ISO27001ガイド：サイバーセキュリティ規格を理解する
このガイドでは、管理体制の基本からデータ処理に関する要件の詳細などISO 27001について知るべきすべてのことを紹介します。
ISO27001とは？
ISO27001 は、国際標準化機構(ISO)が制定したサイバーセキュリティ規格です。ISOは、国際的に通用する規格の開発・推進を担う国際機関です。
ISO 27001 はサイバーセキュリティのリスク管理における要件を定義した規格であり、組織がサイバー脅威からデータを保護するための指針となります。
こういった指針は不正アクセスや不適切な使用、盗難などからデータを保護するために役立ちます。また、攻撃やデータ流出によるシステム被害を防ぐためにも有効です。
どのような種類のサイバーセキュリティにISO27001認証が必要なのでしょうか？
ISO 27001 への準拠を証明する必要がある組織は多くの場合、ISO 27001認証機関からの認証を必要とします。ISO27001の認証を提供している認定認証機関は数多くあり、そのほとんどはプログラムの詳細や認証の取得方法についての情報を各Webサイトで公開しています。
もしあなたがISO27001への準拠を証明する必要がある組織に該当する場合、この規格のどの面において認証が必要なのかを理解しておかなければなりません。これについても認定認証機関のWebサイトで確認することができます。
ISO27001の基礎知識
ISO 27001は基本方針 の確立、実施、運用、評価の4つのパートに分かれています。基本方針のパートでは組織に必要な情報セキュリティマネジメントシステム(ISMS)の基礎の確立について、また実施のパートでは組織がどのようにISMSを構築し、展開すべきかを規定しています。
そして運用のパートでは組織がどのようにISMSを使用してデータや資産を保護すべきか、評価のパートでは組織が ISMS を維持・改善していくために必要な指導を提供しています。
当規格に準拠するためにはリスクアセスメント、脆弱性診断、リスクマネジメント、インシデント対応の計画、データ保護計画、コンプライアンスの監視・評価活動といった事項に関する要件を実施できている必要があります。
なお、ISO 27001への準拠を求められる組織は情報セキュリティ管理者（ISM）を任命する必要があります。
ISO27001はサイバーセキュリティフレームワークにどのように適合しますか？
ISO 27001はサイバーセキュリティにおいて最も重要な標準化団体の 1 つです。
- サイバーセキュリティのエコシステムにおいてすべての製品とサービスが適切に保護されていることを保証しています。
- サイバーセキュリティ規格の作成・実施を行います。これらの規格は、製品やサービスがサイバー攻撃から保護される設計を有していることを保証するためのものです。また、それらの製品やサービスが基準を満たしているか確認するために実施するテストや認証を受ける方法の制定を行います。
- サイバーセキュリティのエコシステム内において異なる機関の橋渡しをする役割を持っています。国際標準化機構(ISO)をはじめ他の団体と協力することによってISO27001は製品とサービスのスムーズな連携を支えることができます。こういった体制下でサイバーセキュリティの展望がまとまり、統合されていくのです。
ISO27001を導入するメリット
ISO 27001の導入には、多くのメリットがあります。その一例をご紹介します。
- サイバーセキュリティのパフォーマンスが向上 – ISO 27001 は、組織がサイバーセキュリティのパフォーマンスを測定し、その結果をもとにどのように向上させていくことができるのかを理解するためのフレームワークを提供します。
- より良い管理体制：組織のサイバーセキュリティリスクを理解することにより、管理責任者が組織のセキュリティ体制をより適切に監督できるようになります。
- 攻撃に対する耐性の向上： ベストプラクティスを導入することによりサイバー攻撃への耐性を高めることができます。これにより、サイバー攻撃が組織運営に与える影響を軽減することができます。
- ISO27001の導入により、組織や顧客に深刻な影響を与える可能性のあるデータ漏洩のリスク削減が期待できます。
ISO 27001導入の要求事項
ISO27001:2013に準拠する組織として認定されるためには、情報セキュリティにおける下記3つの側面すべてに対応する総合的なセキュリティマネジメントシステムを導入していることを証明する必要があります。
- 機密性、
- 完全性、
- そして可用性です。
また、システムは不正なアクセスや破壊行為、改ざんからデータを保護するための構成である必要があります。
サイバーセキュリティ認証取得を目指す際に考慮すべきこと
サイバーセキュリティの認証を目指すのであれば、様々なISO規格を意識することも大切です。ISOとは製品やサービスにおいて世界的に通用する品質基準を制定する標準化団体です。
ISO 27001:2013は、機密情報を運用・処理する組織のために設計されたサイバーセキュリティ規格です。当規格はリスクアセスメントからインシデント対応にいたるまでサイバーセキュリティのあらゆる側面をカバーしており、組織が認証を取得するためには規格が定める要求事項を満たしている必要があります。
ISO27001は、サイバーセキュリティ分野で最も一般的に使用されている認証で、サイバーセキュリティリスクの理解と管理に重点を置いています。認証には組織によるリスクの特定・評価および統制と手順の評価、そしてそれらが有効である証拠の提供が求められます。
サイバーセキュリティ認定を受けるにあたっては両方の規格とも重要な存在です。異なる規格を複数理解しておくことは、組織に適した規格を選択する際に役立ちます。
組織として、ISO 27001 規格の最新の変更点は把握しておかなければなりません。新しいISO 27001規格には、組織が行うデータ保護やGDPRへの準拠を支援する重要な改正が数多く追加されました。
これらの更新内容を念頭に、組織の情報セキュリティマネジメントシステム(ISMS)をISO27001へレベルアップする際に留意すべき5つのポイントを紹介します。
- データセキュリティ項目の強化 – データの収集、保存、処理の方法についてより厳格な管理が規定されました。これにより、不正なアクセスや不正利用からデータを保護する体制を強化することが目的です。
- リスクマネジメント方針の改善 – リスクアセスメントとリスク対策の優先度をつける方法についてのガイダンスが改善されています。組織が抱える脆弱性を早期発見することにより、大きな問題へ発展する前の緩和へ繋げることが目的です。
- より効果的なインシデント対応手順–サイバー攻撃やインシデントの対応において、損害や混乱を引き起こすことなく迅速に解決する方法についてさらに具体的なガイダンスを提供しています。
- 強化されたチーム間の結束– 新しい規格には、組織内の異なる部門をまたぐチーム結束と横断的な作業に関する規定が示されています。これにより、情報セキュリティに関わるすべての人員がポリシーや手順、アップデートなどに関する情報を確実に認識できる体制づくりを支援します。
ISO27001認証取得までの流れ
はじめに、組織は関連する下記のような規制要件を満たしている必要があります。
- Payment Card Industry Data Security Standard (PCI DSS:国際的なクレジット産業向けのデータセキュリティ基準)
- サーベンス・オクスリー法第302条（b）
- 医療保険の相互運用性と説明責任に関する法令の第160 データ保護に関する規制
- EU一般データ保護規則(GDPR)、その他
当サービスは、文書作成、プロジェクトチームの編成、適切な規格の特定、ガイドラインの作成、エビデンスの収集、管理計画の作成、実施、評価など多岐にわたるサポート内容を提供いたします。
ISO 27001 ベストプラクティス
組織はリスクアセスメント、脆弱性の特定、効果的なインシデント対応計画の策定を行う必要があります。また、情報セキュリティに効果的な品質マネジメントシステムの確立、そして盗難や損傷、不正アクセスから情報を保護するための物理的なセキュリティプログラムを実施できなければなりません。
ISO27001は総合的な内容を含んだ規格であり、要件を満たすには多大な時間とリソースの投資を要するものでありながら、サイバーセキュリティの成功において重要な基礎となるものです。
ISO認証の取得は、ビジネスにおける情報と通信システムの保護に有効な方法です。
考察
ISO27001 はサイバーセキュリティに関する国際規格であり、組織が行うサイバーセキュリティのリスク管理および監視のためのフレームワークを提供しています。
あなたの組織がサイバーセキュリティ体制の改善を検討している場合、ISO 27001認証の活用を検討してみましょう。この認証は、組織がサイバーセキュリティ管理を行う機能を有していることを示すものです。
また、ISO規格が単体で機能するものではないということを忘れてはいけません。企業組織はサイバー攻撃から自らを守るための戦略も同時に備えている必要があります。ISO 27001認証と強固なセキュリティ戦略の両方を持つことで、組織を危害から守り安全に保つことができるのです。
ISO27001: よくあるご質問 (FAQ)
ISO 27001は世界中で通用するサイバーセキュリティ規格であり、企業組織が会社のデータやシステムをサイバー攻撃から保護するための要件を規定しています。
多くの組織は法律により、コンプライアンス義務を果たすことが求められています。それもまた国際標準化機構(ISO)やその他多くの組織がサイバーセキュリティ管理の標準として推奨していることなのです。
ISO 27001へ準拠が求められる組織は一般的に以下の通りです。
- 銀行
- 航空会社
- 病院
- 通信キャリア
- 保険会社
- 小売業者
- 政府機関
ISO 27001はサイバー攻撃から組織の情報システム、IT資産、人材を保護するための一括したフレームワークを提供します。この規格にはリスクアセスメント、情報セキュリティ方針とその手順、インシデントへの対応、データ管理、情報保証、技術評価の6つの主要な章が示されています。
ISO 27001は情報セキュリティの管理に関する国際規格です。今回の更新は、現在の問題点に対処する規格全体としての機能を改善させるために行われました。
ISO 27001は組織がサイバーセキュリティパフォーマンスを評価するために活用できる認証フレームワークであり、リスクマネジメント、情報セキュリティガバナンス、インシデント対応、保護措置の4つの分野があります。
ISO27001の認証取得は任意ではありますが、サイバーセキュリティの業界標準を満たしていることを示すために多くの組織が当規格の導入を選択しています。またISO 27001は、多くの企業が独自に設定する基準や手順の基礎としても採用されています。
ISO27001 の更新版では新しいテクノロジーや変化を遂げたビジネス事例などが取り入れられており、今日のセキュリティにおける課題に対処する上でより効果的かつ効率的なものとなっています。
ISO 27001最新版の重要な改定は下記のとおりです。
- ビジネス全体のリスクに対応できるよう範囲を拡張
- リスクアセスメント・リスクマネジメントの重要性を強化
- 情報セキュリティマネジメントシステム(ISMS)に対する要求事項の改訂
これらの重要な変更点を理解して組織に適用することにより、最新の規格に合った情報セキュリティ戦略を構築することができます。
ISO27001はトップダウン形式で組織全体に向けて実施されるものであり、企業の戦略的目標およびパフォーマンス目標の特定を行い、どのように達成していくかを定めています。
また、プロセスの改善や変更管理に関する具体的な要求事項など、目標達成のためにすべきことを具体的に示し ています。
新しいISO規格は組織の急速な変化とそれに付随する新たな課題への迅速な対処を念頭に入れて開発されました。そのため、多種多様な組織がそれぞれのニーズに合わせて取り入れることができるよう、多くの柔軟性が盛り込まれています。
ISO 27001とは、あなたの組織の現状と目標地点、そして目標達成への道筋をより分かりやすくしてくれる規格でもあるのです。
ISO（国際標準化機構）は世界的に通用する規格の策定を支援する非政府組織です。ISOのロゴを表示することにより、その組織がその規格によって定められた基準を満たしていることが一目で分かります。
ISOは国連の傘下で運営されています。これは、アメリカや中国などの全加盟国がその規格を守ることに合意していることを意味します。それゆえにISOには他の組織が持ちえない高い信頼性と権限が与えられているのです。
ISOは、サイバーセキュリティ問題の研究を実施することで規格の内容が適切かつ有用であることを保証するだけでなく、当該規格が正しく実装されているかどうかを確認するためのテスト方法の策定も行っています。そのため、企業は自社のサイバーセキュリティシステムが最新のものであり、適切なISO規格の要件を満たしているか確認することができます。
ISO27001の要件を満たしていない場合の対処法はいくつかあります。
まず、組織の現在のサイバーセキュリティ体制を見直して必要な変更を加えます。その際にベンダーと連携し、サイバーセキュリティの保護に係る改善を検討してもよいでしょう。
それでもISO 27001の要件を満たしていない場合は、セキュリティインフラストラクチャの見直しが必要な可能性があります。これには、新しいサイバーセキュリティ手順の導入やシステムの更新により最新の規格に適合させる作業が伴います。
いずれの方法にしても、最新のサイバーセキュリティ規格を把握していつ起こるかわからない攻撃から組織を保護できる体制を整えておくことは必須です。
