ISMS審査前夜、リスク台帳が笑った

――山崎行政書士事務所事件簿

ISMS審査前夜の会社は、たいてい静かである。

ただし、それは整っているからではない。

全員が、声を出すと何かが崩れる気がしているからだ。

株式会社みなと精密の会議室も、まさにそうだった。

机の上には、情報資産台帳、リスクアセスメント表、適用宣言書、教育記録、内部監査チェックリスト、是正処置票、規程類、手順書、議事録が山のように積まれている。

そして、その山の一番上に、なぜか大きな字でこう書かれたファイルがあった。

おやつ台帳

山崎行政書士事務所のみおは、無言でそのファイルを見つめた。

隣で、さくらが青ざめている。

「……さくらさん」

「はい」

「これは、明日の審査で提出する予定でしたか？」

「い、いえ、その、ファイル名が“台帳”だったので、つい……」

みおはファイルを開いた。

中には、部署ごとのおやつ在庫が完璧に管理されていた。

総務部、チョコレート三袋。開発部、せんべい二十七枚。営業部、なぜか高級羊羹一本。品質保証部、賞味期限切れ寸前のクッキー六枚。

みおは小さく息を吐いた。

「情報資産台帳より更新頻度が高いです」

さくらは震えた。

「それ、褒めていますか？」

「現場運用としては褒めています。ISMSとしては、今すぐ隠しましょう」

会議室の奥では、みなと精密の情報システム担当、飯塚が放心していた。

「終わりました……明日、審査です。もう終わりです。私は審査員に焼かれます」

山崎所長は、差し入れのカステラを手に取りながら言った。

「焼かれる前に、食べて落ち着きましょう」

「先生、今それを食べると、おやつ台帳の在庫が狂います」

さくらが真顔で言った。

山崎はそっとカステラを戻した。

「監査証跡を壊すところだったね」

みおは、情報資産台帳とリスクアセスメント表を左右に並べた。

問題は単純ではなかった。

情報資産台帳には、顧客図面データが「重要度A」と記載されている。ところがリスクアセスメント表では、その図面データが見当たらない。

逆に、リスクアセスメント表には「旧ファイルサーバーのアクセス権限過多」というリスクがある。しかし情報資産台帳には、旧ファイルサーバーが載っていない。

さらに教育記録では、全社員が情報セキュリティ教育を受講済みになっている。しかし、内部監査チェックリストには「派遣社員への教育記録未確認」とある。

そして適用宣言書では、バックアップ管理策を「適用」としている。ところがバックアップ手順書は、二年前の日付で止まっている。

飯塚は頭を抱えた。

「全部、別々には作ったんです。なのに、並べると全部違うんです」

みおは静かに言った。

「それが、ISMSで一番怖い状態です」

「怖い？」

「はい。書類が足りないより、書類同士が別々の世界で生きているほうが怖いです」

山崎がうなずいた。

「台帳が家族会議をしていないわけだ」

さくらが、おやつ台帳を抱えたまま言った。

「おやつ台帳は毎週会議しています」

「それは少し見習いたいですね」

みおはホワイトボードに大きく書いた。

適用範囲情報資産リスク評価管理策教育記録内部監査

「今からやることは、審査前の粉飾ではありません。整合性確認です。まず、適用範囲に入っている業務と部署を確認します」

飯塚が資料を差し出した。

「認証範囲は、本社の設計開発部門と品質保証部門です」

みおは首をかしげた。

「営業部は範囲外ですか？」

「はい。営業は今回外しました」

「では、このリスクアセスメント表にある“営業部持ち出し端末の紛失リスク”は？」

飯塚が固まった。

「……去年の版から残っています」

「では、逆に設計開発部門のクラウド共有フォルダは？」

「それは……情報資産台帳にはあります」

「リスク評価には？」

飯塚は紙をめくった。

「ありません」

みおは赤ペンを置いた。

「リスク台帳が、笑っています」

その言葉に、会議室が凍った。

その瞬間だった。

プリンターが突然動き出した。

誰も印刷していない。

紙が一枚、二枚、三枚と吐き出される。

さくらが悲鳴を上げた。

「リスク台帳が本当に笑った！」

排紙された紙には、なぜか顔文字が印刷されていた。

顧客図面データ：台帳にはいるのに、リスク評価にはいないよ旧ファイルサーバー：リスク評価にはいるのに、台帳にはいないよ教育記録：全員受講済み？　本当に？おやつ台帳：最も成熟した管理プロセスです（笑）

山崎が目を細めた。

「最後の一行、悪意があるね」

飯塚は真っ青になった。

「誰がこんなものを……」

みおは紙を手に取った。

「プリンターのジョブログを見ましょう」

奏汰ほどの技術担当はいなかったが、みおは基本的なログ確認には慣れている。飯塚に管理画面を開いてもらうと、印刷元の端末名が出てきた。

QMS-AUDIT-PC-03

品質保証部の内部監査用PCだった。

飯塚が目を見開いた。

「それ、倉庫にしまってある古いPCです。今日、誰も使っていません」

さくらが震えた。

「やっぱり幽霊……」

山崎が真顔で言った。

「ISMSの幽霊は、なかなか具体的な指摘をするね」

みおは、さらに印刷ジョブの時刻を確認した。

午後七時二分。

その時間、会議室にいたのは、飯塚、総務の村瀬、品質保証の大橋、そして山崎事務所の三人。

倉庫に行った者はいない。

だが、品質保証部長の大橋だけが、そっと目を逸らした。

みおは見逃さなかった。

「大橋部長」

「な、何でしょう」

「内部監査チェックリストを作成したのは、大橋部長ですね」

「はい」

「この“派遣社員への教育記録未確認”という指摘は、なぜ是正処置票に載っていないのですか」

大橋は汗を拭いた。

「それは、軽微な確認漏れで……明日までに口頭で説明すれば」

「口頭で説明できることと、記録があることは違います」

会議室の温度が下がった。

さくらが小さく言った。

「おやつ台帳は、口頭ではなく記録があります」

「さくらさん、今は少し黙りましょう」

「はい」

みおは内部監査チェックリストをめくった。

そこには、いくつかの指摘が鉛筆で薄く消された跡があった。

旧ファイルサーバーの権限過多。クラウド共有フォルダの棚卸し未実施。派遣社員教育記録の不足。バックアップリストアテスト未実施。

すべて、明日の審査で聞かれたら痛い項目だった。

飯塚が震える声で言った。

「大橋さん、これ……」

大橋は顔を赤くした。

「仕方なかったんだ！　明日の審査で不適合が出たら、社長に何を言われるか……」

「だから消したんですか」

みおの声は冷たかった。

大橋は沈黙した。

しかし、その時、再びプリンターが動いた。

紙にはこう印刷されていた。

大橋部長は消していない。消したのは、もっと怖いものです。

全員が紙を見た。

山崎がつぶやいた。

「ずいぶん親切な幽霊だ」

みおは印刷された文面をじっと見た。

そして、ふと気づいた。

句読点の使い方。全角スペースの癖。「もっと怖いものです」という妙な言い回し。

みおはゆっくり振り向いた。

「さくらさん」

「はい？」

「この文章、あなたの書き方に似ています」

さくらの顔が、見事にカレー色になった。

「ち、違います！　私、幽霊じゃありません！」

「それは知っています」

山崎が言った。

「さくらくん、説明してくれるかな」

さくらは、しばらく黙ったあと、おやつ台帳を抱きしめた。

「……私です。印刷したの」

飯塚が叫んだ。

「ええっ！」

「でも、悪意はないんです！　大橋部長が消したんじゃありません。本当に。消されたのは、共有フォルダの自動同期です」

みおの目が変わった。

「どういうことですか」

さくらは、事務所に来る前、みなと精密から送られてきた事前確認資料を見ていた。そこで、同じファイル名なのに中身が違う資料が複数あることに気づいた。

内部監査チェックリスト最新版。内部監査チェックリスト最新版_最終。内部監査チェックリスト最新版_本当の最終。内部監査チェックリスト最新版_審査用。

「それで、どれが本物かわからなくなって……」

山崎がうなずいた。

「人類が何度も敗北してきたファイル名だね」

さくらは続けた。

「品質保証部の古いPCにだけ、削除前のチェックリストが残っていると聞いたので、飯塚さんに頼んで、夕方に確認させてもらったんです。でも、その時、怖くなって。消された指摘を誰かが隠したみたいに見えたから、皆さんに気づいてほしくて……」

「それで幽霊風に印刷した？」

みおが聞く。

さくらは小さくうなずいた。

「普通に言うと、場が重くなると思って」

「今、だいぶ重くなっています」

「すみません……」

みおは深く息を吐いた。

「ただ、さくらさんのおかげで、本当の問題が見えました」

飯塚が顔を上げた。

「本当の問題？」

みおはホワイトボードに新しい文字を書いた。

文書管理の不整合

「大橋部長が隠したというより、複数の部署が別々に更新し、どれが最新版かわからなくなっている。情報資産台帳、リスクアセスメント表、内部監査チェックリスト、適用宣言書が連動していない。これは個人のミスではなく、運用の問題です」

大橋は力なく椅子に座った。

「私は……不適合を隠したつもりはなかった。最新版だと思ったものを審査用に整えただけで」

飯塚が言った。

「でも、結果として指摘が消えていた」

「そうだ」

大橋は頭を下げた。

「すまない」

会議室に、重い沈黙が落ちた。

それを破ったのは、さくらだった。

「おやつ台帳は、最新版が一つだけです」

全員が彼女を見た。

さくらは真剣だった。

「更新者、更新日、在庫数、補充理由が全部あります。勝手にファイル名を変える人もいません。なぜなら、間違えるとおやつがなくなるからです」

山崎がゆっくり手を叩いた。

「真理だね」

みおも、少し笑った。

「ええ。笑い話に聞こえますが、本質です。現場が困るものは、運用が根づく。ISMSの台帳も、“審査のため”ではなく、“現場が困らないため”にする必要があります」

そこから、会議室は戦場になった。

ただし、前向きな戦場だった。

みおは適用範囲を確認した。設計開発部門と品質保証部門に関係する情報資産だけを洗い出し直す。

飯塚は情報資産台帳の古い項目を整理した。旧ファイルサーバーは、まだ参照されていることが判明し、台帳へ戻した。

大橋は内部監査チェックリストの削除前版を復元した。指摘を隠すのではなく、未対応事項として是正計画に載せる。

さくらは、おやつ台帳を参考に、台帳管理ルールの簡易版を作った。

「ファイル名に“最終”を三回つけない」「最新版の置き場を一つにする」「更新者と更新日を必ず残す」「更新理由を書く」「おやつは勝手に食べない」

みおは最後の一行を消そうとした。

さくらが止めた。

「これも統制です」

山崎が言った。

「内部不正対策だね」

みおは諦めて、最後の一行だけ別紙に移した。

午前零時を過ぎた頃、資料はようやく整い始めた。

情報資産台帳には、対象部門の資産が再整理された。リスクアセスメント表には、それぞれの資産に対応するリスクが紐づいた。管理策は、適用宣言書と対応づけられた。教育記録は、正社員と派遣社員を分けて確認された。内部監査チェックリストには、未対応事項が正直に残された。

飯塚は震える声で言った。

「これ、不適合になりますかね」

みおは答えた。

「確認できません。ただ、隠したように見えるより、未対応を把握して是正計画を持っている方が、はるかに説明できます」

山崎が続けた。

「完璧な会社を演じるより、改善できる会社であることを見せる。ISMSは、そのための仕組みです」

さくらは、おやつ台帳を閉じた。

「では、これは審査に出さない方向で」

「当然です」

翌日。

審査員は、静かな人だった。

静かだが、質問は鋭かった。

「情報資産台帳とリスクアセスメントの対応関係を説明してください」

飯塚は一瞬だけ固まったが、みおが前夜に作った対応表を開いた。

「はい。こちらです。昨夜、旧ファイルサーバーとクラウド共有フォルダについて不整合が見つかりました。最新版管理の問題として是正計画に載せています」

審査員は資料を見た。

「不整合を発見した経緯は？」

飯塚は深呼吸した。

「内部監査チェックリストと情報資産台帳の突合です」

さくらが小声で言った。

「あと、おやつ台帳です」

みおが机の下でさくらの靴を軽く踏んだ。

審査員は、ちらりとさくらを見た。

「おやつ台帳？」

会議室が凍った。

山崎が静かに咳払いした。

「現場に根づいた台帳管理の比喩です」

審査員は、わずかに笑った。

「なるほど。比喩としては、悪くありません」

その瞬間、みなと精密の全員が心の中で拍手した。

審査は厳しかった。

派遣社員の教育記録不足は指摘された。バックアップのリストアテスト未実施も確認された。旧ファイルサーバーの扱いも、是正が必要になった。

だが、致命的な崩壊にはならなかった。

理由は一つ。

会社が、問題を問題として認識し、記録し、改善計画を持っていたからだ。

審査終了後、飯塚は会議室の椅子に崩れ落ちた。

「生きてる……」

大橋が隣で言った。

「私もだ……」

さくらは、おやつ台帳を抱えて言った。

「皆さん、クッキー食べますか。賞味期限が今日です」

山崎が手を挙げた。

「いただこう」

みおは笑った。

「その前に、在庫を一つ減らしてください」

さくらは満面の笑みでペンを取った。

「はい。運用します」

その午後、山崎行政書士事務所に戻る車の中で、山崎は言った。

「みおくん、今回は危なかったね」

「はい。でも、良い会社でした」

「なぜ？」

「おやつ台帳が生きていました」

山崎は笑った。

「そこかね」

みおは窓の外を見た。

「はい。現場で本当に使われている台帳には、更新される理由があります。ISMSの台帳も、そうならないといけません。審査のためだけに作った台帳は、すぐ古くなります。でも、現場が困らないための台帳は、ちゃんと息をします」

さくらが後部座席で言った。

「つまり、リスク台帳もおやつ台帳を見習うべきですね」

「一部だけです」

山崎がうなずいた。

「少なくとも、勝手に食べないという管理策は重要だ」

みおは笑った。

審査前夜、リスク台帳は笑った。

でもそれは、会社を馬鹿にして笑ったのではない。

台帳が、こう言っていたのだ。

「私は飾りじゃない。現場で使ってほしい」

情報資産台帳も、リスクアセスメント表も、教育記録も、内部監査チェックリストも、ただの紙ではない。

会社が、自分たちの弱さを見つめ、直し、守り続けるための道具だ。

そして山崎行政書士事務所では、その日の夕方から、新しい内部ルールができた。

おやつ台帳は、ISMS資料棚に置かない。

さくらは少し不満そうだった。

「でも、成熟度は一番高いのに」

みおは赤ペンを置いて言った。

「だからこそ、別格扱いです」

山崎はクッキーを一枚手に取り、真面目な顔で言った。

「この統制は、実においしい」

事務所に、穏やかな笑い声が広がった。