information-security-manager-iso27001

情報セキュリティマネージャー - ISO 27001

ISO 27001:2022 および医療分野の規制要件に準拠した情報セキュリティマネジメントシステム（ISMS）を導入し、管理します。スコープ設定、6.1.2 項に基づくリスク評価、4 つのテーマにわたる 93 の附属書 A 管理策の選定と実施、認証取得への準備、インシデント対応、SOC 2、NIST CSF 2.0、NIS2 とのフレームワーク横断的なマッピングまで、ライフサイクル全体をカバーします。さらに、クラウド固有（AWS/Azure/GCP）のガイダンスとゼロトラストのガイダンスも提供します。

主な機能

• ISMS の導入 — スコープと状況の定義、リスク対応、適用宣言書（SoA）、モニタリング指標、認証取得への準備（ステージ 1/2）
• リスク評価 — 6.1.2 項の方法論、資産の分類、脅威・脆弱性のモデル化、可能性 × 影響度の評価、対応計画
• 管理策の実施 — クラウドプロバイダーとの対応付けとゼロトラストの統合を含む、附属書 A:2022 の 93 の管理策すべて（組織的、人的、物理的、技術的）
• インシデント対応 — 検知、トリアージ／分類、封じ込め、復旧、教訓の整理
• フレームワーク横断的な整合 — ISO 27001 ↔ SOC 2 TSC ↔ NIST CSF 2.0 ↔ NIS2、およびサプライチェーンとハードウェアキー（FIDO2）の要件

使用するタイミング

「ISO 27001 を導入する」「ISMS の導入」「セキュリティリスク評価」「情報セキュリティポリシー」「ISO 27001 認証」「セキュリティ管理策の実施」「インシデント対応計画」「医療データのセキュリティ」「医療機器のサイバーセキュリティ」「セキュリティコンプライアンス監査」といった依頼があった場合に、このスキルを使用します。

最初に確認すること

評価を実施する前に、以下の入力項目を確定します。不足している項目や曖昧な項目によって結果が変わる場合は質問し、結果に影響しない場合は妥当なデフォルトを使用し、使用した内容を明示します。

• ISMS のスコープ： 境界内に含めるシステム、拠点、データ（適用宣言書とリスク評価に影響します）。
• タスク： ISMS の導入、リスク評価、ギャップ分析、インシデント対応（ワークフローとスクリプトを決定します）。
• 脅威の状況： 一般、医療、クラウド（脅威カタログを選択し、リスク登録簿の入力内容を変更します）。

リスト全体ではなく、この依頼で最も重要な 2〜3 項目について質問します。ユーザーがすぐに結果を求めている場合は、結果を提示し、冒頭に前提を明記します。

クイックスタート

# Run a security risk assessment
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json

# Check ISO 27001 compliance status
python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv

# Generate a gap analysis report
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

参考資料

タスクに合った参考資料を読み込みます。このファイルは簡潔に保ち、必要に応じて詳細を参照してください。

• references/workflows-and-tools.md — ISMS 導入、リスク評価、インシデント対応のステップごとのワークフロー、検証チェックポイント、認証準備チェックリスト、医療分野の具体例、トラブルシューティング、成功基準、および risk_assessment.py / compliance_checker.py の全フラグ一覧。エンドツーエンドのワークフローを実行するときや、スクリプトのフラグを確認するときに読みます。
• references/annex-a-controls.md — 4つのテーマにわたる Annex A:2022 の全93管理策と、2022年に新設された11管理策の完全な一覧。適用宣言書を作成・更新するときや、2013年版の適用宣言書を2022年版に対応付けるときに読みます。
• references/cloud-and-cross-framework.md — AWS/Azure/GCP の管理策マッピング、ゼロトラストアーキテクチャの統合、ハードウェアセキュリティキー（FIDO2/WebAuthn）の要件、サプライチェーンセキュリティ、および ISO 27001 ↔ SOC 2 / NIST CSF / NIS2 のマッピング。特定のクラウド環境に導入するとき、ゼロトラストを設計するとき、または複数の認証取得を目指すときに読みます。
• references/iso27001-controls.md — エビデンス要件と監査準備を含む、Annex A 管理策の実施ガイダンス。適用宣言書に含める管理策の選定と監査準備のために読みます。
• references/risk-assessment-guide.md — リスク評価手法の選定、資産分類基準、脅威モデリング手法、リスク計算方法。リスク評価プロセスを設計する前に読みます。
• references/incident-response.md — 詳細な対応手順、エスカレーションマトリクス、コミュニケーションテンプレート、復旧チェックリスト。インシデント対応計画を策定・実行するときに読みます。

対象範囲と制限事項

対象範囲: ISO 27001:2022 の ISMS 導入（4つのテーマにわたる Annex A の全93管理策）、設定可能な脅威カタログ（一般、医療、クラウド）を用いた第6.1.2項に基づくリスク評価、ISO 27001/27002 に対するコンプライアンスチェックとギャップ分析、SOC 2 TSC、NIST CSF 2.0、NIS2 とのフレームワーク横断マッピング、AWS/Azure/GCP 向けのクラウド固有の管理策、段階的ロードマップを用いたゼロトラスト統合、ハードウェアセキュリティキー（FIDO2/WebAuthn）の要件、SBOM とベンダーリスクの階層化を含むサプライチェーン管理策。

対象外: ISO 27001 認証監査の実施（監査サービスではなく、準備に関するガイダンスのみ）；特定のセキュリティツール（SIEM、EDR、DLP、WAF）の導入（カテゴリへのマッピングのみ）；ペネトレーションテストや脆弱性スキャンの実行（infrastructure-compliance-auditor を使用してください）；相互参照を超える ISO 27701/27017/27018 の導入；管理策の要件を超える物理セキュリティシステムの設計。

重要な注意事項:

• ISO 27001:2013 から 2022 への移行期限は2025年10月でした。現在、すべての認証は2022年版に準拠する必要があります。
• 2022年の改訂では、特に A.5.7（脅威インテリジェンス）、A.5.23（クラウドサービス）、A.8.9（構成管理）、A.8.16（監視活動）、A.8.28（セキュアコーディング）など、まったく新しい管理策が11件追加されました。
• 調和された Annex SL 構造を介した他の規格（ISO 27701、ISO 42001、ISO 9001）との統合が、一般的な実務になりつつあります。

統合ポイント

スキル	統合内容	使用するタイミング
isms-audit-expert	内部および外部のISMS監査管理、管理策のテストと指摘事項の管理	ISO 27001監査を計画または実施し、是正措置を追跡する場合
infrastructure-compliance-auditor	技術インフラのチェックにより、ISO 27001附属書Aの技術的管理策を検証します	ISO 27001の要件に照らして、実際のインフラのセキュリティ態勢を評価する場合
soc2-compliance-expert	二重コンプライアンスに向けて、SOC 2のトラストサービス基準をISO 27001の管理策に対応付けます	組織がISO 27001認証とSOC 2 Type II報告書の両方を必要とする場合
gdpr-dsgvo-expert	GDPR第32条の処理のセキュリティをISO 27001の管理策に整合させ、A.5.34で個人識別情報を保護します	ISMSでGDPRコンプライアンス要件をサポートする必要がある場合
nist-csf-specialist	米国で事業を展開する組織向けに、NIST CSF 2.0の機能をISO 27001に対応付けます	ISO 27001とNIST CSFにまたがる統合セキュリティフレームワークを構築する場合
dora-compliance-expert	ISO 27001の管理策により、金融機関向けのDORA第1の柱（ICTリスク管理）要件をサポートします	金融機関がDORAコンプライアンスの基盤としてISO 27001を利用する場合