箇条9 パフォーマンス評価｜監視・測定・内部監査

ISMSの構築スケジュールで最も逆算を間違えやすいのが箇条9です。規程と適用宣言書が揃った時点で「あとは審査を受けるだけ」と考えてしまいがちですが、認証を受けるには内部監査とマネジメントレビューを実際に1周実施した記録が必要になります。文書だけ揃えて審査に臨むことはできません。

しかも箇条9は、作業の順番に依存関係があります。監視・測定の結果がなければ内部監査で確認できることが限られ、内部監査の結果がなければマネジメントレビューのインプットが埋まりません。ここを直列で3つこなす時間を、審査日から逆算して確保しておく必要があります。

本記事は、**箇条9（パフォーマンス評価）**が求める3つの活動を、設計の判断ポイントと審査での見られ方に分けて整理したものです。とくに「何を測るか」と「内部監査の独立性」は、少人数組織でつまずきやすい論点として詳しく扱います。

免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の運用判断はそれらに基づいて行ってください。

箇条9が求めていること

箇条9は3つの項目に分かれます。評価の粒度が段階的に粗くなり、意思決定者が上がっていく構造だと捉えると分かりやすくなります。

項番	何をするか	誰が主体か	出てくるもの
9.1 監視、測定、分析及び評価	決めた指標を継続的に測り、結果を分析・評価する	運用の担当部門	測定結果と評価コメント
9.2 内部監査	ISMSが規格要求と自社ルールに適合し、有効に実施・維持されているかを監査する	監査員（被監査部門から独立）	内部監査報告書、不適合・観察事項
9.3 マネジメントレビュー	上記を含むインプットをもとに、経営層がISMSの適切性・妥当性・有効性を評価する	トップマネジメント	改善の機会、ISMS変更の決定

箇条8で実行した結果を箇条9で点検し、そこで見つかった不適合を箇条10で直す。この連結がPDCAのC→Aにあたります。前段の箇条は箇条4｜組織の状況、箇条5 リーダーシップ、箇条6 計画、箇条7 支援、箇条8 運用をご覧ください。全体像は ISMS（ISO/IEC 27001）とはにあります。

9.1 — 何を、どう、いつ、誰が

9.1 は、監視・測定について次の点を決めて文書化することを求めています。

何を監視・測定するか（ISMSプロセスと管理策のうち、どれを対象とするか）
どのような方法で行うか。その方法は比較可能で再現可能な結果を生むものであること
いつ実施するか
誰が実施するか
結果をいつ・誰が分析し評価するか

見落とされやすいのは最後の項目です。測定する人と評価する人を分けて書いておかないと、「数字は集めたが誰も見ていない」状態になります。

9.2 — 内部監査の独立性

内部監査は、ISMSが①規格の要求事項と自社で決めた要求事項に適合しているか、②有効に実施され維持されているかの両方を確認する活動です。ここで求められる中核が、監査員の客観性と公平性、すなわち自らの業務を自分で監査しないことです。

また、内部監査は単発ではなく監査プログラムとして計画します。頻度、方法、責任、計画策定の要求事項、報告のしかたを定め、その際に対象プロセスの重要性と前回までの監査結果を考慮します。

9.3 — マネジメントレビューのインプット

マネジメントレビューは、あらかじめ定めた間隔でトップマネジメントが実施します。インプットに含めるべき項目が規格で列挙されており、ここを1つでも落とすと不適合になりやすいのが実務上の特徴です。項目は後述の表で整理します。

実務で作る成果物

項番	作るもの	作り方の要点
9.1	監視・測定計画（対象・方法・頻度・実施者・評価者）	情報セキュリティ目的と1対1で対応させる。目的ごとに測定方法が決まっていない状態を作らない
9.1	測定結果の記録と評価コメント	数値だけ残さず、「基準に対してどうだったか」の判断を1行添える
9.2	内部監査プログラム（年間計画）	対象範囲、頻度、監査員の割当て、独立性の確保方法を明記
9.2	監査チェックリスト	規格の箇条と適用宣言書の管理策を網羅。使い回しでよいが、前年の指摘を追加する
9.2	内部監査報告書	適合事項も書く。不適合は事実・根拠・該当要求を明記し、是正処置へ引き渡す
9.3	マネジメントレビュー議事録	インプット項目ごとに記載欄を持つ様式にする。出席者と決定事項を明確に

実務の進め方は内部監査の進め方｜計画・チェックリスト・報告、マネジメントレビューの進め方と議事録で詳しく扱います。

測れない目的は立てない

箇条6で立てる情報セキュリティ目的と、箇条9で測る指標はセットで設計するのが原則です。目的を先に決めてから測定方法を後付けしようとすると、必ず測れない目的が残ります。

悪い目的	なぜ測れないか	測れる形への書き換え
従業員のセキュリティ意識を向上させる	「意識」を観測する方法がない	年次教育の受講率100%、理解度テスト80点以上の達成率95%
インシデントをゼロにする	起きなかったことが成果か偶然か区別できない。報告を抑制する副作用もある	インシデント検知から一次報告までの時間を平均2時間以内
セキュリティを強化する	対象も水準も不明	重大・高リスクの脆弱性を検知から14日以内に是正する割合90%以上
委託先を適切に管理する	「適切」の判定基準がない	委託先チェックシートの年次回収率100%、期限超過0件

指標は「頑張れば達成できる」水準に置くのが実務的です。 未達が続く指標を掲げ続けると、マネジメントレビューで毎回同じ説明をすることになり、かえって改善が止まります。目的とKPIの設計は情報セキュリティ目的とKPIの立て方をご覧ください。

つまずきやすい点

1. 少人数組織で内部監査の独立性が確保できない

20〜30名規模では、情報システムを担当している人がISMS事務局も兼ねていることがほとんどです。この人が自部門を監査すれば独立性を満たしません。

現実的な選択肢は3つあります。

方法	成立条件	注意点
部門をたすき掛けする	監査可能な独立部門が2つ以上ある	相互に甘くなりやすい。チェックリストを厳格にする
経営層・管理部門が監査する	監査対象の業務に関与していない	技術領域の監査深度が浅くなりがち。技術部分は外部と併用する
外部の監査員を使う	予算が確保できる	内部監査責任者も外部に置けるかを確認する

規格が社内選任を求めるのはトップマネジメントとISMS責任者・担当者であり、内部監査責任者・内部監査員は外部に委託できます。少人数組織ではここを外に出すのが最も現実的です。組織規模別の考え方は少人数組織のISMS で扱っています。

2. 内部監査が「書類の存在確認」で終わる

チェックリストに「規程がある／ない」だけを並べると、監査は30分で終わり、不適合はゼロになります。しかしそれは有効性を確認したことになりません。

有効性を見るには、記録を1件サンプリングして追う必要があります。「アクセス権限付与の申請を3件見せてください。承認者は誰で、退職者の権限はいつ削除されましたか」——この深さまで入ると、実態との乖離が見えます。

3. 内部監査で不適合ゼロになる

初回の内部監査で不適合が1件も出ない組織は、審査で「内部監査が機能していない」と指摘されることがあります。構築直後のISMSに不備がないことは、通常はあり得ないためです。

不適合を出すことは内部監査の失敗ではなく、成果です。 見つけて是正した記録があることが、仕組みが回っている証拠になります。

4. マネジメントレビューのインプットが抜ける

規格が求めるインプット項目は多く、議事録の様式に欄を作っていないと必ず漏れます。次の表を様式のひな形にしてください。

インプット項目	典型的な記載内容	抜けやすさ
前回のレビューで決めた事項の状況	決定事項の実施状況と未完了の理由	中
ISMSに関連する外部・内部の課題の変化	事業の変化、法令・ガイドラインの改定、組織変更	高
利害関係者のニーズ及び期待の変化	顧客要求、委託元の要請、規制当局の動向	最も高い（2022年版で明示）
不適合と是正処置の状況	内部監査・外部審査・インシデント由来の件数と処置状況	低
監視及び測定の結果	9.1 で設定した指標の実績	低
監査結果	内部監査、外部審査（サーベイランス等）の結果	低
情報セキュリティ目的の達成度	目的ごとの達成／未達と要因	中
利害関係者からのフィードバック	顧客の指摘、チェックシート回答での照会	高
リスクアセスメントの結果とリスク対応計画の状況	最新のリスク評価と残存リスク、対応の進捗	中
継続的改善の機会	改善提案、次期の重点	中

出力側も忘れないでください。 マネジメントレビューのアウトプットは、継続的改善の機会と、ISMSの変更の必要性に関する決定です。「報告を受けた」だけで決定事項がない議事録は、レビューになっていないと判断されます。

5. 順番と時期の設計を間違える

内部監査を審査の直前にやると、不適合の是正が間に合いません。かといって早すぎると、監査後に導入した変更が未検証のまま審査に入ります。

実務では、2次審査の6〜8週間前に内部監査、その2〜3週間後にマネジメントレビューという配置が扱いやすくなります。是正処置の実施と有効性確認の時間を挟めるためです。スケジュール全体は ISMS取得にかかる期間｜6か月スケジュールの実際をご覧ください。

審査で見られること

見られる観点	典型的な確認のされ方	準備
測定の設計	「この指標はどういう方法で測っていますか。誰が計算しても同じ結果になりますか」	測定方法を手順として書いておく。集計元データを示せるようにする
目的との対応	「情報セキュリティ目的のうち、この項目の実績はどこで見られますか」	目的管理表と測定結果を相互参照させる
監査員の独立性	「この監査員は監査対象部門の業務に関与していませんか」	監査プログラムに独立性の確保方法を書く。外部委託なら契約書を示す
監査の網羅性	「適用宣言書で適用とした管理策は、どの回で監査されますか」	年間または3年サイクルでの網羅計画を示す
監査の深さ	「この指摘はどのエビデンスから導かれましたか」	報告書に確認した記録の識別情報を残す
レビューの実施主体	「トップマネジメントは出席していますか」	出席者に経営層が含まれる議事録にする。欠席なら代替の関与を示す
レビューの決定事項	「このレビューで決まったことは何ですか。実施されましたか」	決定事項を番号付きで残し、次回に状況を報告する

1次審査では計画と様式が、2次審査では実施記録と深さが見られます。詳細は 1次審査（文書審査）で見られること、2次審査（実地審査）で見られること、よくある指摘は審査でよくある不適合と対策にまとめています。

ヘルスケア企業での具体例

測定対象に医療情報固有の指標を入れる

ヘルスケア企業では、一般的なIT指標に加えて医療情報の取扱いに直結する指標を置くと、取引先への説明にそのまま使えます。

指標の例	測定方法	頻度
医療情報を扱う本番環境への特権アクセス件数と承認率	IdPまたは踏み台のログ集計	月次
顧客医療機関からのセキュリティ照会への回答期限遵守率	照会管理表	四半期
委託先（クラウド・保守）の年次評価完了率	委託先一覧	年次
バックアップからの復元テスト成功率	復元テスト記録	半期
重大・高リスク脆弱性の14日以内是正率	脆弱性管理ツール	月次

内部監査の対象に3省2ガイドライン対応を含める

医療機関との取引がある場合、ISMSの内部監査とガイドライン対応の点検を別々に実施すると工数が二重になります。監査チェックリストにガイドライン由来の確認項目を統合しておくと、1回の監査で双方の証跡が取れます。統合の考え方は ISMS文書と3省2ガイドライン対応文書の統合、ガイドライン自体の要点は 3省2ガイドラインとはをご覧ください。

マネジメントレビューに顧客医療機関からの要求変化を入れる

「利害関係者のニーズ及び期待の変化」は最も漏れやすい項目ですが、ヘルスケア企業には具体的な材料があります。顧客医療機関から届いたセキュリティチェックシートの設問の変化、調達仕様に追加された要件、医療機関側の監査での指摘。これらはそのままインプットになります。医療機関側の視点はベンダーへのセキュリティチェックシートが参考になります。

ログレビューを指標化する

医療情報システムではアクセスログの点検が重要ですが、「ログを取得している」ことと「点検している」ことは別です。点検の実施率を9.1の指標に含めると、運用が形骸化しにくくなります。医療機関側の実務は電子カルテのアクセスログ点検で扱っています。

まとめ

箇条9について押さえるべき点は次のとおりです。

認証には内部監査とマネジメントレビューを1周実施した記録が必要。文書だけでは審査を受けられない
9.1 は「何を・どう・いつ・誰が」に加えて結果を誰がいつ評価するかまで決める。測る人と見る人を分けて書く
測れない目的は立てない。 目的と測定方法はセットで設計する
内部監査は自らの業務を自分で監査しないことが核。少人数組織では監査責任者・監査員を外部に委託できる
内部監査で不適合が出るのは成果。ゼロが続く方が審査で疑われる
マネジメントレビューはインプット項目を様式の欄にする。とくに「利害関係者のニーズ及び期待の変化」が漏れやすい
2次審査の6〜8週間前に内部監査を置き、是正と有効性確認の時間を確保する

ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。測定指標の設計、内部監査プログラムの策定からマネジメントレビューの進行まで一貫して支援でき、内部監査責任者・内部監査員を当社が担うことも可能です。独立性の確保に悩む少人数組織ほど効果があります。

支援内容と料金は ISMS認証取得支援サービスをご覧ください。個別のご相談はお問い合わせから承ります。

参考・出典

※規格の要求事項の解釈および認証の取扱いは、規格本文と認定機関・審査機関の公表資料をご確認ください。審査での確認方法は審査機関・審査員により異なります。