ISO/IEC 27018

ISO/IEC 27018は、ISO/IEC 27000規格群のセキュリティ規格です。これは、業界が推進したクラウドコンピューティングサービスのプライバシーに関する最初の国際規格でした。これは、クラウドプライバシーに関する最初の国際実践規範であるISO/IEC 27001の補遺として2014年に作成されました。これは、個人を特定できる情報（PII）を処理するクラウドサービスプロバイダーがリスクを評価し、PIIを保護するための制御を実装するのに役立ちます。^[1]これは、国際標準化機構（ISO）と国際電気標準会議（IEC）の合同ISOおよびIEC小委員会、ISO/IEC JTC 1/SC 27の下で発行されました。

標準バージョン

この規格には 2 つのバージョンがあります。

この規格の正式名称は、「情報技術 - セキュリティ技術 - 個人情報 (PII) プロセッサとして機能するパブリッククラウドにおける PII の保護に関する実践規範」です。ISO/IEC 27018:2019 には 18 のセクションと長い付録があり、次の内容が取り上げられています。

1. 範囲

2. 規範的参照

3. 用語と定義

4. 概要

6. 情報セキュリティの組織

7. 人的資源のセキュリティ

8. 資産管理

9. アクセス制御

10. 暗号化

11. 物理的および環境的セキュリティ

12. 運用セキュリティ

13. 通信セキュリティ

14. システムの取得、開発、保守

15. サプライヤーとの関係

16. 情報セキュリティインシデント管理

17. 事業継続管理における情報セキュリティの側面

18. コンプライアンス

このドキュメントの目的は、 ISO/IEC 27002の情報セキュリティ目標および制御と組み合わせて使用し、PII プロセッサとして機能するパブリッククラウドコンピューティングサービスプロバイダーが実装できる共通のセキュリティカテゴリと制御のセットを作成することです。その目的は次のとおりです。

パブリッククラウドサービスプロバイダーが PII プロセッサーとして機能する際に、適用される義務 (そのような義務が PII プロセッサーに直接課せられるか、契約を通じて課せられるかに関係なく) を遵守できるように支援します。
パブリッククラウド PII プロセッサが関連事項に関して透明性を確保できるようにすることで、クラウドサービスの顧客が適切に管理されたクラウドベースの PII 処理サービスを選択できるようにします。
クラウドサービスの顧客とパブリッククラウドの PII プロセッサが契約を締結できるよう支援します。
複数のパーティの仮想化サーバー (クラウド) 環境でホストされているデータに対する個々のクラウドサービス顧客の監査が技術的に非現実的であり、導入されている物理的および論理的なネットワークセキュリティ制御に対するリスクを増大させる可能性がある場合に、監査およびコンプライアンスの権利と責任を行使するためのメカニズムをクラウドサービス顧客に提供します。

^[4]

この標準を使用すると、次の利点があります。

^[5]

^ 「ISO/IEC 27018 クラウド内の個人データの保護に関する実践規範」。docs.microsoft.com。2020年3 月 27 日閲覧。
^ 「ISO/IEC 27018:2014 [ISO/IEC 27018:2014] 情報技術 - セキュリティ技術 - 個人情報（PII）プロセッサとして機能するパブリッククラウドにおける個人情報保護のための実施規範」www.iso.org。国際標準化機構。 2020年3月28日閲覧。
^ 「ISO/IEC 27018:2019 [ISO/IEC 27018:2019] 情報技術 - セキュリティ技術 - 個人情報（PII）プロセッサとして機能するパブリッククラウドにおける個人情報保護のための実施規範」www.iso.org。国際標準化機構。 2020年3月28日閲覧。
^ 「ISO/IEC 27018:2019(en)」。www.iso.org。国際標準化機構。2020年3月28日閲覧。
^ 「ISO 27018 コンプライアンス: 知っておくべきこと」www.infoworld.com . Stan Gibson. 2015 年 11 月 2 日。