ISO/IEC 27002とは？情報セキュリティ管理のベストプラクティスを解説

現代のビジネス環境において、情報の機密性を維持し、サイバー脅威から資産を守ることは最優先事項です。そのための世界的な指針となるのが、国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で策定したISO/IEC 27002です。この規格は、組織が情報セキュリティ管理システム（ISMS）を構築・運用する際に参照すべき「セキュリティコントロール（管理策）」の具体的なベストプラクティスを提供しています。

本記事では、ISO/IEC 27002の基礎知識から、最新版での変更点、そして実際の導入方法までを分かりやすく解説します。

Key Facts

• 目的：情報セキュリティ管理策の具体的な実装ガイドラインを提供すること。
• 核心概念：機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の「CIA三原則」に基づいている。
• 性質：認証取得のための規格ではなく、あくまで推奨事項をまとめた「アドバイザリー規格」である。
• 最新版：2022年3月3日に発行された第3版が最新。
• 関係性：認証規格であるISO/IEC 27001の附属書Aのベースとなっている。

ISO/IEC 27002の成り立ちと目的

この規格のルーツは1990年代初頭、Shell社が英国政府の取り組みに提供した企業セキュリティ基準にあります。その後、英国規格のBS 7799を経て、2000年にISO/IEC 17799として国際標準化されました。2007年には、他の27000シリーズとの整合性を図るため、現在の名称であるISO/IEC 27002へと変更されています。

主な目的は、ISMSの導入や維持を担当する責任者が、どのような管理策を講じるべきかの指針を得ることにあります。ここで重要となるのがCIA三原則という考え方です。これは、許可された人だけがアクセスできる「機密性」、情報が正確で改ざんされていない「完全性」、そして必要な時にいつでも利用できる「可用性」の3点を維持することを指します。

規格の構成と変遷

ISO/IEC 27002は時代の変化に合わせて改訂されており、特に2013年版から2022年版への移行では、構成が大幅に整理されました。

2022年版（最新）の構造

最新版では、導入部分（適用範囲、引用規格、用語定義、文書構造）に続き、管理策が以下の4つの主要カテゴリーに統合されました。

• 組織的管理策：組織全体のルールやガバナンスに関する策。
• 人的管理策：従業員や外部協力者の管理に関する策。
• 物理的管理策：施設や設備へのアクセス制限などの物理的な策。
• 技術的管理策：システムやネットワークなどのIT技術を用いた策。

2013年版の構造

以前のバージョンでは、より細分化された14の章（情報セキュリティ方針、資産管理、アクセス制御、暗号化、物理的・環境的セキュリティなど）で構成されていました。この詳細な分類は、多くの組織にとって導入の出発点となりました。

管理策の選び方と実装の考え方

ISO/IEC 27002に記載されている管理策は、すべてを機械的に導入することが正解ではありません。なぜなら、組織によって直面するリスクは異なるからです。

組織はまず、リスクアセスメント（リスク評価）を行い、自社にとって何が脅威となり、どの資産を守るべきかを明確にする必要があります。その結果に基づき、提示されたベストプラクティスの中から最適な管理策を選択し、自社の状況に合わせてカスタマイズして適用します。この柔軟性こそが、進化し続けるサイバー脅威に対応するための鍵となります。

また、クラウド環境に特化した追加の管理策が必要な場合は、ISO/IEC 27017などの派生規格を併用することが推奨されます。

具体的な実装例

実際にどのような対策を講じるべきか、代表的な例を挙げます。

物理的・環境的セキュリティ

施設への不正侵入を防ぐため、入退室の監視や制限を行います。具体的には、1年ごとのアクセス権限の見直し、重要エリアでの写真・動画撮影の禁止、監視カメラの設置と1ヶ月以上の録画保存、訪問者の常時同行などが含まれます。

人的セキュリティ

採用前の身元確認や、機密保持契約（NDA）の締結を徹底します。また、退職や異動が発生した際は、人事部門から速やかに通知し、物理的な入館証やITシステムのアクセス権限を即座に削除・回収するフローを構築します。

アクセス制御

ユーザーの役割に基づいた権限付与（ロールベースアクセス制御）を行い、不要な特権IDを排除します。パスワードは複雑な文字列を求め、一定回数のログイン失敗でアカウントをロックする設定や、離席時のスクリーンロック（10分以内）の強制などが有効です。

ISO/IEC 27001との決定的な違い

混同されやすいのが、認証規格であるISO/IEC 27001との関係です。簡単に言うと、27001は「何をすべきか（要求事項）」を定めた認証用規格であり、27002は「どうやって実現するか（実装ガイド）」をまとめた参照用規格です。

ISO/IEC 27001と27002の比較

比較項目	ISO/IEC 27001	ISO/IEC 27002
役割	ISMSの要求事項を定義	管理策のベストプラクティスを提供
認証の可否	認証取得が可能	認証不可（ガイドライン）
目的	適合性の証明と改善	具体的な実装方法の参照
構成	管理策のリスト（附属書A）を含む	詳細な実装ガイダンスを記述

Frequently Asked Questions

ISO/IEC 27002で認証を受けることはできますか？

いいえ、できません。ISO/IEC 27002は実装のためのガイドライン（アドバイザリー規格）であり、認証のための要求事項を定めたものではないためです。認証を取得したい場合は、ISO/IEC 27001に基づいた運用が必要です。

すべての管理策を導入しなければなりませんか？

いいえ。組織はリスクアセスメントを行い、自社のビジネスリスクに応じて必要な管理策を選択します。不要なカテゴリーや項目は除外しても問題ありません。重要なのは、特定したリスクを軽減するための適切な策が講じられていることです。

最新の2022年版に更新すべきでしょうか？

はい、推奨されます。サイバー脅威は日々進化しており、最新版では現代のIT環境に合わせた管理策の整理が行われています。特にクラウド利用やリモートワークなどの現代的なリスクに対応するため、最新の指針を参照することが望ましいです。

日本国内で利用できる同等の規格はありますか？

はい。日本国内では、JIS Q 27002として標準化されており、ISO/IEC 27002と実質的に同等の内容となっています。