ISO 27001の解説

認定認証機関であるDQSによる中立的な概要。

ISO 27001は、情報セキュリティマネジメントシステム（ISMS）に関する主要な国際規格です。この規格は、組織が情報セキュリティリスクを体系的に特定、評価、および対処するために満たすべき要件を規定しており、単一の技術的対策ではなく、人、プロセス、および技術を包括的にカバーしています。 この規格は、金融機関、医療提供者、公的機関から、顧客、従業員、またはパートナーに代わって機密情報を扱うクラウドサービスプロバイダー、製造業者、ソフトウェア企業に至るまで、あらゆる規模や業界の組織に適用されます。現行版はISO/IEC 27001:2022であり、2013年版に取って代わりました。 以前に認証を取得していた組織に対する3年間の移行期間は2025年10月31日に終了し、2024年に公表された改正（Amendment 1:2024）により、気候変動対策に関する明確な要件が追加されました。

ISO 27001の主な概要

ISO 27001の背景と推進要因

情報セキュリティに対する規制圧力

情報セキュリティに関する規制環境は、特に欧州連合（EU）において、近年著しく厳格化しています。「ネットワーク・情報セキュリティ指令2（NIS2）」は、サイバーセキュリティに関する義務の対象を、エネルギー、運輸、医療、デジタルインフラ、製造業などの各セクターにわたる中規模組織を含む、はるかに広範な重要・必須事業体にまで拡大しています。 金融機関およびその重要な情報通信技術（ICT）第三者プロバイダーに適用される「デジタル・オペレーショナル・レジリエンス法（DORA）」は、ICTリスク管理、インシデント報告、レジリエンス試験、およびプロバイダーの監督に関する詳細な要件を定めている。 NIS2もDORAも、ISO 27001を必須の基準として規定しているわけではありませんが、いずれも国際的に認められた情報セキュリティ規格を参考基準として言及しており、多くの組織が、規制対応プログラムの基盤として、認証を受けたISMSを採用しています。

市場の期待と顧客の信頼

正式な規制にとどまらず、情報セキュリティは、企業間契約、入札手続き、およびサプライヤー資格認定プログラムにおいて、日常的な項目となっています。企業顧客は、システムやデータへのアクセスを許可する前に、サプライヤーに対して外部機関による検証を経たISMSの証明を求めるケースが増えており、認定認証機関が発行する認証書は、その成熟度の証拠として広く受け入れられています。 ソフトウェアベンダー、クラウドプロバイダー、および顧客データをビジネスモデルの基盤とするその他の組織にとって、ISO 27001認証は多くの業界において、市場参入の必須要件に近いものとなっています。この傾向は、データ漏洩、ランサムウェア、サプライチェーン攻撃に対する一般の認識が高まっていることによってさらに強まっており、組織がバリューチェーン全体を通じて情報をどのように保護するかに対する期待が高まっています。

レジリエンス、プライバシー、持続可能性との融合

情報セキュリティはもはや孤立した存在ではありません。運用レジリエンス、事業継続性、プライバシー、そして「改正第1号：2024」の公表以来、気候関連の考慮事項ともますます交差するようになっています。 取締役会やリスク委員会は、情報セキュリティを、ICTの停止、サードパーティリスク、および重要インフラに影響を与える異常気象による混乱などを含む、より広範な状況の一側面として捉えています。 ISO 27001は、組織がプライバシー、事業継続、サプライヤーの監督、物理的レジリエンスといった隣接するテーマを、ばらばらの取り組みの寄せ集めではなく、単一の管理システムに統合するための構造的な基盤を提供します。

ISO 27001の主要要件

ISO/IEC 27001:2022は、現代のISOマネジメントシステム規格に共通する「附属書SL（Annex SL）調和構造」に従っています。第1条から第3条では、適用範囲、規範的参照、および用語が規定されています。第4条から第10条には、以下に要約する監査可能なマネジメントシステム要件が含まれています。 続いて、附属書Aでは、ISO 27002に詳述されている93の情報セキュリティ管理措置が参照されており、組織はリスク評価に基づいて、適用可能なものを選択する。

条項4 — 組織の文脈

組織は、自組織のISMSに影響を与える内部および外部の課題を特定し、顧客、規制当局、サプライチェーンパートナー、株主などの利害関係者のニーズと期待を把握する。これに基づき、対象となる拠点、事業活動、技術、情報資産を含むISMSの適用範囲を定義する。

第5条 — リーダーシップ

トップマネジメントは、ISMSに対するリーダーシップとコミットメントを示し、情報セキュリティ方針に署名するとともに、役割、責任、権限を割り当てる。情報セキュリティは、委任された技術的機能ではなく、戦略的に重要な課題として位置づけられる。

第6条 — 計画

組織は、情報セキュリティリスク評価を実施し、リスクの受容および対処に関する基準を定義し、それらのリスクに対処するために必要な管理措置を選定する。「適用範囲の声明」には、附属書Aの管理措置のうち、適用されるもの、除外されるもの、およびそれぞれの根拠が記載される。情報セキュリティ目標が定義され、方針と整合性が図られる。

第7条 — 支援

リソース、能力、意識向上、コミュニケーション、および文書化された情報について対応が行われる。ISMSに関与する要員は適切な研修を受け、文書は組織の規模および複雑さに見合った形式で維持される。

第8条 — 運用

組織は、情報セキュリティ要件を満たすために必要なプロセスを計画、実施、および管理し、リスク評価および対応計画を実行し、ISMSに影響を及ぼす可能性のある変更を管理する。

第9条 — パフォーマンス評価

ISMSは、監視、測定、および分析される。内部監査および経営レビューは、システムが有効であり、適合しており、かつ継続的に改善されているかどうかを評価するための基礎となる。その成果は、計画および運用上の意思決定にフィードバックされる。

第10条 — 改善

不適合は是正措置を通じて対処され、組織はISMSの適合性、妥当性、および有効性を継続的に改善することが求められる。継続的改善は、単なる任意の追加要素ではなく、本規格の構造的な特徴である。

附属書A — 参照管理項目

附属書Aでは、4つのテーマ（組織的統制（37）、人的統制（8）、物理的統制（14）、技術的統制（34））に分類された93の統制が参照されている。 2022年の改訂版では、2013年版の114のコントロールが統合・再編成され、11の新しいコントロール（脅威インテリジェンス、クラウドサービスにおける情報セキュリティ、事業継続のためのICT準備状況、物理的セキュリティの監視、構成管理、情報の削除、データマスキング、データ漏洩防止、監視活動、Webフィルタリング、セキュアコーディング）を導入し、フィルタリングやレポート作成を支援するため、各コントロールに5つの属性（コントロールタイプ、情報セキュリティ特性、サイバーセキュリティ概念、運用能力、セキュリティドメイン）を適用しました。

ISO 27001の対象グループと適用分野

ISO 27001は、その設計上、業種を問わないものです。その要求事項は、多国籍銀行、地域病院ネットワーク、公的機関、および顧客に代わって顧客データを処理するソフトウェアスタートアップ企業に等しく適用されます。実際には、特定の適用分野が特に注目されるようになっています。

クラウドプラットフォーム、SaaS（Software-as-a-Service）ベンダー、マネージドサービスプロバイダー、データセンター運営者を含む情報通信技術（ICT）プロバイダーは、ISO 27001を、企業顧客が期待する基本保証フレームワークとして扱うことがよくあります。 金融サービス企業は、ISO 27001を活用して、DORA（データ保護とリスク管理の義務）の要件も満たすICTリスク管理プログラムを構築しています。医療機関は、業界固有のプライバシーおよびセキュリティ要件と併せて、患者情報や臨床システムを保護するためにISO 27001を適用しています。 公共部門の機関や重要インフラ事業者は、NIS2および各国のサイバーセキュリティ関連法規に基づく義務を履行するためにISO 27001を導入しています。製造企業は、知的財産の保護、オペレーショナルテクノロジー（OT）環境のセキュリティ確保、およびOEM（Original Equipment Manufacturers）を含む大口顧客からのサプライチェーンセキュリティ要件への対応のために、ISO 27001を採用しています。

これらの組織のいずれにとっても、認証を受けたISMSは、情報セキュリティへの投資や優先順位について、証拠に基づいた意思決定を行うための体系的な枠組みを提供します。これは、経営陣による情報に基づいた意思決定を支援し、規制当局、顧客、サプライチェーンパートナーとのリスクベースの対話のための基盤を提供すると同時に、実質的な意思決定は責任ある担当者に委ねられます。

ISO 27001に関連する規格

統一構造と代表的な組み合わせ

ISO 27001は、ISO 9001（品質）、ISO 14001（環境）、ISO 22301（事業継続）など、広く利用されている他のマネジメントシステム規格と同様に、附属書SLの調和構造を採用しています。 この共通の構造により、組織は、情報セキュリティ、品質、環境、および事業継続の要件において、リーダーシップのコミットメント、計画プロセス、内部監査、および経営レビューを共有する統合マネジメントシステムを運用することが可能になります。これらの規格にわたる統合監査は実務上一般的であり、重複を削減する傾向があります。

ISO 27000シリーズ 

ISO 27001は、情報セキュリティ管理を包括的に扱うISO 27000シリーズ規格群の中心に位置しています。ISO 27000は、このシリーズ全体の概要と用語集を提供しています。 ISO 27002は、附属書Aの各管理措置について詳細な実施ガイダンスを提示しており、ISO 27001の導入において最も頻繁に参照される規格です。ISO 27005は、情報セキュリティリスク管理に関するガイダンスを提供しており、ISO 27001のリスクベースの条項を運用化するために広く利用されています。 ISO 27017およびISO 27018は、それぞれクラウドサービスおよびパブリッククラウド環境における個人識別情報（PII）の保護に向けて、管理措置の範囲を拡大したものです。ISO 27019は、エネルギー供給に使用される制御システムのための情報セキュリティマネジメントシステムを構築するための指針規格です。 この規格は、ISO 27002で概説されている情報セキュリティ管理措置を基盤とし、同規格で定義されている一般的な措置を超える、業界固有の要件を追加しています。ISO 27701は、プライバシー情報管理システム（PIMS）に関する要件と指針を規定しています。

業界およびトピック固有の拡張

多くの業界固有の規格が、規範的な意味でISO 27001を基盤としています。ISO/IEC 27011は、電気通信組織向けの追加ガイダンスを提供します。ISO/IEC 27017およびISO/IEC 27018は、クラウド固有の統制について規定しています。 ISO/IEC 27019は、エネルギー・公益事業業界向けの指針を提供しています。ISO/IEC 27799は、ISO/IEC 27002の統制を医療情報学に適用したものです。これらの拡張規格は、ISO 27001の管理システムを流用し、当該業界に関連する統制を追加または精緻化しています。

類似のフレームワークとの違い

ISO 27001は、SOC 2やNISTサイバーセキュリティ・フレームワークなど、他の情報セキュリティフレームワークと比較されることがあります。ISO 27001は、認証機関によるISMSの認証対象となる国際規格です。 SOC 2は、米国公認会計士協会（AICPA）によって定義された報告フレームワークであり、これに基づき、保証専門家がセキュリティ、可用性、処理の完全性、機密性、またはプライバシーに関連する管理措置について保証報告書を発行します。両者の対象領域は一部重複していますが、カバーする範囲が異なり、異なるガバナンスモデルに従っているため、これらを同等であると表現すべきではありません。 NISTサイバーセキュリティフレームワークは、特に米国においてリスク管理の指針となることを目的とした任意のフレームワークであり、ISO 27001と同じ意味での認証対象ではありません。