適応型コンプライアンスでISO 27001の準備を自動化

ISO/IEC 27001 は、国際標準化機構（ISO）と国際電気標準会議（IEC）によって共同で発行されています。

ISO は標準規格の策定を行いますが、組織に対する認証の発行は行いません。認証は独立した第三者認証機関によって発行され、これらの認証機関は、米国の ANAB や英国の UKAS、日本の JIPDEC（ISMS適合性評価制度）といった各国の認定機関から認定を受けています。

ISO 27001 は、情報セキュリティマネジメントシステム（ISMS）の確立、実施、維持、および継続的改善に関する要求事項を規定しています。

SOC 2 などの他の規格とは異なり、ISO 27001 は組織がマネジメントシステムを実際に運用しているか（経営陣の関与、リスクアセスメント、定義された目標、内部監査、マネジメントレビュー、および是正措置など）を評価します。本規格は 2 つの部分で構成されています。箇条 4 から 10 に定める「マネジメントシステム要求事項」と、附属書 A（Annex A）に定める「情報セキュリティ管理策の基準セット」です。

いいえ。これは ISO 27001 に関して最もよくある誤解です。 附属書 A は参照用の基準セットであり、必須のチェックリストではありません。本規格では、自組織のリスクアセスメントに基づいて必要な管理策を決定し、必要な項目の漏れがないかを確認するために附属書 A と比較することが求められます。比較によってギャップが見つかった場合は、リスク対応計画を更新して適用します。ギャップがない場合は、その要求事項を満たしていることになります。

最終的にその結果を「適用宣言書（Statement of Applicability / SoA）」に文書化します。どの管理策を適用するか、なぜ適用するのか、すでに導入されているか、および除外する管理策がある場合はその正当な理由を明記します。

ISO 27001 は「要求事項規格」であり、実際に認証を取得する対象となる規格です。一方、ISO 27002 はその「ガイダンス文書（補足ガイド）」であり、各管理策の目的、属性、および具体的な導入アドバイスを詳細に解説しています。

ISO 27002 自体の認証を取得することはできません。しかし、ISO 27001 の附属書 A（Annex A）には管理策のタイトル程度しか記載されていないのに対し、ISO 27002 ではそれらの管理策を具体的にどのように適用すべきかが説明されているため、多くのチームが活用しています。

初回認証は、認定された認証機関によって 2 つのステージ（段階）に分かれて実施されます。

• ステージ 1（予備審査 / 文書審査）： 準備状態および設計のレビューです。監査人は、ISMS 関連文書、定義された適用範囲、適用宣言書（SoA）、およびリスクアセスメントを審査し、本格的な現場監査（ステージ 2）に進む準備が整っているかを確認します。
• ステージ 2（本審査 / 現地審査）： 証跡のサンプリング調査やインタビューを通じて、定義された適用範囲全体で ISMS が実際に導入され、有効に運用されているかを検証します。

ステージ 1 で特定された不適合や課題（ギャップ）は、正式な指摘事項として記録される前に是正・修正を行うための重要な猶予機会となります。

認証機関から発行される「認証書」と、詳細な「監査報告書」の 2 点です。

認証書には「適用範囲」が明記されますが、これは多くの企業が思っている以上に重要な意味を持ちます。たとえば、特定の製品ラインのみを対象とした認証書は、会社全体をカバーしている認証書とは異なるためです。

監査結果は「不適合」として記録され、その 2 つの区分の違いは極めて重要です。

• 重大な不適合： システム全体の不備、または必要な要求要素の欠如を指します。これを是正し、認証機関がその是正を検証・確認するまで、認証の発行および維持は認められません。
• 軽微な不適合： 局所的・一時的な逸脱を指します。通常は、認証発行を阻止することなく、是正処置計画の提出を通じて解消されます。

また、監査人は特段の対応義務を伴わない「観察事項」や「改善の機会」を指摘することもあります。 そのため、SOC 2 など他の枠組みにおける評価とは異なり、単純に認証取得に不合格（失敗）となる可能性があり、重大な不適合が未解決のまま放置された場合、既存の認証が停止または取消されることがあります。

有効期間は 3 年間であり、定められたサイクルに基づいて管理されます。

• 認証書の発行： 認証書は 3 年間の有効期限付きで発行されます。
• サーベイランス監査（維持審査）： 有効期間中、少なくとも年に 1 回実施されます。1 回目のサーベイランス監査は、認証決定から 12 か月以内に実施する必要があります。
• 再認証監査（更新審査）： 3 年の有効期限が満了する前に完全な再認証審査が実施され、サイクルが再スタートします。

認証の保持は一回限りのイベントではなく、継続的な取り組みが求められる義務です。サーベイランス監査をスキップした場合、認証が停止される可能性があります。

いいえ。ISO 27001 は任意の国際規格であり、取得を義務付ける一般的な法律は存在しません。

ただし実務上は、法的な要件というよりも商取引上の必須要件として機能しています。特に欧州、英国、日本での展開や、一般的な大手企業の調達プロセスにおいては、米国市場における SOC 2 と同じように、標準的な前提条件として求められることが多くなっています。

いいえ。それらの証明書はすでに有効ではありません。

ISO/IEC 27001:2022は2022年10月25日に発行され、3年間の移行期間が設けられていました。2013年版に対して発行されたすべての認証は、2025年10月31日をもって失効したか、取り下げられました。お持ちの証明書が現在も2013年版を参照している場合、現在は認証されていない状態にあるため、認証機関による移行審査を完了する必要があります。

最も顕著な変更点は附属書A（Annex A）です。管理策のセットが、14のカテゴリにわたる114の管理策から、4つのテーマ（組織的、人的、物理的、技術的）にわたる93の管理策へと再編されました。

この93個のうち、11個が新規追加、24個が既存の管理策の統合、58個が更新されたものです。従来のグループ化された管理目的は廃止され、各管理策に明示的な目的と一連の属性（属性タグ）が割り当てられるようになりました。

マネジメントシステムの本文条項の変更は限定的です。注目すべき追加点としては、ISMSへの変更を計画的に行うことを求める「条項6.3 変更の計画」が挙げられます。また、「条項4.2」には、利害関係者の要求事項のうちどれをISMSを通じて取り扱うかを決定する要求事項が追加されました。

ごく僅かな影響にとどまります。

ISOは2024年に改訂（アメンドメント）を発行し、ISO 27001を含む一連のマネジメントシステム規格において、「組織の状況」に関する条項へ気候変動の考慮を追加しました。

これにより新たな管理策や文書化の要件が加わるわけではなく、組織の状況分析において、気候変動が関連する課題であるかどうかを検討するだけで足ります。

いかなるコンプライアンス用ソフトウェアも、ISO 27001の証明書を発行することはできません。認証は、認知された認定機関から認定を受けた独立した認証機関によって行われる必要があり、その独立性こそが証明書の価値の根幹となります。

当社のプラットフォームは「エンジンルーム」として機能します。お客様のシステムに接続し、証跡を継続的に収集し、ポリシーや適用宣言書（SoA）を管理することで、混乱することなく整理されたパッケージを監査人に提示できるようにします。当社が提携している認証機関との連携をご希望の場合は、担当者までお問い合わせください。