ISMSクラウドセキュリティ認証（ISO/IEC27017）とは？取得メリットや方法を紹介

近年、クラウドサービスを利用する企業が増えてきています。

その一方でクラウドサービスに保存した情報が漏洩してしまったり、アカウントが第三者に利用されてしまったりなどのリスクがあることから、利用に踏み切れていない企業も見受けられます。

このような企業に利用してもらうため、クラウドサービス提供事業者ができることとして『 ISMSクラウドセキュリティ認証』の取得があります。

ISMSクラウドセキュリティ認証を取得することで情報の適切な管理体制ができていることを示せるため、自社のクラウドサービスの安全性を利用者にアピールすることができるでしょう。

本記事では、ISMSクラウドセキュリティ認証とは何か、取得することでどのようなメリット・デメリットがあるのかなどを解説します。

ISMSの基礎知識をまとめたガイドブックを配布中！「そもそもISMSってなに？」「認証取得って具体的に何をするの？」などの疑問を解決できます。
⇒ISMSまるわかりガイドをダウンロード

ISMSクラウドセキュリティ認証とは？

ISMSクラウドセキュリティ認証とは、クラウドサービスにおける情報セキュリティ管理が適切に行われていることを証明する認証のことです。

ISMSクラウドセキュリティ認証を取得することで、クラウドサービスの情報セキュリティ管理体制を作ることができます。

ISMSクラウドセキュリティ認証はISMS 認証に追加して取得できる「アドオン認証」です。そのためISMS クラウドセキュリティ認証を取得するには、事前あるいは同じタイミングで ISMS認証も取得する必要があります。

ISO/IEC 27017 とは？

『ISO/IEC 27017』とは、クラウドサービスにおける情報セキュリティ管理策をまとめた国際規格（ガイドライン）のことです。

ISMSクラウドセキュリティ認証を取得するためには、『ISO/IEC 27017』に準拠した、組織のクラウドセキュリティに関する管理体制を構築する必要があります。

【関連記事】ISMSクラウドセキュリティ認証の要求事項は？取得するメリットも紹介

ISMS クラウドセキュリティ認証の認定機関

ISMSクラウドセキュリティ認証を取得するには、ISMS-ACの認定を受けた審査機関から審査を受ける必要があります。
日本では、ISMS-AC（情報マネジメントシステム認定センター）がISMS分野の認定機関です。
上記の認定機関から認定を受け、実際に組織やサービスを審査し、認証証明書を発行する組織のことを認証機関と言います。
ISMS クラウドセキュリティ認証取得の第一歩目は、この認定機関による認定を受けた認証機関を選定することです。

【関連記事】ISMS審査機関とは？選ぶときのポイントを解説 

ISMS クラウドセキュリティ認証の対象となる組織

ISMSクラウドセキュリティ認証の対象となる組織は、クラウドサービスを提供または利用する組織、もしくはその両方にあてはまる組織です。
クラウドサービスを運用する組織であれば、自社の組織の情報セキュリティ管理の成熟度を示すためにこの認証を取得できます。

【関連記事】ISO 27001（ISMS）の適用範囲とは？作成が必要な書類は？

ISMSクラウドセキュリティ認証を取得するメリット

ISMSクラウドセキュリティ認証を取得するメリットとして、主に以下の2つが挙げられます。

• クラウドサービス提供・利用における情報セキュリティリスクの低下

• クラウドサービスの情報取り扱いにおける信頼性の向上

それぞれ見ていきましょう。

クラウドサービス提供・利用における情報セキュリティリスクの低下

『ISO/IEC 27017』に沿った情報セキュリティ管理体制を整え、 ISMS クラウドセキュリティ認証を取得することで、クラウドサービスの提供・利用における情報セキュリティリスクを下げることが可能です。

情報漏洩などのインシデントを防げるため、お客様に安心してクラウドサービスを利用してもらいやすくなるでしょう。

企業（組織）の情報取り扱いにおける信頼性の向上

ISMSクラウドセキュリティ認証を取得していると、取引先企業やサービスの利用者、商品の購入者などに情報を適切に取り扱っていることをアピールすることができます。

特に大手企業などでは取引先企業や利用するクラウドサービスを選ぶ際、情報の取り扱いについても厳しく見ているケースがあります。こういった企業と取引するためには ISMS認証や ISMSクラウドセキュリティ認証などの取得が必須になる場合もあります。

考え方を変えれば、 ISMS認証やISMSクラウドセキュリティ認証を取得することで大手企業とも取引できる可能性が生まれるということです。

【関連記事】ISMSクラウドセキュリティ認証（ISO/IEC 27017）を取得している企業の特徴は？

ISMSクラウドセキュリティ認証を取得するデメリット

ISMSクラウドセキュリティ認証の取得に入る前に、デメリットについても知っておきましょう。
デメリットとしては、次の2つが考えられます。

• 認証取得・運用の工数が多い

• 審査費用がかかる

認証取得・運用の工数が多い

ISMSクラウドセキュリティ認証、もといISMS認証を取得するには、さまざまな準備が必要です。例えば、情報セキュリティの規程を決めたり、社内で行った施策を書面に残したりといった作業が求められます。

また ISMS認証の取得に必要な文書も含めて、作成するISMS文書の数は60以上に 及ぶことがあり、管理にも大きな労力がかかります。

さらに、情報セキュリティに関する守るべきルールが増えたり、セキュリティ教育を受講しなければならなかったりなど、社員に負担がかかるケースもあります。

審査費用がかかる

ISMSクラウドセキュリティ認証（ISMS認証）の取得のためには、審査機関による審査を受ける必要があります。その審査を受けるためには費用が必要です。

審査費用は認証の対象となる範囲や企業の規模、審査を依頼する機関によって異なるため事前に複数の審査機関に見積もりを依頼しておくことをおすすめします。

【関連記事】ISMSクラウドセキュリティ認証とISMAPの違いは？どちらを申請するべき？

ISMSクラウドセキュリティ認証を得るための条件

ISMSクラウドセキュリティ認証を取得するためには、まず「ISO/IEC 27001」を取得する必要があります。
その上で、ISO/IEC 27001の適用範囲に含まれるクラウドサービスの提供または利用に関して、ISO/IEC 27017に規定されるクラウドサービス固有の管理策が適切に実施されていることを審査された後に、認証を取得できます。

そのため、ISMSクラウドセキュリティ認証を取得する前に、ISO/IEC 27001を取得しているかどうかを確認してください。

【関連記事】ISO/IEC 27001とは？要求事項や取得費用、メリットを分かりやすく解説

ISMSクラウドセキュリティ認証取得までの流れ

ISMSクラウドセキュリティ認証取得までは、主に以下のような流れで進んでいきます。

1. ISMS認証の取得

2. 「JIP-ISMS517」「ISO/IEC27017」への対応

3. 認証審査

4. ISMSクラウドセキュリティ認証の取得

3の「審査」を受けるためには、事前にISMSクラウドセキュリティ認証の審査機関に依頼する必要があります。

審査機関は情報マネジメントシステム認証センターのページで一覧が公開されているので参考にしてください。

【関連記事】「クラウドサービスの利用に関するセキュリティ」とは？ISMS認証新規格(ISO/IEC27001:2022)追加管理策としての取り組みのポイントを解説

SecureNaviを活用して、ISMSクラウドセキュリティ認証（ISO/IEC 27017）の取得や運用を効率化しましょう

今回は、ISMSクラウドセキュリティ認証（ISO/IEC27017）の内容や取得のメリット・デメリット、取得時の流れなどを紹介しました。利用者にとって非常に便利なクラウドサービスですが、安全に活用するためには、サービスの提供側・利用側、双方の情報セキュリティ対策が必須です。

クラウドサービスを提供する、または利用する場合、クラウドサービスの品質を向上するために、 ISMS クラウドセキュリティ認証の取得をぜひ検討してみてください。
ただし、ISMS クラウドセキュリティ認証を取得するためには、ISMS 認証の取得も必要です。 ISMS クラウドセキュリティ認証とあわせて ISMS 認証取得にも取り組んでみましょう。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。