ISMS の担当者が代わるときのアカウントと権限の引き継ぎ

ISMS の管理責任者や事務局が代わるときの作業は、3 つに分かれます。1 つ目は、経営者が後任に役割を割り当て直し、社内に伝えることです。2 つ目は、後任に管理者権限を付け、前任者が知っている共有パスワードを変えてから、前任者の権限を外すことです。3 つ目は、その経過を記録に残すことです。審査では、規格が文書で残すよう明記している記録と、アカウントの管理の記録をあわせて示します。ISMS の仕組みそのものは ISMS とはにまとめています。

担当の交代は規格のどこに関わるか

ISMS の規格の日本語版は、ISO/IEC 27001:2022 を訳した JIS Q 27001:2023 です(2025 年に追補 1 が出て、いまは JIS Q 27001:2025)。その 5.3 は、トップマネジメント(組織をいちばん上で指揮する経営者)に、役割ごとの責任と権限を割り当てて社内に伝えるよう求めています。

JIPDEC の ISMS ユーザーズガイドによれば、5.3 の a) と b) は、割り当てる役割として次の 2 つを挙げています。1 つは「ISMS が，この規格の要求事項に適合することを確実にする」ことで、規格どおりに ISMS が動くようにする役です。もう 1 つは「ISMS のパフォーマンスをトップマネジメントに報告する」ことで、ISMS がうまく働いているかを経営者に報告する役です。管理責任者や事務局にこの 2 つを任せている組織では、担当の交代は担当者どうしの引き継ぎでは終わりません。経営者が割り当てをやり直す手続きになります。

6.3(変更の計画策定)は、ISMS を変える必要があると決めたときは計画的に変えるよう求めています。ユーザーズガイドは、組織の内部で起きる変化の例として「情報を取り扱う人員の変更」を挙げています。何を、いつまでに、誰から誰へ移すかを先に決めてから進めれば、この箇条に沿った進め方になります。

7.2(力量)は、役割を担う人に必要な力量(知識や技能)を決め、その証拠を文書で残すよう求めています。後任が受けた教育や、持っている資格の記録がこれにあたります。

前任者が持っているものを書き出す

引き継ぎは、前任者が持っているものの一覧から始めます。事務局の担当者が、ISMS の文書を置く場所や社内のサービスの管理者権限を持ち、共有アカウントのパスワードも知っている運用は珍しくないでしょう。一覧がなければ、外し忘れに気づく手段がありません。

日本規格協会が公開している JIS Q 27002:2024 の目次の名称から読むと、書き出すものは次の管理策(規格の末尾の附属書 A に並ぶ対策の項目)に関わります。管理策ごとの読み替えと、規格の本文が有料であることは ISO/IEC 27001:2022 のアクセス制御の管理策を SaaS に当てはめるに書きました。

• 社内のサービスや ISMS の文書置き場の管理者権限は、8.2 特権的アクセス権に関わります。
• 個々のサービスを使う権限は、5.18 アクセス権に関わります。
• 前任者が知っているパスワードと、二段階認証の登録先は、5.17 認証情報に関わります。
• 資産の一覧で前任者が管理する人として書かれている箇所は、5.9 情報及びその他の関連資産の目録に関わります。
• 役割と担当者の一覧は、5.2 情報セキュリティの役割及び責任に関わります。

移す順番

順番を誤ると、管理者がいないサービスや、辞めた人が入れるサービスが残ります。次の順で進めます。

1. 経営者が後任を任命し、社内に知らせます。5.3 の割り当てと伝達にあたる手続きで、ここが交代の起点になります。
2. 前任者が持っているものの一覧を作り、前任者に確かめてもらいます。前任者しか知らないアカウントは、本人に聞かないと一覧に出てこないからです。
3. 後任に管理者権限を付けます。前任者の権限を先に外すと、設定を変えられる人がいないサービスが残るからです。
4. 前任者が知っている共有パスワードを変え、二段階認証のコードの送り先を後任に替えます。権限を外しても、パスワードを知っていれば共有アカウントには入れるからです。この作業が人の出入りのたびに重なる問題は、退職者が出るたびにパスワードを変える運用の限界で扱っています。
5. 前任者の管理者権限とアクセス権を外します。IPA の内部不正防止ガイドライン(第 5 版)は、異動や退職で要らなくなった利用者 ID とアクセス権を「ただちに削除しなければならない」としています。同じ項の注では、ID を消すと操作の記録まで消える場合は、ID を使えない状態にして記録を残すよう求めています。
6. 役割と担当者の一覧、資産の一覧、社内外の連絡先を書き換えます。一覧が古いままだと、次の交代のときに同じ書き出しを最初からやり直すことになるからです。

前任者が別の部署へ移るだけの場合も、5 は省けません。上に引いた IPA の項は、削除の対象に退職だけでなく異動も挙げています。規格の管理策では、異動した人の権限は 5.18 アクセス権に関わります。

管理者権限を 1 人に集めない工夫も、交代の機会に検討できます。IPA のガイドラインは、システム管理者を複数任命して互いの作業を確かめられるようにすることが望ましいとしています。管理者が 2 人いれば、どちらかが代わっても管理者がいない期間は生まれません。管理者権限の考え方は特権 ID とはにあります。

審査で示すもの

JIPDEC のユーザーズガイドは、規格が「文書化した情報」を明記している箇所を一覧にしています。交代に関わる記録を、その一覧に入っているかどうかで分けると次のようになります。

明記がない項目も、組織が必要と決めた記録は ISMS の文書に含まれます(7.5.1)。任命の記録を残しておけば、5.3 の割り当てと伝達をしたことを、審査員に書面で示せます。

マネジメントレビューは、経営者が ISMS を定期的に見直す場です。そこでは、ISMS に関わる内部の課題の変化を扱います。ユーザーズガイドは、その例として組織の変化を含めています。交代を次のレビューで報告すれば、交代の事実と経営者の判断が、9.3 の記録の中に残ります。

担当者の交代を認証機関に知らせる必要があるかは、認証機関との契約で確かめます。交代が決まった時点で契約と規程を見て、分からなければ認証機関に問い合わせます。JIPDEC の FAQ は、会社名や組織名の単純な変更なら登録内容の変更手続きで認証が引き継がれるとしています。そのうえで、合併や組織の変更で運営の体制や適用範囲(ISMS の対象にした部署や業務)が大きく変わる場合は臨時の審査がありうるので、認証機関に問い合わせるよう書いています。届け出の要否は、認証機関との契約と規程で確かめます。