ISO 27001 準拠：知っておくべきこと

ISO/IEC 27001は、情報セキュリティを導くために開発された国際規格のセットです。ISO/IEC 27001:2013のような構成規格は、組織が情報セキュリティマネジメントシステム（ISMS）を導入し、維持し、継続的に改善できるよう支援することを目的としています。

ISO 27001 の順守は必須ではありません。ですが、ハッカーがあなたのデータを執拗に狙う世界では、さらに データのプライバシー に関する義務が厳しい罰則を伴うことが増えているため、ISO 規格に従うことはリスクを低減し、法的要件を満たし、コストを抑え、競争上の優位性を得るのに役立ちます。つまり、ISO 27001 の認証は、ビジネスが顧客を惹きつけ、維持することに貢献します。

本記事では、ISO 27001 の中核となる要件、関連するセキュリティ対策（コントロール）、および認証プロセスの手順について詳しく解説します。また、ISO 27001 のコンプライアンスを維持するためのヒントも紹介し、Netwrix のソリューションがどのように役立つかを説明します。

ISO 27001 とは？

ISO/IEC 27001 は、あらゆる規模・あらゆる業種の組織が効果的な情報セキュリティ管理システムを導入するために設計された一連の情報技術（IT）標準です。標準はトップダウンの、リスクベースのアプローチを採用しており、特定の技術に依存しません。

リスク管理は ISO 27001 の中核となる考え方です。保護が必要な機密または価値のある情報を特定し、データが危険にさらされ得るさまざまな方法を判断したうえで、各リスクを軽減するための対策（コントロール）を実装しなければなりません。ここでのリスクには、データの機密性（confidentiality）、完全性（integrity）、または可用性（availability）に対するあらゆる脅威が含まれます。この規格は、適切なコントロールおよびプロセスを選択するための枠組みを提供します。

特に、ISO 27001 では次のことが求められます：

• 利害関係者を特定し、ISMS に対する期待を把握します
• ISMS の適用範囲を定義します
• セキュリティポリシーを定義します
• リスクアセスメントを実施して、既存および潜在的なデータリスクを特定します
• それらのリスクを管理するための管理策とプロセスを定義します
• 各情報セキュリティ施策ごとに明確な目標を設定します
• 管理策およびその他のリスク処理方法を実装します
• ISMS のパフォーマンスを測定し、継続的に改善します

要件とセキュリティ管理策

ISO 27001 の要求事項

この規格は2つの主要部分で構成されています。最初のセクションでは、次の番号付き条項において定義と要求事項を示します：

1. はじめに — 情報リスクを体系的に管理するプロセスについて説明します
2. 適用範囲 — あらゆる種類・規模・性質の組織に適した一般的な ISMS の要求事項を定めています
3. 引用規格 — ISO 27001 の適合性を判断するのに関連する追加情報を含むその他の規格を一覧にしています（掲載されているのは1つだけで、ISO/IEC 27000 です）
4. 用語と定義 — 規格で使用される、より複雑な用語を説明します
5. 組織 コンテキスト — 企業が ISMS を構築する能力に影響を与え得る内部および外部の課題を、なぜ、どのように定義するのかを説明し、組織に対して ISMS の確立、実施、維持、および継続的改善を求めます
6. リーダーシップ — 高位の管理者に対し、ISMS へのリーダーシップとコミットメントを示し、方針を定め、情報セキュリティの役割と責任を割り当てることを求めます
7. 計画 — 情報リスクを特定・分析し、どのように対処するかを計画するためのプロセスを概説し、情報セキュリティ施策の目的を明確化します
8. 支援：組織に対し、適切な資源を割り当て、認識を高め、必要なすべての文書を用意することを求めます
9. 運用 — 情報リスクを評価して対処する方法、変更を管理する方法、適切なドキュメントを確実にする方法を詳しく説明します
10. パフォーマンス評価 — 組織に対し、情報セキュリティ管理の統制とプロセスを監視・測定・分析することを求めます
11. 改善 — 組織に対し、監査やレビューで得られた指摘事項(所見)への対応を含めて、ISMSを継続的に改善することを求めます

参照する管理目的と管理策

第2部である附属書A（Annex A）では、最初のセクションにある要求事項への適合に役立つ一連の管理策を詳しく説明しています。組織は、自社の具体的なニーズに最も適合する管理策を選択し、必要に応じて他の管理策で補完して構いません。

管理策は次の領域に分類されています。

• 情報セキュリティポリシー — 組織のセキュリティ運用および全体的な方針に沿って、ポリシーが作成され、レビューされることを確実にするため
• 情報セキュリティの組織体制 — 特定のタスクに対する責任を割り当てるため
• 人的資源のセキュリティ — 従業員および請負業者が自らの責任を理解していることを確実にするため。
• 資産管理 — 組織が 情報資産を特定し 適切な保護の責任を定義できるようにするため
• アクセス制御 — 従業員が自分の業務に関連する情報のみを閲覧できるようにするため
• 暗号化 — 機密性と完全性を確保するためにデータを暗号化するため。
• 物理的および環境的セキュリティ — 不正な物理的アクセス、施設やデータへの損傷または妨害を防止し、ソフトウェア、ハードウェア、物理的なファイルの紛失、損傷、または盗難を防ぐために機器を管理するため
• 運用セキュリティ — 情報処理施設の安全性を確保するため
• 通信のセキュリティ — 情報ネットワークを保護するため
• システムの取得、開発、保守 — 内部システムと、公衆ネットワーク上でサービスを提供するシステムの両方を確保するため
• サプライヤーとの関係 — 第三者との契約上の合意事項を適切に管理するため
• 情報セキュリティインシデント管理 — セキュリティインシデントを効果的に管理し、報告するため
• 業務継続管理における情報セキュリティの観点 — 業務の中断を最小限に抑えるため
• コンプライアンス — 関連する法律・規制の遵守を徹底し、不遵守に伴うリスクを軽減するため

ISO 27001 の準拠と認証

メリット

ISO 27001 の要件を自主的に満たすことで、貴組織は 情報セキュリティリスク を先手を打って低減し、データ保護に関する義務を遵守する能力を高められます。さらに一歩進んで ISO 27001 の認証を取得すれば、お客様、パートナー、サプライヤーなどに対して、データ資産を保護する姿勢を示すことができます。この信頼を築くことで、企業の評判を高め、競争上の優位性を得られる可能性があります

必須書類

ISO 27001 への準拠を証明するには、以下を含む複数の書類が必要です。

• ISMS の適用範囲（条項 4.3）
• 情報セキュリティ方針（条項 5.2）
• 情報セキュリティ目標（条項 6.2）
• 情報セキュリティ業務に従事する人の力量の証拠（条項 7.2）
• 情報リスクアセスメントの結果（条項 8.2）
• ISMS の内部監査プログラムおよび実施した監査結果（条項 9.2）
• ISMS に関するマネジメントレビューの証拠（条項 9.3）
• 識別された不適合事項およびそれに伴って講じられた是正措置の証拠（条項 10.1）

ISMS の適用範囲を定義する

ISO 27001 を実装するための主な要件の 1 つは、ISMS の適用範囲を定義することです。そのために、次の手順を実行する必要があります。

1. 物理またはデジタル、ローカルまたはクラウドなど、あらゆる形態で保存しているすべての情報を棚卸しします。
2. 人が情報にアクセスできるさまざまな方法を特定します。
3. 貴社の ISMS の対象となるデータと、対象外のデータを決定します。たとえば、貴社が管理・統制できない情報は、ISMS の対象外になります。

認証プロセス

ISO 27001 の認証プロセスには、以下のステップが含まれます：

1. ポリシー、手順、担当者、技術を含む ISMS を構築します。
2. 内部レビューを実施して、不適合事項と是正措置を特定します。
3. 監査人を招いて、ISMS の基本的なレビューを実施してもらいます。
4. 監査人が見つけた問題を是正します。
5. 認定された認証機関に、ISO 27001 の構成要素について詳細な監査を行ってもらい、ポリシーと手順に従っているかどうかを確認します。

認証には3か月から12か月かかることがあります。認証プロセスの費用対効果を高めるため、多くの組織では、必要な変更を実施するためにどれだけの取り組みが必要になるかを把握する目的で、標準（規格）に基づく事前のギャップ分析を行います。

認証にかかる費用

認証の費用は多くの要因に左右されるため、すべての組織で予算は異なります。主な費用は、トレーニングや文献、外部支援、更新または導入が必要な技術、従業員の時間と取り組み、そして認証監査そのものに関連します。

認証の期間

認証を取得したら、定期的に内部監査を実施する必要があります。認証機関は少なくとも年1回再監査を行い、次の事項を確認します。

• 前回の訪問で指摘されたすべての不適合事項の是正完了
• ISMS の運用
• ドキュメントの更新
• リスク管理の見直し
• 是正措置
• ISMS パフォーマンスの監視と測定

ISO 27001 準拠を達成し維持するためのヒント

• ステークホルダーの支援は、認証の成功に不可欠です。 必要な変更を特定し、是正措置を優先順位付けして実施し、定期的な ISMS の見直しと改善を確実に行うためには、すべてのステークホルダーによるコミットメント、ガイダンス、およびリソースが必要です。
• ISO 27001 が貴社に与える影響を定義します。 規制当局や従業員など、すべての利害関係者のニーズと要件を考慮してください。情報セキュリティに影響を与える内部要因・外部要因を確認しましょう。
• 適用宣言書（Statement of Applicability）を作成します。 この宣言書には、貴社に適用される ISO 27001 の管理策（controls）が詳しく記載されています。
• 定期的にリスク評価と是正を実施します。 各評価ごとに、各リスクを「処理する」のか「許容する」のか「終了する」のか「移転する」のかを詳述したリスク対応計画を書いてください。
• ISMS のパフォーマンスを評価します。 ISMS と管理策を監視し、測定します。
• 研修および意識向上プログラムを実施します。 すべての従業員と請負業者に、セキュリティのプロセスと手順に関する研修を提供し、data security を組織全体で高めてください。
• 内部監査を実施します。 外部監査が問題を見つける前に、問題を発見して是正してください。

Netwrix が ISO 27001 準拠を支援する方法

Netwrix Data Security Platform により、次のことが可能になり、ISO 27001 準拠を達成し維持できます。:

• データを発見し分類する オンプレミスおよびクラウドベースのリポジトリ全体で
• IT に関連するリスクを特定し、優先順位を付ける
• 異常なアクティビティを検知するために、システムのログイン試行、ファイルアクセス、データおよび構成の変更を監視します
• 脅威パターンを特定し調査する
• 強固な データアクセスのガバナンスを確立する

まとめ

データセキュリティが成功に不可欠になった今、ISO 27001 の認証は大きな競争優位をもたらします。標準の要件と管理策を活用することで、情報セキュリティマネジメントシステムを構築し、継続的に改善することができ、パートナーや顧客に対してデータセキュリティへの取り組みを示せます。

よくある質問

1. ISO 27001 の目的は何ですか？

ISO 27001 規格は、情報セキュリティ管理システム（ISMS）を効果的に活用することで、あらゆる規模・あらゆる業界の組織がデータを保護できるように支援するために開発されました。

2. 最新の ISO 27001 規格は何ですか？

ISO/IEC が提供している最新バージョンは 27001:2013 です。地域向けの EU 更新版として ISO/IEC 27001:2017 があります。

3. ISO 27001 の要件は何ですか？

ISO 27001 では、組織に対して次のことが求められます：

• 組織の状況を理解する
• ISMSに対するリーダーシップとコミットメントを示し、情報セキュリティの役割と責任を割り当てる
• 情報リスクを特定、分析、対処するための計画を策定する
• ISMSを支援するために適切なリソースを割り当てる
• 運用上のリスク評価と対処を実施する
• ISMS のパフォーマンスを評価する
• ISMS を継続的に改善する

4. ISO 27001 はなぜ重要ですか？

ISO 27001 は、組織内の情報、また第三者と共有される情報について、機密性・完全性・可用性を保護します。

5. ISO 27001 と ISO 27002 の違いは何ですか？

ISO 27001 は ISO 27000 シリーズの中心的な標準であり、ISMS（情報セキュリティマネジメントシステム）の実装要件が含まれています。ISO 27002 は補足的な標準で、ISO 27001 の附属書 A にある簡潔な説明を広げる形で、組織が実装を選択しうる情報セキュリティ対策（コントロール）を詳述しています。

6. NIST と ISO 27001 の違いは何ですか？

NIST は、ISO に相当する米国の標準化機関です。 NIST 800-53 は、連邦の情報システムに関連するベストプラクティスに、さまざまな組織が貢献している点もあり、ISO 27001 よりもセキュリティ対策（コントロール）主導です。ISO 27001 は技術的な色合いが比較的薄く、リスクにより重点が置かれており、あらゆる規模・あらゆる業種の組織に適用できます。

7. SOX と ISO 27001 の違いは何ですか？

ISO 27001 は、ISMS（情報セキュリティマネジメントシステム）を実装するための任意の国際標準です。SOX 404 は、米国で公開（上場）しているすべての企業が従わなければならない米国の法律です。