ギャップレポートからプロジェクト計画へ：担当者、証跡、スケジュール

ギャップ分析の実施はそれほど難しくありません。ステップ・バイ・ステップのガイドに沿えば、未達のすべての要件を載せたトラッカーが完成します。問題はその後です。多くのトラッカーは「未達」と記された行が並ぶだけの長い表のまま、誰も担当しないまま放置されます。これがプログラムの成否を分けます。

ステップ1：行をワークストリームにまとめる

要件の番号は、自社ではなくフレームワークの論理で付けられています。未達の行を、何によって是正されるかという観点で再分類してください。

• ガバナンスとポリシー（適用範囲、役割、ポリシー、経営層の承認）
• ID・アクセス管理
• 脆弱性管理とパッチ管理
• ログ取得と監視
• インシデント対応と報告
• サプライヤー管理
• 事業継続とバックアップ
• セキュアな開発
• 物理セキュリティ

1つのワークストリームで、10行から20行の要件が解消されることも多くあります。たとえば、サプライヤーのセキュリティ条項を契約に盛り込むことで、ISO 27001、PCI DSS、GDPR、NIS2の要件を同時に満たせる場合があります。

ステップ2：依存関係とリスクで順序を決める

1. ブロッカーを最優先で解消：適用範囲、ガバナンス、ポリシー、リスク評価。これらが未整備のまま技術的な作業を進めると、やり直しになります。
2. 次に高リスクのギャップ：MFAが未導入の公開システム、未パッチのインターネット公開サービス、未検証のバックアップなど。
3. その後に残りの項目。文書化と証跡収集は、最後にまとめて行うのではなく、並行して進めます。

ステップ3：現実的に見積もる

ワークストリームごとに、作業内容、担当者、所要期間、コスト（人件費、ツール、外部支援）を明確にします。見えにくいコストは、通常は導入時ではなく、導入後の統制の運用に潜んでいます（四半期レビューは年に4回の会議であり、それが永遠に続きます）。

ステップ4：統制を運用する人を担当者に任命する

是正タスクの担当者は、導入後にその統制を運用する人にすべきです。パッチ適用ならITマネージャー、サプライヤー契約なら調達部門、人事審査なら人事部門が該当します。コンプライアンス責任者は調整、証跡の確認、進捗報告を担いますが、すべてを一人で抱えることはできません。

ステップ5：「完了」を証跡で定義する

タスクは、統制が実際に機能し、かつ証跡が生成された時点で完了とします。たとえば、初回のアクセスレビューの承認、初回のリストアテストの記録、ポリシーの承認と周知などが該当します。進めながら証跡の参照先をトラッカーに記録してください。監査時には、そのトラッカーが証跡索引になります。

具体例

ISO 27001認証を取得済みの企業がNIS2への対応を必要とする場合を考えます。ISO 27001 → NIS2 のギャップレポートでは、NIS2のすべての項目がISOのいずれかに対応づけられます。しかし、実態との照合を行うと、一部しか満たしていない項目が十数件見つかります。これらを是正方法ごとにまとめると、4つのワークストリームに集約されます。

• ガバナンス：対策に対する経営層の承認と経営層向けの研修（取締役会の1回のセッション、1回の研修コースを記録として残す）。
• 報告：24時間および72時間の期限を含む重大インシデント手順、テンプレート、訓練。
• サプライヤー：選定基準、契約条項、上位20社のサプライヤーのレビュー。
• 技術面の深化：脆弱性情報の開示、暗号化ポリシー、有効性の測定指標。

無関係な十数行ではなく、4人の担当者による4つの計画となり、それぞれに期日と証跡リストが付きます。監督当局が最初に質問するのはガバナンスと報告に関する事項であるため、これらを先に進めます。技術面の深化は、その後の四半期で取り組みます。

要点

• 未達の要件は、要件番号ではなく、何によって是正されるかで再分類する。
• ガバナンス、適用範囲、ポリシーを最初に進める。これらが他のすべての作業のブロッカーを解消する。
• 各ワークストリームに、導入後にその統制を運用する担当者を割り当てる。
• 「完了」は、統制が機能し、証跡が生成されている状態として定義する。

ステップ6：進捗をシンプルに報告する

経営層が知りたいのは3つの数字です。ワークストリームごとの、達成、進行中、未着手の要件数と、遅延しているリスクです。ギャップ分析は定期的に再実行してください。当サイトのように稼働中のデータから算出している場合、ギャップを解消したり、フレームワークが改訂されたりするたびに、対応率の数値も変化します。

出発点として、現在保有しているフレームワークと必要なフレームワークの間でギャップ分析を実行し、結果をエクスポートしてください。両方向で最もよく使われる組み合わせは、比較ページで確認できます。

よくある質問

コンプライアンスのギャップは、どのように優先順位を付けるべきですか？

リスクと依存関係によります。まず他の作業をブロックするギャップ（ガバナンス、適用範囲、ポリシー）、次に高リスクの技術的ギャップ、その後に文書化と証跡の整備を行います。要件番号は、順序を決める指標としては不適切です。

コンプライアンスの是正タスクは誰が担当すべきですか？

コンプライアンス部門ではなく、導入後にその統制を運用する人です。コンプライアンス部門は調整と証跡の確認を行い、統制の担当者が実行します。

コンプライアンス・プロジェクト計画はどの程度詳細にすべきですか？

各ワークストリームに、担当者、成果物、期日、証跡リストがそろう程度の詳細さが必要です。要件単位の詳細はトラッカーに記載し、計画は1〜2ページに収まるようにしてください。