology，制御技術)のセキュリティ強化にも有効です。
Ba10icsでは、工場・プラントなどを対象にISMS認証を取得したいが、それに必要な技術・ノウハウに不安を持つお客様をフルサポートするコンサルティングサービスを提供しています。
担当するコンサルタントは、実際に数多くのISMS認証審査をしているISMS主任審査員です。
なぜOTでISMS認証を求めるのか
ISMS認証とは
ISMSとは、ISO/IEC 27001の規格番号で示される国際標準です。一般的に情報システムなどを対象にした、情報セキュリティ管理のデファクトスタンダードとして広く用いられています。情報セキュリティに関する企業の運用ルール（取り組み）を整備する際に、ISMSが求める要件（要求事項）に従ってセキュリティ管理や対策を実施するのです。
ISMS認証とは、こうした企業の取り組みがISMSの要求事項に適合しているかを、利害関係のない独立した外部の第三者機関が審査して証明する仕組みです。
ISMS認証を求める理由
ISMS認証を受ける範囲（適用範囲や認証範囲）としては、業務系のサーバやパソコンを利用する部門などに対象を限定していることが多いはずです。つまり、OTの環境を適用範囲に入れていないことがほとんどです。OTでは、機密性よりも可用性を重視し、アカウント管理やマルウェア対策などもITとは大きく仕組みが異なる特性があるからです。
しかしながら、これらOT環境をISMSの認証範囲に含める（認証範囲を拡大する）ケースが近年増えています。
その理由としては
- OTがサイバー攻撃を受ける盲点になりやすい（OTを狙ったサイバー攻撃の増加など）
- OTを例外的（対象外）に扱うことに限界がある（ガバナンスやコンプライアンス強化の面から）
- 国際的なセキュリティ要求の高まり（自動車業界におけるTISAX認証など）
などがあげられます。
Ba10icsのコンサルティングサービス
ISMS認証取得コンサルティング for OT
Ba10icsでは、OTセキュリティのコンサルティングから培ったノウハウと、実際にISMS主任審査員として数多くの認証審査を手掛けているコンサルタントの経験を活かし、OT環境を含めたISMS認証の適用拡大を支援しています。コンサルティングでは、お客様の現状を踏まえ
- 既設ISMSドキュメント類の改定（IT環境の社内規程をOT環境に適用するためのドキュメント修正）
- リスクアセスメントや内部監査の実施（分析作業のファシリテータや内部監査員としての役割）
- 教育の実施（現場作業員に対する自覚教育や内部監査員への専門教育）
などをサポートします。
ITを含めた認証取得の支援が可能
新規にISMS認証を取得したい場合、ITだけでなくOTも含めてISMSの仕組みを構築することも考えられます。一般的なISMS認証取得のコンサルティングサービスでは、ITセキュリティを専門にするコンサルタントが対応することがほとんどです。Ba10icsでは、ITとOTの両方に詳しいコンサルタントがサポートしますので、全体で統制のとれたISMSの構築が可能です。
よくある質問（FAQ）
ITのISMS文書を参考にしつつ、OTに適した形で新規にドキュメント類を作成するなどの支援が可能です。
ISMS内部監査員として、ISMSの既存ドキュメント類を基準にした内部監査の実施支援が可能です。内部監査の対象範囲に応じた内部監査計画書を作成し、内部監査を実施した後に内部監査チェックリストや内部監査報告書などを提出します。
もちろん支援が可能です。当社のコンサルタントは、SecureNaviで構築・運用しているISMSに対して、認証審査の経験を持ちます。そうしたサービス・ツールをどのようにOT環境で活用すべきか、適切なアドバイスが行えます。
