ISO 223002025 セキュリティとレジリエンスの共通語彙規格

組織が予期せぬ災害や危機に直面した際、迅速かつ正確に対応するためには、関係者全員が同じ言葉で状況を理解していることが不可欠です。ISO 22300:2025は、セキュリティとレジリエンス（回復力）に関する国際的な共通言語を定義した規格であり、世界中の組織が一貫した基準でリスク管理や事業継続計画を策定することを支援します。

この規格は、国際標準化機構（ISO）の技術委員会 ISO/TC 292 と、欧州標準化委員会（CEN）の CEN/TC 391 が共同で策定しました。セキュリティ、レジリエンス、および事業継続マネジメントシステム（BCMS）に焦点を当てた一連のISO規格群における「基盤」となる文書であり、後続の ISO 22301 などの詳細な要求事項規格を理解するための前提知識を提供します。

Key Facts

• 最新版： 2025年11月発行の第4版（2021年版を置換）。
• 定義数： 厳選された130の用語と定義を収録。
• 目的： セキュリティとレジリエンス分野における用語の不一致を解消し、相互理解を促進すること。
• 適用範囲： 事業継続管理、緊急事態管理、保護セキュリティ、危機管理など。
• 活用シーン： 規格準拠の運用、専門資格（CBCPやPECBなど）の学習、契約書における定義の明確化。

規格の構成と詳細内容

ISO 22300:2025は、利用者が目的の用語を効率的に探せるよう、大きく3つのカテゴリーに分けて定義を整理しています。

1. セキュリティとレジリエンスに関する用語

このセクションでは、事業継続管理や危機管理の根幹となる概念が定義されています。特に重要なのが、中断の影響を分析するBIA（ビジネスインパクト分析）です。これにより、組織はどの活動を優先的に復旧させるべきかを判断します。

また、時間軸に関する重要な指標として以下の3つが定義されています。

• MTPD（最大許容中断期間）： 中断が不可逆的な損害をもたらすまでの限界時間。
• RTO（目標復旧時間）： 業務を再開させるまでにかける目標時間。
• RPO（目標復旧時点）： 許容できるデータ損失量を時間で測定した指標。

さらに、事象の深刻度に応じて「インシデント（中断の可能性がある事象）」「エマージェンシー（即時対応が必要な事象）」「クライシス（戦略的対応を要する異常事態）」「ディザスター（自力復旧不可能な大規模損失）」と明確に区別しています。

2. リスク管理に関する用語

リスクに関する定義は、ISO/TC 262が策定したリスクマネジメント規格（ISO 31073:2022）を支持し、その内容を引用しています。ここでは、リスクを「目的に対する不確かさの影響」と定義しています。

リスクへのアプローチとして、組織がどの程度のリスクを許容するかというリスクアペタイトを明確にし、以下の3段階のプロセスで評価を行います。

1. リスク特定： リスクの源泉を見つけ出す。
2. リスク分析： リスクの性質と深刻度を把握する。
3. リスク評価： 設定した基準に照らし、許容可能かを判断する。

許容できないリスクに対しては、源泉の除去や影響の軽減、他者への転嫁などの「リスク対応」を行い、最終的に残ったリスクを残留リスク（または保持リスク）として管理します。

3. マネジメントシステムに関する共通用語

ISOのマネジメントシステム規格の共通構造である「Annex SL」に基づいた用語集です。ISO 9000やISO/IEC 27000などの定義も取り入れています。

組織の最高レベルで指揮を執るトップマネジメントや、組織の意図を示す方針（ポリシー）、そして管理・維持が必要な文書化された情報といった基本概念が含まれます。また、要求事項を満たさない状態を「不適合」とし、その原因を除去する「是正処置」と、継続的にパフォーマンスを高める「継続的改善」のサイクルが定義されています。

ISO 22300の変遷と歴史

本規格は2012年に「社会安全（Societal Security）」を目的として誕生しました。当初は政府やNGOなどの公共セクター向けに76の用語を定義していましたが、その後、複数の技術委員会（ISO/TC 223, 247, PC 284）が統合され、現在の ISO/TC 292 へと発展しました。

第2版、第3版では収録用語数が大幅に増加（最大360語）しましたが、最新の第4版（2025年版）では、より汎用性を高めるために、特定の規格にしか使われない限定的な用語を削除し、130語に精査されました。これにより、ユーザーにとってより簡潔で使いやすい構成となっています。

ISO 22300 エディション別比較

エディション	発行年	主な変更点	用語数	プロジェクトリーダー
第1版	2012年5月	新規策定（社会安全に焦点）	76	-
第2版	2018年2月	TC 292への移管に伴う用語追加	277	Norma McGormick
第3版	2021年2月	主題別のサブクローズへの整理	360	Norma McGormick
第4版	2025年11月	汎用性の向上、不要な用語の削除、構成の簡素化	130	Stefan Tangen

関連規格の一覧

ISO 22300は、以下の規格群における共通の用語集として参照されています。

• ISO 22301: 事業継続マネジメントシステム（BCMS）の要求事項。
• ISO 22313: ISO 22301の運用に関するガイダンス。
• ISO/TS 22317: BIA（ビジネスインパクト分析）のガイドライン。
• ISO 22320: 緊急事態管理におけるインシデント管理のガイドライン。
• ISO 28000: セキュリティマネジメントシステムの要求事項。

Frequently Asked Questions

RTOとRPOの決定的な違いは何ですか？

RTO（目標復旧時間）は「いつまでに業務を再開させるか」という時間に焦点を当てた指標です。一方、RPO（目標復旧時点）は「どの時点までのデータを復旧させるか」という、許容できるデータ損失量を時間で表した指標です。

「インシデント」と「エマージェンシー」はどう使い分けますか？

インシデントは、中断や損失につながる可能性のあるあらゆる事象を指す広義の概念です。対してエマージェンシーは、中断や損失を防ぐために「即時の行動」が必要な、より緊急性の高い予期せぬ事象を指します。

なぜ最新版（第4版）で用語数が減少したのですか？

特定の規格でしか使用されない非常に限定的な用語を削除し、ISO/TC 292のポートフォリオ全体で共通して利用できる汎用的な定義に絞り込んだためです。これにより、規格の使い勝手と簡潔さが向上しました。

この規格を導入することでどのようなメリットがありますか？

組織内外でのコミュニケーションミスを防ぎ、共通の理解に基づいた迅速な意思決定が可能になります。また、法的な契約書において用語の定義を明確にすることで、解釈の相違による紛争を回避できるメリットもあります。

リスクアセスメントの具体的な流れはどうなりますか？

まず「リスク特定」でリスクの源泉を見つけ、次に「リスク分析」でその性質と深刻度を調べ、最後に「リスク評価」で組織の基準に照らして許容可能かを判断するという3段階のプロセスで構成されます。