ISA 2027 では新しい命名規則と簡素化されたプロトタイプ保護モジュールが導入されますが、ISMS をそれに準拠させる責任があるのはTISAX®日々の業務において最も重要なのは、情報セキュリティモジュール自体で何が変わったかということです。以下では、コントロールごとに変更点を詳しく見ていきます。43の改訂のうち、ほとんどは明確性を向上させるためのものですが、中には実質的な変更を加えたものもあり、例えば「推奨」から「必須」に変更されたものもいくつかあります。これらの変更点は、次回の評価を受ける前に注意深く確認しておく価値があります。
注: 以下の情報は暫定的なものです。TISAX® ACAR 文書では、プロセス管理について説明しています。審査プロバイダー向けTISAX®まだ公表されていません。
1.1.1 – 情報セキュリティポリシーはどの程度整備されていますか？
ポリシーは、利用可能であり、かつ組織内に周知されている必要があります。方針変更を関係者全員に確実に伝達することに重点を置くことで、多くの組織が抱える共通の課題──ポリシー自体は存在するものの、組織全体に実際には浸透していないという問題──に対処できます。
1.2.2 – 情報セキュリティに関する責任はどの程度組織化されていますか？
役割が定義され、割り当てられ、かつその遂行に必要な権限が付与されている必要があります。これにより、役割が書類上は正式に割り当てられていても、実際にその役割を遂行・執行するための権限が伴っていないという、よくあるギャップを解消できます。
1.3.1 – 情報資産はどの程度特定され、記録されていますか？
資産が識別され、分類され、責任者(オーナー)に割り当てられている必要があります。近年は特に、分類の精度と所有権の所在を明確にすることが重視される傾向にあります。
1.6.2 – 報告されたセキュリティイベントはどの程度管理されていますか？
エスカレーションの基準と期限を明確に定義する必要があります。つまり、何がエスカレーションの引き金となるのか、そしてどの期間内にエスカレーションを行う必要があるのかを明確にしておくことが求められます。
1.6.3 – 組織は危機的状況への対応にどの程度備えていますか？
危機管理計画を策定し、かつテストを実施している必要があります。単に計画を文書化するだけでなく、危機対応計画の策定と実践的な訓練の両方に、より重点を置くことが重要です。
2.1.4 – モバイルワークはどの程度規制されていますか？
本カタログでは、従来使われていた「テレワーク」という用語を「モバイルワーク」に置き換えています。これは、今日の組織における働き方の実態をより的確に表す用語として採用されたものです。
4.2.1 – アクセス権限はどの程度割り当てられ、管理されていますか？
アクセス権限は、付与・レビュー・取り消しのプロセスを通じて継続的に管理されている必要があります。これは、アクセス権限管理を一度限りの設定作業としてではなく、継続的なライフサイクルとして捉える考え方を、より適切に反映したものです。
5.2.4 – イベントログはどの程度記録され、分析されていますか？
今後は、リモートセッションおよびポリシー違反についてもログに記録する必要があります。リモートセッションのアクティビティをログに記録することは、追跡可能性(トレーサビリティ)と説明責任(アカウンタビリティ)を確保するうえで有効な措置です。ただし、どのポリシー違反であれば技術的に信頼性の高い方法で現実的に特定・記録できるのかについては、依然として未解決の課題です。
5.2.6 – ITシステムおよびサービスはどの程度技術的にチェックされていますか(システムおよびサービス監査)？
脆弱性を特定するだけでなく、定められた期間内に修復することまでが求められます。脆弱性の特定にとどまり、修復への取り組みが伴わない状態は、もはや十分とは言えません。これは歓迎すべき強化点です。未解決のまま放置された既知の脆弱性は、実務において非常によく見られる課題の一つだからです。
5.2.8 – ITサービスに関する継続性計画はどの程度整備されていますか？
DDoS攻撃やランサムウェア攻撃など、具体的なシナリオを明確に定義する必要があります。そうすることで、汎用的な事業継続計画に頼るのではなく、シナリオごとに即した対策を講じることができます。
5.2.9 – データおよびITサービスのバックアップと復旧はどの程度保証されていますか？
バックアップ、リカバリ、実行順序(シーケンス)、および分離は、それぞれ明確に定義されている必要があります。特に、復元可能性、バックアップ間の相互依存性、そしてバックアップ自体の情報セキュリティ面(たとえば保存中のバックアップの保護)に重点を置くことが求められます。
6.1.1 – 請負業者および協力パートナー間で情報セキュリティはどの程度確保されていますか？
要件が定義され、監視され、かつ監査されている必要があります。サプライヤーのリスクプロファイルは時間の経過とともに変化する可能性があり、過去には許容範囲内とみなされていたサプライヤーが、現在の評価基準を満たさなくなる場合もあります。そのため、定期的な内部監査と外部監査は、機密性と可用性の状況を継続的に確認するうえで重要な役割を果たします。
品質レビューの中では、組織がTISAX®の要件を自社のサプライヤー基盤にまで浸透させきれていないケースをよく目にします。サプライヤーが製品やサービスの可用性に不可欠な存在である場合、そのサプライヤーには同等レベルの可用性保証を実証することが求められるべきです。機密情報をサプライヤーと共有する場合も同様で、サプライヤー側にも必要な情報セキュリティ要件を満たしていることの証明が求められます。
6.1.3(旧1.2.4) – 外部ITサービスプロバイダーと組織間の責任範囲はどの程度明確に定義されていますか？
本管理策は「サプライヤー管理」の章に移動し、対象となる用語も「ITサプライヤー」から「ITサービスプロバイダー」へと拡大されました。従来、多くの組織は「ITサプライヤー」を狭く解釈し、主にアウトソーシングされたITサービスと結びつけて捉えていました。しかし本来の規制は、クラウドサービスやウェブベースのサービスを含む、外部から提供されるすべてのIT/OTサービスを対象とするものでした。
改訂後の文言では、外部のITサービスプロバイダーは契約上(SLAおよびサプライヤー適用範囲に関する声明を通じて)機密情報を保護することが義務付けられる一方で、組織自身は、外部プロバイダーと共有する機密情報を自社の従業員がどのように取り扱うかを規定する内部規則について、引き続き責任を負うことが明確にされています。
7.1.2 – 情報セキュリティを実装する際に、個人データの保護はどの程度考慮されていますか？
より直感的な用語である「個人データ」が、ISOフレームワークやGDPRのような法的枠組みで確立された「個人識別情報(PII)」と並んで使用されるようになりました。
ご希望であれば、個別面談にてご質問にお答えいたします。
特に注意すべき点として、多くの組織は、ISAカタログにおける「ITシステム」という用語が、自社の想定よりも広範に定義されていることに気づいていません。ISAの定義によれば、ITシステムとは電子情報処理に使用されるあらゆる種類のシステムを指し、スイッチ、カメラ、センサーなどの運用技術(OT)も包含するほど広範な定義となっています。
その結果、組織は、ITシステムを参照する管理策──特にIEC 62443-2-1に関連する管理策──が、従来のIT環境だけでなく、IT環境とOT環境の双方に適用されることを、しばしば見落としてしまいます。
こうした考え方はISA 6.0の時点ですでに盛り込まれていたものであり、ISA 2027ではOT(運用技術)の側面をより明確に打ち出すべきだったのではないかと、私たちは考えています。実務上は、ITとOTが異なるチームによって管理されている場合や、ISA統制の目的達成のために異なる手段が用いられている場合には、自己評価の説明において両者を区別して記載することを推奨します。
これらの変更はいずれも、組織がISMSをゼロから再構築することを要求するものではありません。しかし、次回の評価の前に、いくつかの変更点について現在の文書と照らし合わせて確認しておく価値があります。
プロトタイプ保護の簡素化や新しい年次発行サイクルなど、ISA 2027カタログ全体で何が変わっているのかについてより広い視野が必要な場合は、関連記事をご覧ください。「ISA 2027：新しいTISAX®カタログで何が変わるのか。」
この記事は、執筆時点で公開されているISA 2027に関する情報に基づいています。新しいカタログのリリースに伴い、正確な移行スケジュールやプロセスに関する詳細は、ENXおよびVDAによって今後明らかにされる可能性があります。新たな情報が入り次第、この記事を更新いたします。
より包括的な基礎知識については、TISAX®アセスメントに関するホワイトペーパーをダウンロードしてください。
TISAX®とVCSのプロダクト・マネージャー、ISO/IEC 27001の審査員であり、30年以上の経験を持つソフトウェア・エンジニアリングのエキスパートであるホルガー・シュメケンは、情報セキュリティ副責任者も務めています。ビジネス情報学の修士号を取得し、ドイツの重要インフラストラクチャ（KRITIS）に対する拡張監査能力を有しています。
