ISMS 更新審査の前に、規程と附属書A管理策のギャップを AI に洗い出させてみた

ある企業の情報システム部の ISMS 事務局が、ISO/IEC 27001:2022 への移行審査を前に、情報セキュリティ関連規程群の一斉点検に取りかかりました。確認したいのは、「附属書A の全管理策（A.5 組織的〜A.8 技術的の合計93策）が、自社規程のどこかで手当てされているか」という、一見シンプルな照合作業です。

ところが実際には、2022年版で11の新管理策が追加され、既存の管理策も大幅に再編されています。旧版（2013年版）との番号の対応表を手元に置きながら、規程の条文を1つずつ引っ張ってきて突き合わせる——その作業量は、担当者2名で丸2週間を要するほどの規模でした。

難しい設定は何もしません。「附属書Aの管理策ごとに根拠を示しながらギャップをチェックして」と、普段 ISMS 事務局の内部レポートに書くような言葉で入力しました。すると AI が、確認に必要な4ステップの手順を自動で組み立ててくれます。

プログラミングの知識も、特別なルール設定も不要です。生成された手順は中身を見て修正でき、一度作れば次の定期審査でも同じ観点でそのまま使い回せます。

手順を保存して実行すると、附属書Aの各管理策について、社内規程でどこまで手当てされているかを AI が1つずつ判定します。結果はこの1画面に集約されます。重要なのは、すべての判定に「管理策番号・規程の該当条」という根拠が必ず添うこと。AI の判断を鵜呑みにせず、人が原文で確かめられます。行をタップすると根拠の原文が開きます。

AI が合格と判定した 6 件は、根拠つきなので素通しで確認できます。ISMS 事務局が頭を使うのは、要確認 3 件と不適合 1 件の、合わせて 4 件だけ。事務局担当者は不適合だった管理策を情報システム部に差戻し、手順書・SLA が追記された規程を再実行して、最終的に承認・確定しました。

一連の操作・判断はすべて改ざんできない監査ログに記録されます。「いつ・誰が・どの管理策を・どの根拠で判断したか」が後から完全にたどれるため、更新審査でのエビデンス提出にそのまま活用できます。

目視で丸 2 週間かかっていた管理策の突き合わせが、観点の準備から最終確定まで1日で完了しました。何より、2022年版で要求が明確化された脆弱性管理の漏れを審査前に拾えたことが、事務局にとって最大の成果でした。

今回は ISO/IEC 27001:2022 の附属書A管理策と情報セキュリティ規程群の照合事例でしたが、INDX Compliance の使い方はどれも同じです。「ものさしになる文書（管理策・法令・社内基準）」と「確認したい文書（規程・SoA・手順書）」を渡し、根拠つきで突き合わせる。契約書のレビュー、申請書の不備チェック、ISO 9001 内部監査の事前点検——ルールとの照合が発生するあらゆる業務に、同じ手順がそのまま使えます。