現代のビジネス環境において、データの機密性と完全性を維持することは企業の存続に関わる重要課題です。ISO/IEC 27001は、組織が情報セキュリティを体系的に管理するための国際規格であり、情報セキュリティマネジメントシステム（ISMS：Information Security Management System）の要求事項を定めています。この規格は、組織の規模や業種を問わず、あらゆる組織が適用できるよう汎用的に設計されています。
ISMSの核心は、単にセキュリティツールを導入することではなく、リスクに基づいた管理プロセスを構築し、継続的に改善していくサイクルを確立することにあります。これにより、組織はサイバー攻撃や内部漏洩などの脅威に対し、戦略的な防御体制を築くことが可能になります。
Key Facts
- 目的： ISMSの確立、実装、維持、および継続的な改善のための要求事項を規定。
- 最新版： 2022年版（2024年に気候変動に関する追補修正あり）。
- アプローチ： リスクベースのアプローチを採用し、機密性・完全性・可用性の維持を目指す。
- 構成： 4章から10章の要求事項と、管理策の参照リストである附属書Aで構成。
- 認証： 第三者認証機関による審査を経て、適合性が証明される（任意）。
ISO/IEC 27001の構造と要求事項
本規格は、組織が直面するリスクを特定し、それを適切に処理するための枠組みを提供します。具体的には、情報の機密性（許可された人だけがアクセスできること）、完全性（情報が正確で改ざんされていないこと）、可用性（必要な時にいつでも利用できること）を保護することが求められます。
要求事項は以下の章立てで構成されており、組織のリーダーシップから運用の評価、改善までを網羅しています。
| 条項 | 項目名 | 主な内容 |
|---|---|---|
| 4 | 組織の状況 | 内部・外部の課題特定、利害関係者のニーズ把握 |
| 5 | リーダーシップ | 経営層のコミットメント、方針の策定、役割と責任の割り当て |
| 6 | 計画 | リスクアセスメントおよびリスク対応計画の策定 |
| 7 | 支援 | リソース確保、能力開発、認識向上、文書化された情報 |
| 8 | 運用 | 計画の実行、リスクアセスメントとリスク処理の実施 |
| 9 | パフォーマンス評価 | 監視、測定、内部監査、マネジメントレビュー |
| 10 | 改善 | 不適合への対応、是正処置、継続的な改善 |
リスクベースのアプローチと附属書A
ISO/IEC 27001では、特定の手法を強制せず、組織自らがリスクアセスメントプロセスを定義することを求めています。リスクを評価した後、それを軽減するための「管理策」を選択します。この際、参照されるのが附属書Aです。
2022年版の附属書Aでは、管理策が「組織的」「人的」「物理的」「技術的」の4つのテーマに再編され、計93項目に整理されました。組織はこれらの管理策を検討し、自社に必要なものを選択して適用宣言書（SoA）を作成します。この文書には、どの管理策を採用し、なぜ採用したか（あるいは除外したか）が記録されます。
なお、附属書Aの具体的な実装方法については、ガイドライン規格であるISO/IEC 27002が詳細な指針を提供しています。
規格の変遷と歴史
ISO/IEC 27001のルーツは、1995年に英国規格協会（BSI）が発行したBS 7799にあります。その後、BS 7799-1がベストプラクティスとしてISO/IEC 17799（後のISO/IEC 27002）となり、実装仕様を定めたBS 7799-2が2005年にISO/IEC 27001として国際標準化されました。
2013年版では、モバイルデバイスの普及やなりすましリスクへの対応など、現代的な脅威に合わせて管理策が更新され、他のマネジメントシステム規格と統合しやすい共通構造（ハイレベルストラクチャー）が採用されました。そして2022年版では、さらなる技術的刷新が行われ、管理策の統合と整理が進められました。
また、2024年には重要な追補（Amd 1:2024）が加えられました。これにより、組織は「気候変動」が自社の情報セキュリティにとって関連する課題であるかどうかを判断することが義務付けられ、利害関係者が気候変動に関連する要求を持つ可能性があることが明記されました。
認証取得のプロセスと意味
ISO/IEC 27001の認証は任意ですが、顧客への信頼性向上や法的・契約上の要件を満たすために取得されることが多いです。認証はISO自身ではなく、独立した第三者認証機関によって行われます。
審査のステップ
- ステージ1審査： ISMSの設計が規格の要求事項を満たしているか、文書ベースで確認します。
- ステージ2審査： 実際にシステムが運用されているか、証跡（内部監査の結果や記録など）を用いて詳細に検証します。
- 維持管理： 認証後は、定期的なサーベイランス審査と、3年ごとの更新審査を通じて適合性が維持されます。
重要な点として、認証は「特定の製品や技術」ではなく、「管理システム（ISMS）」に対して与えられるものです。また、認証を受けていても、すべてのリスクがゼロになったことを保証するものではありません。組織は、対策を講じた後に残る残留リスクを許容し、管理し続ける必要があります。
関連規格とエコシステム
ISO/IEC 27001は単独で機能するのではなく、ISO/IEC 27000ファミリーという規格群の一部として機能します。
- ISO/IEC 27000： 用語と定義を定めた基礎規格。
- ISO/IEC 27002： 管理策の具体的な実装ガイドライン。
- ISO/IEC 27005： 情報セキュリティリスクマネジメントの指針。
- ISO/IEC 27701： プライバシー情報マネジメント（PIMS）に関する拡張規格。
また、業界特有のニーズに応えるため、電気通信向け（ISO/IEC 27011）やエネルギー産業向け（ISO/IEC 27019）、ヘルスケア向け（ISO 27799）などのセクター別ガイドラインも存在します。
Frequently Asked Questions
ISO/IEC 27001とISO/IEC 27002の違いは何ですか？
ISO/IEC 27001は「要求事項」を定めた規格であり、認証審査の基準となります。一方、ISO/IEC 27002は、27001の附属書Aにある管理策をどのように実装すべきかを示す「ガイドライン」であり、これ自体で認証を受けることはできません。
認証を取得すればセキュリティ事故は完全に防げますか？
いいえ。認証は「リスクを管理する仕組み（システム）」が適切に構築されていることを証明するものであり、個別の製品の安全性を保証したり、すべてのリスクを排除したりするものではありません。リスク処理後の「残留リスク」を組織が受け入れ、管理することが前提となっています。
小規模な組織でも導入は可能ですか？
はい。本規格の要求事項は汎用的であり、組織の規模、業種、性質に関わらず適用可能です。組織は自社の状況に合わせてISMSの適用範囲（スコープ）を決定し、リスクに見合った管理策を選択して運用します。
「リード審査員」などの資格はISOが発行していますか？
いいえ。ISOは個人の資格認定や証明書の発行は行っていません。リード実装者やリード審査員の資格は、独立したトレーニングプロバイダーや認定機関によって提供されているものです。
2024年の追補修正で何が変わりましたか？
「気候変動」に関する視点が追加されました。組織は、自社の情報セキュリティマネジメントシステムの文脈を決定する際に、気候変動が関連する課題であるかどうかを検討し、また利害関係者が気候変動に関連する要求を持っているかを確認する必要があります。
References
- "ISO/IEC 27001:2022". ISO. Retrieved 31 July 2026.
- ISO/IEC 27001:2022 - Information security, cybersecurity and privacy protection - Information security management systems - Requirements (3rd ed.). ISO/IEC. October 2022.
- "Certification". ISO. Retrieved 31 July 2026.
- ISO/IEC 17021-1:2015 - Conformity assessment - Requirements for bodies providing audit and certification of management systems - Part 1: Requirements. ISO/IEC. June 2015.
- Culot, Giovanna; Nassimbeni, Guido; Podrecca, Matteo; Sartor, Marco (17 December 2021). "The ISO/IEC 27001 information security management standard: literature review and theory-based research agenda". The TQM Journal. 33 (7): 76–105. :10.1108/TQM-09-2020-0202. 1754-2731.
- Bird, Katie (14 August 2013). "New version of ISO/IEC 27001 to better tackle IT security risks". ISO. Retrieved 21 August 2020.
- "ISO/IEC 27001:2022/Amd 1:2024". ISO. Retrieved 31 July 2026.
- "ISO/IEC 27005:2022". ISO. Retrieved 31 July 2026.
- "Facts and figures". BSI Group. Archived from the original on 20 October 2012. Retrieved 10 January 2018.
- Secorvo (2024). "6 ISO 27001 und ISO 27002". Informationssicherheit und Datenschutz: Handbuch Für Praktiker und Begleitbuch Zum T.I.S.P. (PDF) (4th ed.). Heidelberg: . .