ISMS / ISO 27001

ISMS（Information Security Management System：情報セキュリティマネジメントシステム）とは、組織が情報セキュリティを体系的に管理・運用するための仕組みです。その国際規格がISO/IEC 27001であり、情報の機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を維持・改善するためのマネジメントシステムの要求事項を定めています。

ISMSは、技術的な対策だけでなく、組織的・人的・物理的な対策を含む包括的なアプローチを採用しています。経営層のリーダーシップのもと、リスクアセスメントに基づいて適切な管理策を選択・実施し、PDCAサイクル（Plan-Do-Check-Act）を通じて継続的に改善を図ることが求められます。これにより、変化する脅威環境に対して柔軟かつ効果的に対応できるセキュリティ体制を構築します。

ISO 27001認証を取得することで、組織の情報セキュリティ体制が国際標準に準拠していることを第三者が証明します。認証は取引先や顧客からの信頼獲得、入札要件の充足、法規制への対応など、ビジネス上の多くのメリットをもたらします。日本ではISMS適合性評価制度に基づき、認定された審査機関による認証が行われています。

PDCAサイクルによる継続的改善

ISMSの運用はPDCAサイクルに基づいて行われます。Plan（計画）フェーズでは、ISMSの適用範囲を決定し、情報セキュリティ方針を策定し、リスクアセスメントを実施して管理策を選定します。Do（実施）フェーズでは、選定した管理策を実装し、従業者への教育・訓練を行い、運用手順に従って日常的なセキュリティ管理を実施します。

Check（評価）フェーズでは、内部監査やマネジメントレビューを通じてISMSの有効性を評価し、インシデントやヒヤリハットの分析を行います。Act（改善）フェーズでは、評価結果に基づいて是正処置を実施し、ISMSの継続的な改善を推進します。2022年版のISO 27001では、このサイクルがより柔軟に運用できるように改定されています。

附属書A管理策（Annex A Controls）

ISO 27001の附属書Aは、組織が実施すべき情報セキュリティ管理策のリファレンスセットを提供しています。2022年版では管理策が再構成され、4つのテーマ（組織的管理策、人的管理策、物理的管理策、技術的管理策）に分類された93の管理策が規定されています。

組織は、リスクアセスメントの結果に基づいて、附属書Aから適用する管理策を選定し、適用宣言書（SoA：Statement of Applicability）に文書化します。すべての管理策を適用する必要はありませんが、適用しない管理策については正当な理由を記載する必要があります。

ISO 27002との関係

ISO/IEC 27002は、ISO 27001の附属書Aに記載された管理策について、詳細な実施ガイダンスを提供する規格です。各管理策の目的、実施方法、追加情報が記載されており、組織が管理策を具体的に実装する際の参考となります。

2022年に改訂されたISO 27002:2022では、クラウドサービスのセキュリティ、脅威インテリジェンス、ICTサプライチェーンセキュリティなど、現代の情報セキュリティ環境に対応した新しい管理策が追加されました。ISO 27001の附属書Aもこの改訂に合わせて更新されています。

認証プロセス

ISO 27001の認証取得プロセスは、一般的に準備段階（ISMSの構築・運用）、ステージ1審査（文書審査）、ステージ2審査（現地審査）の3段階で進行します。ステージ1では、ISMSの文書体系が規格要求事項を満たしているかを確認し、ステージ2では、ISMSが実際に運用され、有効に機能しているかを確認します。

認証は3年間有効であり、毎年の維持審査（サーベイランス審査）と、3年ごとの更新審査（再認証審査）が必要です。審査では不適合事項が指摘された場合、一定期間内に是正処置を完了する必要があります。重大な不適合が是正されない場合、認証が取り消される可能性があります。

リスクアセスメント

リスクアセスメントはISMSの中核となるプロセスです。組織の情報資産を特定し、それらに対する脅威と脆弱性を分析し、リスクの大きさを評価します。リスクの評価には、脅威の発生可能性と影響度を組み合わせたリスクマトリクスが一般的に使用されます。

評価されたリスクに対しては、リスク対応として、リスクの低減（管理策の実施）、リスクの回避（リスク源の排除）、リスクの移転（保険・外部委託）、リスクの受容（許容範囲内として受け入れ）のいずれかの方針を決定します。リスクアセスメントは定期的に、また環境変化時に再実施し、管理策の有効性を継続的に確認する必要があります。

• 01
  経営層のコミットメントとリーダーシップ：ISMSの構築・運用には経営層の積極的な関与が不可欠です。情報セキュリティ方針の承認、必要なリソース（人材・予算・ツール）の確保、マネジメントレビューへの参加を通じて、組織全体にセキュリティ文化を浸透させましょう。
• 02
  体系的なリスクアセスメントの実施：情報資産の棚卸しを行い、脅威と脆弱性を特定した上で、リスクの大きさを定量的・定性的に評価してください。評価結果に基づいてリスク対応計画を策定し、附属書Aの管理策から適切なものを選定・実施しましょう。リスクアセスメントは最低年1回、または重大な変更時に再実施してください。
• 03
  文書管理体制の確立：ISMSに必要な文書（方針、手順書、記録、適用宣言書など）を体系的に管理してください。文書の作成・承認・改訂・配布・廃棄のプロセスを定め、最新版の管理と旧版の管理を徹底しましょう。過度な文書化を避け、実効性のある文書体系を構築することが重要です。
• 04
  内部監査プログラムの計画的実施：ISMSの有効性を評価するため、計画的に内部監査を実施してください。監査員の力量確保（研修・資格取得）、監査計画の策定、監査結果の報告・フォローアップのプロセスを確立し、形骸化しない実質的な監査活動を行いましょう。
• 05
  従業者の教育・訓練と意識向上：全従業者を対象とした情報セキュリティ教育を定期的に実施し、セキュリティ意識の向上を図ってください。新入社員研修、定期的なe-ラーニング、標的型メール訓練、インシデント対応訓練など、多角的なアプローチで組織のセキュリティリテラシーを高めましょう。
• 06
  インシデント管理と是正処置のプロセス整備：セキュリティインシデントの検知・報告・対応・復旧・再発防止のプロセスを整備してください。インシデント発生時の初動対応手順を文書化し、定期的な訓練を実施しましょう。また、インシデントや監査指摘事項に対する是正処置を確実に実施し、根本原因の分析に基づく再発防止策を講じることで、ISMSの継続的な改善を実現してください。