ISO 280002022 セキュリティ管理システムの概要と導入メリット

現代のビジネス環境において、組織の資産や情報を守るセキュリティ対策は不可欠です。ISO 28000:2022は、国際標準化機構（ISO）が策定したセキュリティ管理システムの要求事項を定めた国際規格です。かつてはサプライチェーンに特化した規格でしたが、最新の2022年版では、組織全体のあらゆるセキュリティ側面に適用可能な汎用的なフレームワークへと進化しました。

Key Facts

• 適用範囲の拡大：サプライチェーンのみならず、組織全体のセキュリティ管理に適用可能。
• 共通構造の採用：Annex SLに基づいたハイレベルストラクチャーを採用し、他規格との統合が容易。
• リスク管理の統合：ISO 31000を参照し、組織的なリスクアセスメントと処理を強化。
• 認証可能：第三者機関による認証取得が可能な規格であり、国際的な信頼性の証明となる。
• PDCAの導入：計画・実行・評価・改善のサイクルによる継続的なセキュリティ向上を実現。

ISO 28000の進化と歴史

この規格は、もともと船舶や海洋技術を扱うISO/TC 8によって開発され、2005年に公開仕様書（ISO/PAS 28000）として誕生しました。2007年には正式な国際規格となり、当初はサプライチェーン管理におけるセキュリティの標準化を主目的としていました。

その後、2015年に管理責任が「セキュリティとレジリエンス」を専門とするISO/TC 292へ移管されました。2019年からは抜本的な見直しが行われ、2022年3月15日に最新版であるISO 28000:2022が発行されました。この改訂により、ISO 9001（品質）やISO 14001（環境）、特にISO 22301（事業継続管理）といった他の管理システム規格と整合性が取れる構造へと刷新されました。

規格の構成と適用範囲

ISO 28000:2022は、組織の規模、業種、形態を問わず、あらゆる組織が導入できるよう設計されています。適用する範囲や詳細度は、各組織が置かれた環境や業務の複雑さに応じて調整されます。

本規格は、多くのISO管理システム規格で採用されているAnnex SL（共通構造）に従い、以下の10つの主要条項で構成されています。

1. 適用範囲
2. 引用規格
3. 用語及び定義
4. 組織の状況
5. リーダーシップ
6. 計画
7. 支援
8. 運用
9. パフォーマンス評価
10. 改善

導入によって得られる戦略的メリット

ISO 28000を導入することで、組織は単なるリスク回避を超えた戦略的な利点を得ることができます。体系的な管理手法を導入することで、セキュリティレベルの向上とともに、不測の事態からの回復力（レジリエンス）が高まります。

具体的なメリットは以下の通りです。

• 信頼性の向上：国際基準への準拠により、ブランド認知度と外部からの信頼性が向上します。
• 運用の効率化：管理手法がシステム化され、組織全体のパフォーマンスが改善されます。
• コンプライアンスの強化：法規制や業界のベストプラクティスに対する準拠プロセスが明確になります。
• 共通言語の確立：用語や概念が統一されるため、社内外でのコミュニケーションが円滑になります。
• 客観的な評価：国際的に認められた基準を用いて、自社のセキュリティレベルをベンチマークできます。

リスクマネジメントの統合アプローチ

ISO 28000:2022の大きな特徴は、リスクマネジメントの国際規格であるISO 31000との密接な連携です。組織および利害関係者に影響を与えるセキュリティリスクの評価と対策を、統合的なプラットフォームで管理することを推奨しています。

この統合アプローチを採用することで、部門ごとの「縦割り（サイロ化）」思考を防ぎ、機能横断的なリスク管理メカニズムを構築できます。結果として、パフォーマンス測定の精度が上がり、継続的な改善サイクルをより確実に回すことが可能になります。

ISO 28000の適用目的と普及状況

組織が本規格を採用する主な目的は、効果的で統合されたセキュリティ管理システムを構築し、組織のレジリエンスを強化することにあります。また、内部的なセキュリティ方針の遵守や、外部的なベストプラクティスへの適合を証明するためにも利用されます。

本規格は認証取得が可能です。2016年時点の統計では、インド、日本、スペイン、米国、英国の順に多くの認証取得数が報告されており、世界的に広く活用されていることが分かります。

ISO 28000の変遷まとめ

年	規格名称・版数	主な特徴
2005年	ISO/PAS 28000	公開仕様書として初登場
2007年	ISO 28000 (第1版)	正式な国際規格化。サプライチェーンに重点
2022年	ISO 28000 (第2版)	組織全体のセキュリティへ適用範囲を拡大し、構造を刷新

関連するセキュリティ規格

ISO 28000はセキュリティ管理規格シリーズの基幹となる規格であり、目的や対象に応じて以下の関連規格が存在します。

• ISO 28001:2007：サプライチェーンセキュリティの実装、評価、計画に関するベストプラクティス。
• ISO 28002:2011：サプライチェーンにおけるレジリエンス構築のための要求事項。
• ISO 28003:2007：サプライチェーンセキュリティ管理システムの監査および認証機関への要求事項。
• ISO 28004シリーズ：実装ガイドライン（一般原則、中小港湾、中小企業、ISO 28001準拠など）。
• ISO 28005シリーズ：電子港湾通関（EPC）に関するメッセージ構造やデータ要素。

Frequently Asked Questions

ISO 28000:2007と2022年版の最大の違いは何ですか？

最大の違いは適用範囲の拡大です。旧版は主にサプライチェーンのセキュリティに焦点を当てていましたが、2022年版では組織のあらゆる側面におけるセキュリティ管理に適用できるようになりました。また、構造がAnnex SLに基づいたPDCAサイクル形式に変更され、他のISO規格との統合が容易になっています。

この規格はどのような組織が導入すべきですか？

組織の規模や業種に関わらず、あらゆる組織が導入可能です。特に、複雑なサプライチェーンを持つ企業や、組織全体のセキュリティレベルを国際基準で証明し、レジリエンス（回復力）を高めたい組織に適しています。

ISO 31000との関係性はどのようなものですか？

ISO 28000は、セキュリティリスクの評価と処理を行う際に、リスクマネジメントの指針であるISO 31000を参照しています。これにより、セキュリティ対策を単独で考えるのではなく、企業全体の統合的なリスク管理プラットフォームの一部として運用することが可能になります。

認証を取得することにどのようなメリットがありますか？

第三者機関による認証を受けることで、自社のセキュリティ管理体制が国際的に認められた基準を満たしていることを客観的に証明できます。これにより、取引先からの信頼向上やブランド価値の向上、コンプライアンスの強化といった戦略的なメリットが得られます。