implementing-iso-27001-information-security-management

ISO 27001 情報セキュリティマネジメントの実装

概要

ISO/IEC 27001:2022 は、情報セキュリティマネジメントシステム（ISMS）の確立、実装、維持、および継続的改善に関する国際規格です。このスキルでは、適用範囲の決定から認証取得までの完全なライフサイクルを扱い、附属書 A の管理策の選定、リスク評価の手法、適用宣言書（SoA）の作成、継続的改善のプロセスを含みます。

使用する場面

• 環境で ISO 27001 情報セキュリティマネジメント機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ管理策を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装を必要とするセキュリティ評価を実施する場合

前提条件

• 情報セキュリティの原則とリスク管理の概念を理解していること
• 組織のガバナンス体制とビジネスプロセスに精通していること
• IT インフラストラクチャ、ネットワークアーキテクチャ、データフローに関する知識があること
• ISO/IEC 27001:2022 および ISO/IEC 27002:2022 の規格文書にアクセスできること

基本概念

ISMS の箇条（4～10）

マネジメントシステムの要求事項では、実施すべき内容が定められています。

• 箇条 4 - 組織の状況：適用範囲、利害関係者、内部および外部の課題を定義します
• 箇条 5 - リーダーシップ：トップマネジメントのコミットメント、情報セキュリティ方針、役割と責任を定めます
• 箇条 6 - 計画：リスク評価プロセス、リスク対応計画、情報セキュリティ目標を定めます
• 箇条 7 - 支援：資源、力量、認識、コミュニケーション、文書化した情報を定めます
• 箇条 8 - 運用：運用計画、リスク評価の実施、リスク対応の実施を定めます
• 箇条 9 - パフォーマンス評価：監視、測定、内部監査、マネジメントレビューを定めます
• 箇条 10 - 改善：不適合、是正処置、継続的改善を定めます

附属書 A の管理策（2022 年版）

2022 年の改訂では、93 の管理策が次の 4 つのカテゴリに再編されました。

カテゴリ	管理策	例
組織的（A.5）	37 の管理策	方針、役割、脅威インテリジェンス、クラウドセキュリティ
人的（A.6）	8 の管理策	審査、認識、リモートワーク、報告
物理的（A.7）	14 の管理策	境界、入退管理、機器のセキュリティ
技術的（A.8）	34 の管理策	アクセス制御、暗号化、ログ記録、安全な開発

2022 年版で新設された管理策

新たに 11 の管理策が追加されました。

1. A.5.7 - 脅威インテリジェンス
2. A.5.23 - クラウドサービスのための情報セキュリティ
3. A.5.30 - 事業継続のための ICT の備え
4. A.7.4 - 物理的セキュリティの監視
5. A.8.9 - 構成管理
6. A.8.10 - 情報の削除
7. A.8.11 - データマスキング
8. A.8.12 - データ漏えい防止
9. A.8.16 - 監視活動
10. A.8.23 - ウェブフィルタリング
11. A.8.28 - セキュアコーディング

ワークフロー

フェーズ 1：ギャップ分析と適用範囲の決定（第 1～4 週）

1. ISMS の適用範囲を定義します（拠点、事業部門、システム）
2. 利害関係者とその要求事項を特定します
3. ISO 27001:2022 の要求事項に照らしてギャップ分析を実施します
4. 内部および外部の状況を文書化します（PESTLE、SWOT）
5. トップマネジメントのコミットメントを得て、予算を割り当てます

フェーズ 2：リスク評価（第 5～10 週）

1. リスク評価の手法を定義します（資産ベース、シナリオベース、またはハイブリッド）
2. 情報、人員、プロセス、テクノロジーを網羅する資産台帳を作成します
3. 各資産の脅威と脆弱性を特定します
4. 定義した基準を用いて、リスクの可能性と影響度を評価します
5. リスクレベルを算出し、リスク対応の選択肢（低減、受容、移転、回避）を決定します
6. リスク対応計画（RTP）を策定します

フェーズ 3: 管理策の選定と SoA（第 11～14 週）

1. リスク対応策を附属書 A の管理策にマッピングする
2. 以下を記載した適用宣言書（SoA）を作成する:
   • 適用される管理策とその正当化理由
   • 除外される管理策とその正当化理由
   • 各管理策の実施状況
3. 責任者と期限を含む管理策の実施計画を設計する

フェーズ 4: 実装（第 15～30 週）

1. 情報セキュリティ方針を策定し、承認を得る
2. 選定した附属書 A の管理策を実装する
3. 必須の文書化された手順を作成する:
   • 情報セキュリティ方針（A.5.1）
   • リスクアセスメントプロセス（箇条 6.1.2）
   • リスク対応プロセス（箇条 6.1.3）
   • 内部監査プログラム（箇条 9.2）
   • マネジメントレビュープロセス（箇条 9.3）
   • 是正処置手順（箇条 10.1）
4. 技術的管理策とセキュリティツールを導入する
5. 全従業員を対象としたセキュリティ意識向上トレーニングを実施する

フェーズ 5: 内部監査とマネジメントレビュー（第 31～36 週）

1. 全箇条および適用される管理策を対象とした内部監査プログラムを計画し、実施する
2. 監査所見と不適合を文書化する
3. 根本原因分析を伴う是正処置を実施する
4. 以下を対象としたマネジメントレビューを実施する:
   • 過去の処置の状況
   • 内部・外部の課題の変化
   • 情報セキュリティのパフォーマンス指標
   • 監査結果およびリスクアセスメントの結果
   • 改善の機会

フェーズ 6: 認証審査（第 37～42 週）

1. 第 1 段階審査: 文書レビューと準備状況の評価
2. 第 1 段階で指摘された事項に対応する
3. 第 2 段階審査: ISMS の有効性に関する現地審査
4. 不適合を解消する（重大な不適合（major NCR）の場合は再審査が必要）
5. ISO 27001 認証を取得する（有効期間は 3 年）

フェーズ 7: 継続的改善（継続的に実施）

1. 年次サーベイランス審査（1 年目および 2 年目）
2. 再認証審査（3 年目）
3. 定期的なリスクの再評価と管理策の有効性レビュー
4. インシデントを契機とした改善と教訓の取り込み

主要な成果物

• ISMS 適用範囲文書
• 情報セキュリティ方針
• リスクアセスメント方法論
• リスク登録簿およびリスク対応計画
• 適用宣言書（SoA）
• 内部監査報告書
• マネジメントレビュー議事録
• 是正処置登録簿
• 指標および KPI ダッシュボード

よくある落とし穴

• 適用範囲が広すぎる、または狭すぎて、監査上の問題が生じる
• ISO 27001 をビジネスプロセスに組み込むのではなく、チェックリストの作業として扱ってしまう
• トップマネジメントの関与とコミットメントが不十分である
• 管理策が運用されていることを示す文書化された証拠を維持できない
• 脅威の状況の変化に合わせて定期的なリスクの再評価を行わない
• 移行期間中に 2022 年版で追加された 11 の新しい管理策を無視する

連携のポイント

• ISO 27002:2022: 附属書 A の管理策に関する詳細な実装ガイダンス
• ISO 27005: 情報セキュリティリスクマネジメントの方法論
• ISO 27017: クラウドセキュリティの管理策
• ISO 27018: クラウドサービスにおける PII の保護
• ISO 27701: プライバシー情報マネジメントシステム（PIMS）の拡張
• NIST CSF 2.0: 二重準拠のためのクロスマッピング
• SOC 2: 重複する信頼のサービス規準

参考文献

• ISO/IEC 27001:2022 Information Security Management Systems
• ISO/IEC 27002:2022 Information Security Controls
• ISO/IEC 27005:2022 Information Security Risk Management
• ISMS.online ISO 27001 Annex A Guide: https://www.isms.online/iso-27001/annex-a-2022/
• IT Governance ISO 27001 Controls Guide: https://www.itgovernance.co.uk/blog/iso-27001-the-14-control-sets-of-annex-a-explained