8.1 運用の計画策定及び管理

要求事項

組織は、次に示す事項の実施によって、要求事項を満たすため、及び箇条6で決定した活動を実施するために必要なプロセスを計画し、実施し、かつ、管理しなければならない。

組織は、プロセスが計画どおりに実施されたという確信をもつために必要とされる、文書化した情報を利用可能な状態にしなければならない。

組織は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置を講じなければならない。

組織は、ISMSに関連する、外部から提供されるプロセス、製品又はサービスが管理されていることを確実にしなければならない。

箇条6で計画したリスク及び機会への対処活動、リスクアセスメント、リスク対応を確実に実施し、ISMSの意図した成果を達成するため。

当社では、ISMSの運用に必要なプロセスを以下のとおり計画し、実施している。

プロセス	基準・手順	実施頻度	責任者
リスクアセスメント	14. 情報セキュリティリスクアセスメント	年1回（8月）及び臨時	情報セキュリティ責任者
内部監査	1. 組織的対策	年1回（8月）	監査・点検責任者
マネジメントレビュー	1. 組織的対策	年1回（8月）	情報セキュリティ責任者
インシデント対応	10. インシデント対応及び事業継続管理	随時（発生時）	インシデント対応責任者
教育・訓練	2. 人的対策	入社時及び年1回	教育責任者
アクセス権管理	4. アクセス制御及び認証	随時（イベント駆動）	システム管理者

各プロセスの基準は、対応する規程・手順書に定めており、以下の観点を含む。

計画した変更及び意図しない変更については、6.3 変更の計画策定に基づき管理する。

意図しない変更（インシデント、障害等）が発生した場合は、10. インシデント対応及び事業継続管理に従い、影響を評価し、必要な是正処置を講じる。

当社はクラウドサービスを前提とした事業運営を行っており、外部から提供されるサービスの管理は以下のとおり実施している。

プロセスが計画どおりに実施されたことを示す文書化した情報として、以下を保持している。