連載「ISMS審査員・監査への道」第1回
入札仕様書に「ISO/IEC 27001の認証を取得していること」。この一文を、何度も目にしてきました。
意味は分かっているつもりです。ただ、あの一文が何を保証して、何を保証していないのか。改めて聞かれると、答えに詰まります。
自治体の情報システム部門で20年以上、運用する側にいました。それでも、規格そのものを開いたことはありません。
この連載は、そこから始める学習の記録です。第1回は、ISO/IEC 27001がどういう構造の規格なのかを整理します。
- ISO/IEC 27001が何を定めた規格なのか
- ISOとIEC、JISという名前の関係
- 27000ファミリー規格の顔ぶれと、27001と27002の違い
- 規格の「本文」と「附属書A」という二階建て構造
- 自治体や企業の現場で、この規格がどこに顔を出しているか
ISO/IEC 27001とは、情報を守る「仕組みの作り方」を定めた規格
まず結論から書きます。ISO/IEC 27001は、情報を守るための仕組みをどう作り、どう回すかを定めた国際規格です。
ここが最初のつまずきどころなので、先に強調しておきます。この規格には、技術的な設定手順は書かれていません。「ファイアウォールをこう設定しなさい」とも「パスワードは何文字以上にしなさい」とも書いていないのです。
書いてあるのは、組織としてリスクを洗い出し、対策を決め、実行し、点検して直す。その回し方のルールだけ。
正直、最初は拍子抜けしました。国際規格というからには、もっと具体的な対策集が並んでいるものだと思っていたからです。
でも、考えてみれば当然でした。守るべき情報も、組織の規模も、使っているシステムも、組織ごとにまったく違います。全部に当てはまる正解の設定など存在しません。だから規格は「自分たちで考えて決める手順」のほうを定めているわけです。
ISO、IEC、JIS——名前が長いのには理由がある
「ISO/IEC 27001」という表記、初めて見ると読みづらいですよね。分解すると分かりやすくなります。
ISOは国際標準化機構。スイスのジュネーブに本部を置く、国際規格を作る組織です。ねじの寸法からマネジメントシステムまで、扱う範囲は驚くほど広い。
IECは国際電気標準会議。こちらは電気・電子技術の分野を担当します。
情報セキュリティは、組織のマネジメントの話でもあり、電子技術の話でもあります。どちらか一方の管轄には収まらない。そこで2つの組織が合同で作った規格という意味で、「ISO/IEC」と並記されているのです。
そして、これを日本語化してJIS規格にしたものが「JIS Q 27001」。日本国内で審査を受けるときは、このJIS版が基準になります。
ここで混乱しやすいのが発行年のズレです。国際規格のISO/IEC 27001:2022に対応する日本語版は、JIS Q 27001:2023。翻訳と審議に時間がかかるため、1年ほど遅れて発行されます。管理策の解説にあたるJIS Q 27002は2024年版です。
この数字のズレは、実務では地味に効いてきます。文書に「2022年版」と書くのか「JIS Q 27001:2023」と書くのか、どちらが正しいか迷う場面が出てくるからです。
ISO/IEC 27000ファミリーという「家族」
27001は一人で立っている規格ではありません。関連する規格の集まり、通称27000ファミリーの一員です。
よく登場する顔ぶれを整理しました。
| 規格番号 | 役割 | 認証の対象 |
|---|---|---|
| ISO/IEC 27000 | 用語の定義とファミリー全体の概要 | — |
| ISO/IEC 27001 | 要求事項。適合しているかを審査される規格 | ○ |
| ISO/IEC 27002 | 管理策の実践の手引き。附属書Aの詳しい解説書 | × |
| ISO/IEC 27017 | クラウドサービス向けの追加管理策 | ○（付加認証） |
| ISO/IEC 27701 | プライバシー情報マネジメント（PIMS）への拡張 | ○（付加認証） |
学び始めて最初に混乱したのが、27001と27002の違いでした。
27001は「〜しなければならない」と要求する規格です。審査で見られるのはこちら。対して27002は「こうすると良いですよ」と手引きする規格で、認証の対象ではありません。
たとえるなら、27001が学校の校則で、27002が生徒手帳の解説ページでしょうか。守らないと問題になるのは校則のほうですが、解説がないと何を求められているか分からない。両方あって初めて機能します。
27001の中身は「本文」と「附属書A」の二階建て
構造をつかんでおくと、この先の学習が一気に楽になります。27001は大きく2つのパートに分かれています。
本文（箇条4〜10）——マネジメントシステムそのもの
組織の状況を理解し、方針を決め、リスクを評価し、運用し、内部監査をして、改善する。この一連の流れを要求しているのが本文です。
| 箇条 | 内容 |
|---|---|
| 4 | 組織の状況（適用範囲の決定を含む） |
| 5 | リーダーシップ（方針、役割と責任） |
| 6 | 計画（リスクアセスメント、リスク対応、目的） |
| 7 | 支援（資源、力量、文書化した情報） |
| 8 | 運用 |
| 9 | パフォーマンス評価（監視・測定、内部監査、マネジメントレビュー） |
| 10 | 改善 |
見ていただくと分かるとおり、PDCAの形になっています。計画（6）、運用（8）、評価（9）、改善（10）。マネジメントシステム規格に共通する骨格です。
ここで一点、覚えておいてください。内部監査は箇条9に含まれる要求事項です。後の章でもう一度触れます。
附属書A——具体的な管理策のカタログ
もう一階が附属書A。こちらには具体的な管理策が並びます。2022年版では93の管理策が、次の4つのテーマに分類されました。
| テーマ | 管理策の数 | 扱う範囲 |
|---|---|---|
| A.5 組織的管理策 | 37 | 方針、役割分担、供給者との関係など |
| A.6 人的管理策 | 8 | 雇用、教育、懲戒など |
| A.7 物理的管理策 | 14 | 入退室、設備、装置の廃棄など |
| A.8 技術的管理策 | 34 | アクセス制御、暗号、ログの取得など |
2013年版では、114の管理策が14の分類に分かれていました。数だけ見ると減っています。
まもるただし、対策が緩くなったわけではありません。重複していた管理策を統合し、整理した結果です。むしろ脅威インテリジェンスやデータマスキングなど、新しい管理策も加わっています。この差分は連載の別記事で詳しく扱います。
現場で規格に出会うのは、たいてい「会議の途中」
ここまで規格の構造を書いてきました。ただ、正直に告白しておきます。私はこの構造を、規格そのものを開いて確かめたことが一度もありませんでした。
試験勉強では、ISMSという言葉に何度も出会っています。用語として答えられる程度には知っていた。けれど本文と附属書Aがどう分かれているのか、自分の目で確認したことは、20年間ないままでした。
自治体の情報システム部門にいると、日々の仕事は職員のPC対応、認証基盤の管理、ネットワークの監視です。国際規格の条文を開く機会など、どこにもありません。
それでも、規格は現場に顔を出していました。
入札仕様書に、当たり前のように書いてある
私自身は調達の実務を担当したことがありません。ただ、入札仕様書に「ISO/IEC 27001の認証を取得していること」といった条件が書かれることは知っていました。
読み流していたのです。認証を持っている会社は、それなりにちゃんとしているのだろう、くらいの理解で。
今にして思えば、この理解では危うい。認証は「仕組みがあることの証明」であって、「安全であることの保証」ではないからです。何を適用範囲として認証を取っているのかまで見ないと、実は判断材料になりません。
会議で飛び交う言葉が、分からなかった
結論から書きます。私は27001の延長線上にある話を、意味が分からないまま隣で聞いていました。
クラウドサービスの利用を前提に、庁内のネットワークをどう構成するか。そういう議論が進んでいた時期があります。総務省のガイドラインには「α’モデル」という構成が示されています。LGWAN接続系から特定のクラウドサービスへ、ローカルブレイクアウトで直接つなぐ形です。三層分離は保ったまま、限られた穴だけを開ける考え方になります。
その打ち合わせで、「ISMAP」という言葉が何度も出ていました。発注側と受注側で前提の理解が揃っておらず、その場で確認が入る場面もあったと記憶しています。
私はというと、席に同席しながら「ISMAPって、何だろう」と思っていただけです。会議を回す立場ではありませんでした。
質問すればよかった。でも議論の流れを止めたくなくて、聞けませんでした。分からないまま、会議は進んでいきます。
あとで調べると、ISMAPは政府のクラウドサービス評価制度でした。その管理基準は、JIS Q 27000シリーズと政府統一基準、それにNIST SP 800-53を取り込んで作られています。JIS Q 27001や27002、27017も、その参照元に含まれます。
冒頭に書いたとおりです。目の前で交わされていたのは、この記事で説明してきた規格の、すぐ隣にある話でした。
発注側に物差しがないと、指摘すらできない
この一件で痛感したことがあります。
ベンダーの提案が妥当かどうかを判断するには、発注側に判断の物差しが必要だということ。物差しがなければ、疑問を持つことすらできません。
あのとき確認を入れられたのは、基準を知っている職員でした。私ではなかった。
この連載を始めた理由は、突き詰めればここにあります。20年間、運用する側として現場を見てきました。次は、基準の側から見られるようになりたい。
総務省ガイドラインとの違いが、まだ整理できていない
もう一つ、正直に書いておきます。
自治体には「地方公共団体における情報セキュリティポリシーに関するガイドライン」という、別系統の基準があります。私はこちらのほうが馴染み深い。
では、ISO/IEC 27001とどう違うのか。今の私は、明確に説明できません。
現時点での理解を、暫定的に整理するとこうなります。
| 総務省ガイドライン | ISO/IEC 27001 | |
|---|---|---|
| 性格 | 講じるべき対策を例文の形で示す | 仕組みの要求事項を示し、対策は組織が決める |
| 適合の確かめ方 | 自己点検と監査 | 内部監査（箇条9）に加え、第三者による認証審査 |
ここで先ほどの話がつながります。27001も内部監査を要求しているので、「外部の審査だけを受ける規格」ではありません。私も最初、そこを取り違えていました。
ただ、この比較は今後書き換わるかもしれません。令和6年に成立した改正地方自治法により、自治体はサイバーセキュリティを確保するための方針の策定と公表を求められるようになりました。ガイドラインを参考に自主的に整える段階とは、位置づけが変わってきています。
この理解が正しいのかどうかも含めて、連載を進めながら確かめていきます。間違っていたら、その都度訂正していくつもりです。
よくある誤解を3つ
学び始めて、自分が持っていた思い込みに気づきました。同じ勘違いをしている方もいるかもしれません。
「認証を取れば安全になる」
違います。前述のとおり、仕組みを持っていることの証明であって、事故が起きない保証ではありません。認証取得企業から情報漏洩が起きることは、現実にあります。
「ISO27001という規格がある」
略称としては通じますが、正確にはISO/IEC 27001。IECが抜けています。日本語版はJIS Q 27001です。
「ISOは大企業のもの」
規模は関係ありません。適用範囲を自分で決められる規格なので、小さな組織でも取得できます。実際、認証を取っている組織には中小企業も多く含まれます。
まとめ
第1回の内容を整理します。
- ISO/IEC 27001は、技術の手順書ではなく仕組みの作り方を定めた規格
- ISOとIECが合同で作成し、日本語版がJIS Q 27001（2022年版に対応するのは2023年発行）
- 27001は要求事項、27002は手引き。審査で見られるのは27001
- 構造は本文（箇条4〜10）と附属書A（93の管理策）の二階建て
- 現場では入札仕様書やクラウド調達の場面で顔を出すが、知らないと気づけない
この連載では、規格の条項をひとつずつ追いながら、20年間の現場運用と突き合わせていきます。学習者の立場で書くので、理解が浅い部分は正直にそう書きます。
しろ次回は、ISMSの認証制度と審査の仕組みを扱います。誰が審査をして、誰がその審査機関を認めているのか。この構造が分かると、認証という言葉の重みが変わります。
この記事で参照した資料
規格の番号や管理策の数は、記憶で書かず一次資料に当たっています。確認に使ったものを挙げておきます。
- JIS Q 27001:2023（日本規格協会）
- JIS Q 27002:2024（日本規格協会）
- JIS Q 27002:2024発行のお知らせ（情報マネジメントシステム認定センター）
- 地方公共団体における情報セキュリティポリシーに関するガイドライン（総務省）
- ISMAP管理基準（総務省掲載・PDF）
規格の本文そのものは有償のため、本記事の管理策数は上記の公表資料と学習教材を突き合わせて記載しています。