ISO/IEC 27001.

ISO/IEC 27001 は、国際標準化機構(ISO)と国際電気標準会議(IEC)が共同で発行する、情報セキュリティマネジメントの代表的な国際規格です。現行の 2022 年版 は、情報セキュリティマネジメントシステム(ISMS)を確立・運用・監視・継続的に改善するための要求事項を定め、リスクアセスメント、適用宣言書(SoA)、マネジメントレビューを基礎とします。マネジメントシステム箇条(4〜10)は必須です。附属書 A には ISO/IEC 27002 と整合した 93 項目の参照管理策 が記載され、2013 年版の 114 項目から整理され、現在は 4 つのテーマ、すなわち 組織的(37)、人的(8)、物理的(14)、技術的(34) に分類されています。

近年の注目すべき変更は 改正 1:2024(2024 年 2 月発行)で、箇条 4.1 と 4.2 に気候変動の考慮が追加されました。組織は、気候変動が ISMS に関連する課題かどうか、また利害関係者が気候関連の要求を持つかどうかを判断する必要があります。新たな附属書 A 管理策は導入されていません。

認証は ISO 自身ではなく 認定を受けた第三者機関 が、ステージ 1(文書審査)とステージ 2(実装審査)の後に発行し、毎年のサーベイランス審査と 3 年ごとの再認証を伴います。米国の SOC 2 保証とは異なり、27001 は マネジメントシステム が存在し機能していることを認証するのに対し、SOC 2 はトラストサービス基準に対する管理策の有効性を報告します。認証は B2B 契約・公共調達・サプライチェーンのデューデリジェンスでしばしば求められます。

flowchart TD
  A[ISMS の適用範囲と状況を定義] --> B[リスクアセスメントと対応]
  B --> C[附属書 A の管理策を選択]
  C --> D[適用宣言書]
  D --> E[管理策の実装と運用]
  E --> F[内部監査 + マネジメントレビュー]
  F --> G[認証審査 ステージ 1・2]
  G --> H[認証書の発行 - 3 年サイクル]
  H --> I[毎年のサーベイランス審査]
  I --> F