国際標準化機構（ISO）27001

ISO/IEC 27001は、情報セキュリティを管理するための国際規格です。この規格は、国際標準化機構（ISO）と国際電気標準会議（IEC）によって2005年に共同で発行され、^[1] 2013年に改訂され、^[2]最近では2022年に改訂されました。 ^[3]この規格には、数多くの国別規格も認められています。この規格では、情報セキュリティ管理システム（ISMS）を確立、実装、維持、継続的に改善するための要件が​​詳述されており、その目的は、組織が保有する情報資産をより安全にすることを支援することです。^{[4]この規格の要件を満たす組織は、}監査に合格した後、認定された認証機関による認証を選択できます。ISO/IEC 27001認証プロセスのSWOT分析は、2020年に実施されました。 ^[5]

ほとんどの組織には、多数の情報セキュリティ制御があります。ただし、情報セキュリティ管理システム (ISMS) がなければ、制御はやや無秩序でまとまりがなく、特定の状況に対するポイント ソリューションとして、または単に慣例的に実装されることがよくあります。運用中のセキュリティ制御は、通常、情報技術(IT) またはデータ セキュリティの特定の側面に特化しており、非 IT 情報資産 (書類や独自の知識など) は全体的に保護が不十分です。さらに、ビジネス継続計画と物理的セキュリティは、IT または情報セキュリティとはまったく独立して管理される可能性があり、人事慣行では、組織全体で情報セキュリティの役割と責任を定義して割り当てる必要性についてほとんど言及されていない可能性があります。

ISO/IEC 27001 では、管理者に次のことが求められています。

• 脅威、脆弱性、影響を考慮して、組織の情報セキュリティ リスクを体系的に調査します。
• 容認できないと判断されるリスクに対処するために、一貫性のある包括的な情報セキュリティ管理策やその他のリスク処理（リスク回避やリスク移転など）を設計し、実装する。
• 包括的な管理プロセスを採用して、情報セキュリティ制御が組織の情報セキュリティのニーズを継続的に満たし続けるようにします。

ISO/IEC 27001 認証の一環としてどのようなコントロールがテストされるかは、認証監査人によって異なります。これには、組織が ISMS の範囲内であるとみなしたあらゆるコントロールが含まれる可能性があり、このテストは、コントロールが実装され、効果的に動作していることをテストするために必要に応じて監査人が評価した深さまたは範囲で行うことができます。

経営陣は認証の目的で ISMS の範囲を決定し、たとえば単一の事業部門または拠点に限定する場合があります。ISO/IEC 27001 認証は、必ずしも、対象範囲外の組織の残りの部分が情報セキュリティ管理に対して適切なアプローチを持っていることを意味するものではありません。

ISO/IEC 27000 規格ファミリーの他の規格では、情報セキュリティリスク管理 ( ISO/IEC 27005 )など、ISMS の設計、実装、運用の特定の側面に関する追加のガイダンスが提供されています。

BS 7799は、もともと1995年にBSIグループ^[6]によって発行された規格です。これは英国政府の貿易産業省（DTI）によって作成され、いくつかの部分から構成されていました。

情報セキュリティ管理のベスト プラクティスを含む最初の部分は 1998 年に改訂され、世界中の標準化団体で長い議論が行われた後、2000 年に ISO によって ISO/IEC 17799、「情報技術 - 情報セキュリティ管理の実践規範」として採用されました。その後、ISO/IEC 17799 は 2005 年 6 月に改訂され、最終的に2007 年 7 月にISO/IEC 27002として ISO 27000 シリーズの標準に組み込まれました。

BS7799 のパート 2 は、1999 年に BSI によって初めて発行され、BS 7799 パート 2 として知られ、「情報セキュリティ管理システム - 使用ガイド付き仕様」というタイトルが付けられました。BS 7799-2 は、BS 7799-2 で特定された情報セキュリティ管理構造と制御を参照して、情報セキュリティ管理システム (ISMS) を実装する方法に焦点を当てていました。これは後に ISO/IEC 27001:2005 になりました。BS 7799 パート 2 は、2005 年 11 月に ISO/IEC 27001 として ISO に採用されました。

BS 7799 パート 3 は 2005 年に発行され、リスク分析と管理をカバーしています。これは ISO/IEC 27001:2005 と一致しています。

ISO/IEC 27001 に関連して、BS 標準が参照または使用されることはほとんどありません。

ISO/IEC 27001 の基礎は、いくつかの重要な原則に基づいています。

ISO/IEC 27001 では、情報セキュリティ リスクの特定と評価の重要性を強調しています。組織は、潜在的な脅威を特定し、その影響を評価し、適切な軽減戦略を策定するためのリスク管理プロセスを実装する必要があります。

標準 ISO/IEC 27001:2022 の最新改訂版では、付録 A に 4 つのドメインに分類された包括的なセキュリティ制御のセットが概説されています。これらの制御は、アクセス制御、暗号化、物理的セキュリティ、インシデント管理など、情報セキュリティのさまざまな側面に対処します。

ISO/IEC 27001 は、情報セキュリティ実践の継続的な改善の文化を促進します。定期的な監視、パフォーマンス評価、定期的なレビューにより、組織は進化する脅威に適応し、ISMS の有効性を高めることができます。

ISMSは、世界中の多くの認定レジストラによってISO/IEC 27001規格に準拠していることが認定される場合があります。^{[7]認定認証機関によるISO/IEC 27001の国家規格（例：JIS Q 27001、日本版）のいずれかに対する} 認証は、機能的にISO/IEC 27001自体に対する認証と同等です。

一部の国では、管理システムが指定された基準に準拠しているかどうかを検証する機関は「認証機関」と呼ばれていますが、他の国では一般的に「登録機関」、「評価登録機関」、「認証/登録機関」、場合によっては「登録機関」と呼ばれています。

^{ISO/IEC 27001認証は、他のISO管理システム認証と同様に、通常、ISO/IEC 17021 [8]}およびISO/IEC 27006 ^[9]規格で定義された3段階の外部監査プロセスを含みます。

• ステージ 1 は、 ISMS の予備レビューです。組織の情報セキュリティ ポリシー、適用性ステートメント (SoA)、リスク処理計画 (RTP) など、主要なドキュメントの存在と完全性の確認が含まれます。監査人は、従業員数名と短いミーティングを行い、標準の要件に関する知識が許容レベルにあるかどうかを確認します。監査人は、組織がステージ 2 監査の準備ができているかどうかを決定します。また、ステージ 2 監査の前に問題や特定の状況について話し合い、主題やどの日に誰が必要かなど、監査計画を定義します。
• ステージ 2 は、より詳細で正式なコンプライアンス監査であり、ISMS を ISO/IEC 27001 で指定された要件に照らして独立してテストします。監査人は、管理システムが適切に設計および実装され、実際に運用されていることを確認するための証拠を求めます (たとえば、セキュリティ委員会または同様の管理機関が ISMS を監視するために定期的に会合していることを確認するなど)。認証監査は通常、ISO/IEC 27001 主任監査人によって実施されます。このステージに合格すると、ISMS は ISO/IEC 27001 に準拠していると認証されます。
• 継続的とは、組織が引き続き標準に準拠していることを確認するためのフォローアップ レビューまたは監査のことです。認証の維持には、ISMS が指定どおりに、意図どおりに機能し続けていることを確認するための定期的な再評価監査が必要です。これらは少なくとも年に 1 回は実施する必要がありますが、特に ISMS が成熟している間は、(経営陣との合意により) もっと頻繁に実施されることがよくあります。

• ISO/IEC JTC 1/SC 27 - IT セキュリティ技術
• ISO/IEC 27000 ファミリー
• 9001 認証
• 情報セキュリティ基準
• NIST サイバーセキュリティフレームワーク
• ISO規格一覧

• ISO/IEC 27001 - 情報セキュリティ管理システム
• ISO/IEC 27001 - リスク専門家
• ISO/IEC 27001 - フレームワークガイダンス