ISO/IEC 27006とは？ISMS認証機関に求められる厳格な要件を解説

企業の機密情報を守るための枠組みであるISMS（情報セキュリティマネジメントシステム）において、その適合性を証明するのがISO/IEC 27001認証です。しかし、「誰がその認証を出すのか」という点において、認証機関自体の信頼性が欠けていれば、認証書に価値はありません。そこで重要となるのがISO/IEC 27006です。

ISO/IEC 27006は、国際標準化機構（ISO）と国際電気標準会議（IEC）によって策定された規格であり、ISMSの監査および認証を行う機関が満たすべき具体的な要件を定めています。いわば「認証機関のためのルールブック」であり、これにより世界中で一貫した品質の認証審査が提供される仕組みになっています。

Key Facts

• 目的：ISO/IEC 27001認証を付与する第三者認証機関の能力と信頼性を担保すること。
• 位置づけ：ISO/IEC 27000シリーズの一部であり、ISO 17021-1の要件を補完する。
• 最新版：2015年に発行された第3版が現在の基準となっている。
• 役割：認証機関が適切に認定を受け、信頼に足る審査を行うための基準を提供し、旧来のEA 7/03ガイドラインを実質的に置き換えた。

ISO/IEC 27006の構造と目的

この規格の最大の目的は、ISMS認証の「正当性」を保証することにあります。第三者機関がISO/IEC 27001への準拠を判定する際、審査員のスキルや審査プロセスが不十分であれば、認証の信頼性は損なわれます。ISO/IEC 27006は、認定を受けた機関が客観的かつ専門的な視点から審査を行うための厳格な基準を設けています。

歴史的には2007年に初版が公開されましたが、基盤となるISO 17021規格の大きな変更に伴い、2度の改訂を経て2015年の第3版に至っています。これにより、現代の複雑なIT環境に適応した審査体制が求められるようになりました。

審査員に求められる高度な専門能力

ISO/IEC 27006:2015では、ISMS監査チームに所属する審査員が備えていなければならない知識と能力を詳細に定義しています。単に規格を知っているだけでなく、以下の5つの領域における専門性が必須とされています。

• ISMSの運用管理：モニタリング、測定、分析、および評価の手法。
• 情報セキュリティ：セキュリティ全般に関する深い知見。
• マネジメントシステム：組織的な管理体制の構築と運用に関する知識。
• 監査原則：公正で客観的な監査を行うための基本原則。
• 技術的知識：監査対象となるシステムに関する具体的な技術的理解。

さらに、チーム全体として情報システム管理の用語や手法に精通している必要があります。具体的には、ISO/IEC 27001の全要件およびISO/IEC 27002に記載された管理策を完全に把握していなければなりません。また、法規制や地理的な管轄区域によるルールの違い、ビジネス慣行への理解も不可欠です。

認証決定者の責任

審査を行う員だけでなく、最終的に認証の可否を判断するレビュー担当者にも高い能力が求められます。彼らは、認証範囲（スコープ）が正確に設定されているかを確認できる知識を持ち、監査手続きや原則について十分な理解を備えていなければなりません。

組織がISO/IEC 27006を意識すべき理由

一般的に、ISO/IEC 27001の認証取得を目指す企業が直接この規格を運用することはありません。しかし、認証機関を選定する際の「デューデリジェンス（適正評価）」において、この規格の視点は極めて重要です。

信頼できる認証機関は、ISO/IEC 27006:2015に準拠して運営されており、審査員の教育や専門能力の開発を継続的に行っています。企業は、選定した認証機関が適切に認定を受けているかを確認することで、取得した認証書が国際的に価値を持ち、ステークホルダーからの信頼を得られることを確実にできます。

実際の審査においては、組織側はISMSの設計書や管理策の有効性を示す記録など、監査に必要なドキュメントを適切に提示し、審査員が能力を発揮できる環境を整えることが求められます。

ISO/IEC 27006の概要まとめ

ISO/IEC 27006の主要ポイント

項目	内容
対象	ISMSの監査および認証を行う第三者機関
主な目的	認証プロセスの信頼性と審査員の能力担保
必須知識	ISO 27001/27002、監査原則、技術的知識、法規制
関連規格	ISO/IEC 27001, ISO/IEC 27002, ISO 17021-1
最新バージョン	ISO/IEC 27006:2015 (第3版)

Frequently Asked Questions

ISO/IEC 27006とISO/IEC 27001の違いは何ですか？

ISO/IEC 27001は「組織がISMSを構築・運用するための要件」を定めた規格であり、一般企業が認証を取得するために準拠します。一方、ISO/IEC 27006は「27001の認証を出す機関（認証機関）が満たすべき要件」を定めた規格であり、審査側が準拠するものです。

なぜ審査員の能力が厳格に定義されているのですか？

ISMSの審査には、技術的な知識とマネジメントシステムの知識の両方が必要だからです。審査員の能力が不足していると、不適切な認証が付与されたり、重要なセキュリティリスクが見逃されたりする可能性があり、認証制度全体の信頼性が損なわれるためです。

認証機関を選ぶ際に、ISO/IEC 27006への準拠を確認すべきですか？

はい。認定を受けた認証機関は当然この規格に準拠していますが、信頼性の高い機関であるかを確認するデューデリジェンスの一環として、認定状況や審査員の専門性を確認することは非常に重要です。

ISO/IEC 27006はどのように更新されてきましたか？

2007年に初版が発行されましたが、認証機関の一般的要件を定めたISO 17021規格が大幅に変更されたことに伴い、2回改訂されました。現在は2015年に発行された第3版が適用されています。