いつもご愛読ありがとうございます。
認証パートナーの佐藤です。
普段、お客様のISO27001運用のお手伝いをさせていただく中で、
『ISO27001を新規で取る際に、設備投資ってどれくらい必要なの？』
というお声をいただきます。
実際、ISO27001を取得する際に1年～2年掛けて準備、
主に設備投資を済ませてから取得の審査を受けられる企業様もいらっしゃいます。
ISO27001＝機密情報を保護するための設備投資というと、
鍵付きキャビネットの導入やセキュリティ強化としてカードキーの導入などが挙げられます。
当然ですが、これらは費用が掛かります。
では、ISO27001を取得する上で、こういった設備投資が必ず必要か？
というと、答えは否で必ずしも必要ということではありません。
重要なのは、重要資産を取扱う環境やリスク（危険性）を理解・把握し、
対策を立てていくことです。対策としては、必ずしも費用を掛ける必要はなく、
その時の状況で出来ることを実施していくことで問題ありません。
仮に、出来る限りの対策で不十分であれば、残留リスク（残っているリスク）として
記録していけば良いでしょう。
また、費用を掛けずにリスク（危険性）対策を考えていくことも、
重要資産保護に対する意識を向上させる活動として良いかもしれません。
それでは、引続きどうぞ宜しくお願いいたします。