ISMS審査基準 (ISO/IEC 27001)が改定される？今後の動向を予想

最近、ISMS認証を取得している企業のご担当者様から「ISMS認証の審査基準が変わるそうですが、認証を維持するためにはどのような対策をすれば良いですか？」というお問い合わせをいただくようになりました。

どうやら、2022年2月に『ISO/IEC 27002』が改定されたことに伴い、ISMS認証の審査基準である『ISO/IEC 27001』も改定されると、コンサルタントや審査員から聞いた方が多いようです。

そこで本記事では、『 ISO/IEC 27001』が改定されることによる影響と、『 ISO/IEC 27002』はどのように改定されたのかについて解説します。

これから ISMS 認証取得を検討する企業にとっては本記事を読むことで、『 ISO/IEC 27002』の改定内容を知り、昨今どのようなセキュリティ対策が求められるのか理解する良い機会になるでしょう。

ISO27001の規格改訂を自動対応！SecureNaviでISMS運用効率化
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで運用が可能になります。新規格にも対応しています。
⇒「SecureNavi」のサービス概要を知る

ISMS 認証の審査基準『 ISO/IEC 27001』が改定される？

まず『 ISO/IEC 27001』が改定されるのかどうかについて考えてみます。

結論としては、『 ISO/IEC 27001』は2022年に改定される予定です。ISMS 認証を取得している企業が現在の『 ISO/IEC 27001』をもとに認証を更新したい場合、2〜3年以内に対応が必要となるでしょう。

『 ISO/IEC 27001』が改定されるといわれている理由は、冒頭でも説明したとおり、2022年2月に『 ISO/IEC 27002』が改定されたためです。『 ISO/IEC 27001』の内容には『 ISO/IEC 27002』の内容が取り入れられているので、『 ISO/IEC 27002』が改定されれば、『 ISO/IEC 27001』の内容変更も必要になるといわれています。

しかし、各企業のご担当者様が新しい『 ISO/IEC 27001』に対応する必要が出るまで、少なくとも2つのイベントが起きると考えられます。

1. 『 ISO/IEC 27001』の改定

2. 審査基準として新しい『 ISO/IEC 27001』を適用するという認定機関の決定

この2つのイベントが起こってから、ISMS 認証取得している、あるいは取得を考えている企業は対応が必要になるでしょう。

現状、この2つのイベントはどちらも起こっていないため、今すぐ焦って対応する必要はありません。

『ISO/IEC 27001』の改定はいつ頃？

『 ISO/IEC 27001』の改定は2022年中に行われる予定です。

さらに、改定の決定が出てから2年ほど猶予期間（移行期間）が設けられるのが一般的です。

移行期間中は新しい『 ISO/IEC 27001』でも従来の『 ISO/IEC 27001』でもどちらでも審査を受けられる期間のため、ISMS 認証の更新を考えている企業は、向こう2〜3年は特別な対応をしなくても問題ないと考えられます。

『 ISO/IEC 27001』と『 ISO/IEC 27002』の関係

『 ISO/IEC 27001』の内容には『 ISO/IEC 27002』の内容が取り入れられていると説明しました。

この2つにはどのような関係があるのか、より詳しく見ていきましょう。

『 ISO/IEC 27002』に書かれていること

『 ISO/IEC 27002』には「管理策」が書かれています。管理策とはセキュリティ対策のことです。

具体的には以下が挙げられます。

• マルウェア（悪意を持って作られたソフトウェア）対策について

• データのバックアップを取ることについて

• 安全なパスワードを設定することについて

サイバーセキュリティやプライバシー対策に関する意識の高まりによって、2022年2月に『 ISO/IEC 27002』の内容が改定され、管理策の統合や追加が行われました。詳細は後ほど解説します。

「ISO/IEC 27002」については、こちらの記事でも詳しく解説しています。
『 ISO/IEC 27002』とは？『 ISO/IEC 27001』との違いや2022年2月の改定内容を解説

『 ISO/IEC 27001』に書かれていること

『 ISO/IEC 27001』には、「『 ISO/IEC 27002』に書かれている内容を参考にしてセキュリティ対策を行い、それを元に社内のセキュリティ体制を構築しましょう」ということが書かれています。

『 ISO/IEC 27002』の内容を取り入れた上で、例えばリスクアセスメントをどうやっていくか、内部監査をどうやっていくか、社内のセキュリティ体制をどう作っていくか、マネジメントレビューをどうやっていくかなどのセキュリティ対策を実施した上で、 PDCAサイクルを回していくことが書かれているのが『 ISO/IEC 27001』です。

ISO/IEC 27001については、こちらの記事で解説しています。
ISO/IEC 27001 とは？要求事項や ISMS 認証との違いを分かりやすく解説

『 ISO/IEC 27002』の改定内容

ここからは、『 ISO/IEC 27002』がどのように改定されたのか、変更点を見ていきましょう。

タイトルの変更

もともと『 ISO/IEC 27002』は「情報セキュリティ管理のための実践規範」というタイトルでしたが、改定によって「情報セキュリティ・サイバーセキュリティ及びプライバシー保護」に変更されました。

従来は情報セキュリティというものにフォーカスされていて、それを管理するためのベストプラクティスが書かれているのが『 ISO/IEC 27002』でした。しかし、改定後は情報セキュリティだけでなくサイバーセキュリティ・プライバシー保護に関する内容も取り込まれているということが分かります。

サイバーセキュリティ対策には、「特定」「防御」「検知」「対応」「復旧」を行う必要があるとされています。これらが ISMS にはないといわれてきましたが（実際はあった）、新しい『 ISO/IEC 27002』では「preventive（予防）、「detective（検出）」、「corrective（是正）」という分類が定義され、各管理策がどの分類なのかが明記されるようになりました。

管理策の変更

今までの『 ISO/IEC 27002』には114項目の管理策がありましたが、93項目に削減されました。

正確にいうと、114あった項目が統合されて82個になり、新しく11個の管理策が加わって93個になったという流れです。

章立ても変わっていて、今まで5〜18までの14章立てでしたが、以下の4章に再編されました。

• 組織的な対策

• 人的な対策

• 物理的な対策

• 技術的な対策

『 ISO/IEC 27002』に新しく増えた11項目

ここからは『 ISO/IEC 27002』に新しく追加された11項目について、大まかに説明していきます。

5.7 Threat intelligence（脅威インテリジェンス）

情報セキュリティ上の脅威に関する情報を収集・分析し、脅威のインテリジェンスを作成すること（自社のセキュリティ対策に役立てること）です。

今までは「専門組織との連絡」という管理策でカバーするしかなく「日本国内でセキュリティを取り扱っている団体から情報収集をする」というような漠然とした表現でセキュリティ対策をしている企業が多い状況でした。

しかし、新しい『 ISO/IEC 27002』では脅威のインテリジェンスという管理策が明記されたため、情報セキュリティ上の脅威に関する情報を収集・分析して、自社のセキュリティ対策に役立てるというサイクルを回す必要が出てきました。

5.23 Information security for use of cloud services（クラウドサービス利用のための情報セキュリティ）

クラウドサービスを安全に利用するための対策を求める項目です。

クラウドサービスの取得、利用、管理、退出のプロセスは、組織の情報セキュリティ要求事項に従って確立されなければなりません。

従来のISO/IEC 27002では、「供給者管理」の章で取り組みが行われることが多かったが、昨今のクラウドサービスの普及に伴って、明示的な形で新たに管理策が追加されることとなった。

5.30 ICT readiness for business continuity（事業継続のための ICT の備え）

災害などの非常時に、自社が利用・運用などを行う情報システムの可用性の喪失（システム停止など）を防ぐための対策を求める項目です。

今までは事業継続の「情報セキュリティ継続」という、災害やハッキングにあった時も、情報の機密性・完全性・可用性を担保するように事前の計画や、検証を要求する項目がありました。

このうち、システムの可用性にフォーカスを置いた管理策が「事業継続のためのICTの備え」です。

7.4 Physical security monitoring（物理的セキュリティの監視）

拠点に対して、物理的な侵入がないかどうか、監視を実施することを求める項目です。具体的には、監視カメラや警備員、赤外線モニターの設置が挙げられます。

物理的セキュリティは、今までの ISMS では話題になることの少ない部分でした。

8.9 Configuration management（構成管理）

ハードウェア、ソフトウェア、サービス及びネットワークなどといったシステムの構成を管理するよう求める項目です。

今まで「変更管理」という項目はありました。しかしこれは、すでに運用されているシステムに変更を行う場合（ソフトウェアのアップデート、ハードウェアの切り替えなど）、事前に変更の計画を立て、適切な権限を持つ人の承認を得るなどをするという項目でした。『 ISO/IEC 27002』の改定により、新しくハードウェア、ソフトウェアなどを構築する際の管理策が追加されました。

また「構成管理」には IaC（Infrastructure as Code）も効果的と書かれています。

8.10 Information deletion（情報の削除）

情報システム、機器、その他の記憶媒体に保存された情報は、不要になった時点で削除することを要求する項目です。例えば、USBメモリを使い終わったら中身のデータを削除する、個人情報の利用目的を果たしたら削除する、などの対策が当てはまります。

日本の個人情報保護法でも似ている項目があり、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去することを求めています。「この個人情報は今後どこかで使うかもしれないから残しておこう」というのは原則として厳禁です。

8.11 Data masking（データマスキング）

業務で取り扱うデータの機密性を確保するために、データマスキング（データの一部を隠す・加工する・匿名化するなどにより、漏洩時の影響を最小限に抑えること）を実施することを要求する項目です。

「アクセス制御に関する組織のトピック別ポリシー及びその他の関連するトピック別ポリシー、ならびに適用される法規制を考慮したビジネス要件に従って使用されなければならない」としています。

8.12 Data leakage prevention（データ漏洩防止）

機密情報を処理、保存、伝送するシステム、ネットワーク、その他の機器に対してデータ漏洩防止対策（いわゆる「DLP」）の実施を要求する項目です。

例えばネットワークの監視して機密情報が漏れていないか確認したり、メールの添付ファイルを解析して個人情報を大量に外部に大量に送っていないか確認したりして、未然に防ぐことが求められます。

8.16 Monitoring activities（監視活動）

ネットワーク、システム、アプリケーションの異常な動作がないか定期的に監視して情報セキュリティ事故の可能性を評価し、適切な措置を講じることを要求する項目です。

今までの『 ISO/IEC 27002』にもログのモニタリングに関する項目はありました。今回の改正ではログだけではなく、負荷などのメトリクスを含めた異常な動作を幅広く監視することにフォーカスしています。

8.23 Web filtering（ Web フィルタリング）

インターネットを利用するときに悪意のあるページへのアクセスによるウイルス感染などを未然に防ぐために、Webフィルタリングを実施し、外部ウェブサイトへのアクセスを管理・制限することを要求する項目です。

インターネットでダウンロードしたソフトウェアにウイルスが仕込まれていたという事故が多いため、この項目が追加されたのだと予想されます。

どのレベルまで管理を徹底するかは企業の技術による部分が大きく、明確な基準があるわけではありません。

8.28 Secure coding（セキュアコーディング）

ソフトウェアを開発するときには、セキュアコーディング（ハッキングやマルウェアなどに耐え得る堅牢なプログラムを構築すること）の実施を要求する項目です。

今までも「セキュリティに配慮し たシステム構築の原則」という管理策はありましたが、より明確化されたのがこの項目です。ネットワークのセキュリティだけでなくアプリケーションレイヤのセキュリティも求められるといったイメージです。

ISMSの規格改訂は自動化ツールで！ISMS自動化ツール「SecureNavi」
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

『 ISO/IEC 27002』の管理策変更にともなって何をすればいいのか？

『 ISO/IEC 27002』の管理策変更に伴い、企業は ISMS 認証を維持するためにどのようなことをすればいいのでしょうか？

主に以下の3つが挙げられます。

リスクアセスメントの見直し
現在のリスク対応と、新しい附属書A（=『 ISO/IEC 27002』）を比べて、不足がないか確認をする。あわせてリスクアセスメントに関する書類を見直す。

適用宣言書の書き換え
項目の数を114から93に書き換える。

社内規定の見直しと運用
新しいセキュリティ対策を明記して、変更したことを社内に発信し、その規定に沿った社内の運用体制に変更していく。

現状は焦らず動向をチェックしよう

本記事の内容をまとめます。

• 『 ISO/IEC 27001』の改定が、2022年中に行われる予定。

• そこから、ISMS-AC (一般社団法人情報マネジメントシステム認定センター) がジャッジして、2023年くらいから審査が始まるのではないかと思われる。

• 移行期間が2年ほどあるので、ISMS 認証を取得している企業が現在の『 ISO/IEC 27001』をもとに ISMS 認証を維持する場合、2024〜2025年までに対応が必要。

今までの『 ISO/IEC 27002』は2013年に発行されたもので、今回の改定で『 ISO/IEC 27002：2022』になります。

改定によって良かった点はさまざまありますが、例を挙げるとすれば「管理策の章分けが正確ではないのでは？」と思っていた部分が整理されたことです。

改定前の『 ISO/IEC 27002』では、モバイル機器などの利用のルールが「情報セキュリティのための組織」という章に入っていました。この章は、「社内のセキュリティ体制を決めること」や、「新規プロジェクト時にはリスクアセスメントに取り組むこと」などが書かれていたのに、急に「スマートフォンのセキュリティ設定」という項目が出てきて、違和感がありました。こういった項目がきちんと整理されたことが良かった点です。

また、本題から少し逸れますが、最近議論されている情報セキュリティの2大トピックが、新しい『 ISO/IEC 27002』ではどうなったかについても触れておきます。

パスワードの定期変更について

新しい『 ISO/IEC 27002』では「パスワードの定期的な変更は問題になる可能性がある」と書かれています。

（5.17 認証情報）パスワードの頻繁な変更は、ユーザーが頻繁に変更することに煩わされ、新しいパスワードを忘れたり、安全でない場所にメモしたり、安全でないパスワードを選択する可能性があるため、問題となる場合があります。

引用元：ISO/IEC 27002

今までの『 ISO/IEC 27002』では「パスワードは定期的に及び必要に応じて変更させる」と書かれていたので、最近のセキュリティ事情が反映されているといえるでしょう。

PPAP (添付ファイルを zip 暗号化して送付) について

PPAP（添付ファイルを zip 暗号化して送る）が正しいのかどうかについては、新しい『 ISO/IEC 27002』に記載はありませんでした。

PPAP をやっているのは日本だけ（諸外国ではやっていない場合が多い）なので、わざわざ記載はしなかったのではないかと思われます。

zip ファイルで暗号化すると、受信側がマルウェアを検出できなくなってしまうという問題点があります。PPAP の対策を必要としているのは日本くらいなため、現状の『 ISO/IEC 27002』にもある「マルウェア対策」や「電子的メッセージ通信」で対応することを求められているのかもしれません。

 SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しましょう

今回は、『ISO/IEC 27001』が改定されることによる影響と、『ISO/IEC 27002』はどのように改定されたのかについて紹介しました。弊社が提供するISMSオートメーションツール「SecureNavi」では、今回ご紹介したような内容の規格改定に伴う変更も自動で対応いたします。そのため、「SecureNavi」を使えば、ISMS認証を取得されている企業様によくあるお悩みの「文書管理」だけでなく、「規格改定に伴う文書修正」などの作業も効率的に行うことができます。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。