保管対象に情報資産が含まれておらず、施錠が任意運用となっている実態を踏まえた見直しであれば、ISMS上の問題はありません。
ただし、見直しの際は以下の点にご留意ください。
- 当該の保管場所に情報資産(書類、記録媒体、鍵等)を保管しないことを、規定上も周知上も明確にすること
- 情報資産を保管する場所(書類キャビネット等)については、「努める」ではなく施錠を必須とする規定を別途維持すること
- クリアデスク・クリアスクリーンに関する規定との整合性を確認すること
- 文書改訂の手続き(承認・改訂履歴の記録・従業員への周知)を規定どおりに実施し、証跡を残すこと
また、自身の名刺は私物に含まれるか否か/保護対象の情報資産であるか否かについて、議論になることがあります。
自身の名刺は他者に渡すことを前提としているため、受領した名刺ほどの管理は求められませんが、まとまった数の特定の人員の名刺が他者にわたった場合は、小さいながら本人になりすますといったことができるリスクも考えられるため、組織として一定の管理指針を示しておく必要があります。
そして、ISMSでは、規定と実際の運用が一致していることが重要です。
守れない厳しい規定を残しておくことは、かえって規定違反の指摘につながるため、実態に合わせて表現を見直すことは適切な対応です。
引き出しだけでなくロッカー等の保管場所を規定に加えることや、「帰宅時」を「退勤時」に改める等の表現の明確化も、運用しやすさの観点から有効です。