ISO27001の要求事項とは？要求されていることを一覧で分かりやすく解説！

「ISO27001の要求事項は言葉が難解で、具体的に何をすればいいか分からない」と悩んでいませんか？要求事項の正しい理解は、スムーズな認証取得への第一歩です。

実は、要求事項は「仕組み」と「実施」の2つに整理するだけで、驚くほどシンプルに理解できるようになります。

この記事では、ISO27001の要求事項の全体像を一覧表で分かりやすく解説し、特に押さえるべき重要ポイントを厳選して紹介します。

読み終える頃には、「不適合」を防ぐための具体的なアクションが明確になり、自信を持って審査へ臨めるようになるはずです。

1．ISO27001の要求事項の概要

(1)ISO27001の要求事項とは、守らなければいけない規定のこと

ISO27001の要求事項とは、ISO27001を取得するために企業が守らなければいけない規定のことです。

規定が守られているかを審査で確認され、通過すればISO27001認定企業として認められます。

例えば、「情報セキュリティに必要な能力を明確にし、全従業員がそのレベルに達するよう教育し、その証拠を残しなさい」といった規定です。

このような規定に沿って、体制を作り・運用を続けることで、ISO27001は取得できます。

(2)主に「実施」と「仕組み」が要求されている

要求事項で求められていることは、大きく分けると「実施要求」と「仕組み要求」の2つあります。

これらを、① 構築（仕組みを作る） ② 運用（決めたことを実施する） ③ 改善（仕組みと実施を見直す）というサイクルで回していくことが、ISMS（情報セキュリティマネジメントシステム）の本質です。

①実施要求

• 実際の業務として継続的に「やる」ことが求められるもの
• 内部監査、教育、記録管理、アクセス制御など

→「やった証拠（記録）」が求められます。

②仕組み要求

• 組織として制度や体制の「整備」や「決定」が求められるもの
• 方針の策定、リーダーシップの示し方、適用範囲の明確化など

→「方針を定めた」「体制を作った」という状態を示せば大丈夫です。

(3)ISO27001の要求事項を見るには？

ISO27001（ISO/IEC 27001）の要求事項を見るためには、書籍を購入しなければなりません。

一般財団法人日本規格協会の書籍販売サイトで購入できます。

このサイトでは、ISO27001（ISO/IEC 27001）をはじめ、さまざまなISO規格が入手可能です。

サイトにアクセス後、画面左側の「規格・書籍・物品を探す」から「ISO規格」を選択し、検索窓に「27001」と入力して「検索する」をクリックしてください。これで、ISO 27001（ISO/IEC 27001）の規格を購入できるページへと移動します。

2．ISO27001の要求事項を一覧で解説

ISO27001の要求事項は、以下の項目で分けられています。

3．ISO27001の要求事項への対応で特に押さえるべき内容

ここでは、構築から運用、審査において特に重要となる3つの対応ポイントを解説します。

(1)情報セキュリティ方針と目的の策定

ISO27001を構築する際、まず着手すべきはトップマネジメントによる意思決定です。「方針」という大きな方向性と、「目的」という具体的なゴールを定めます。

情報セキュリティ方針：組織全体の「情報セキュリティに対する姿勢」を明文化します。より安全で安心して利用できる情報セキュリティの指針を定めましょう。単に作成するだけでなく、全従業員がいつでも確認できるよう周知（配布や掲示）することが求められます。

情報セキュリティ目的 ：「標的型メール訓練の達成率90%以上」「ウイルス感染ゼロ」など、測定可能な目標を立てます。認証取得が目的とならないように注意し、情報セキュリティの向上と、悪意ある第三者からの攻撃を防ぐことを重視しましょう。これを「いつまでに、誰が、何をやるか」という具体的な実施計画書に落とし込むことが対応の鍵です。

(2)情報セキュリティリスクアセスメントの実施

情報セキュリティリスクアセスメントは、企業が保有する情報資産に対するリスクを特定し、分析・評価を行うことです。

リスクアセスメントの実施は、情報資産の適切な取り扱いにおいて重要な役割を果たします。

もし重大なリスクを見逃したり、分析の結果として対応が不要と判断したりすると、適切な対処法を定められず、有効なマネジメントシステムの構築が困難になる可能性があります。

(3)PDCAサイクルの継続

ISO27001は「一度作れば終わり」ではありません。技術の進化や脅威の変化に合わせて、仕組みと実施の両面をアップデートし続ける必要があります。

構築当初は最適と思われたマネジメントシステムも、時間の経過とともに新しい技術の登場や社会的な価値観の変化により、変更が必要になることがあります。

したがって、常にPDCAサイクルを継続し、情報セキュリティの向上に努めることが求められます。

4．要求事項を満たさないと不適合になる？

要求事項が満たされていないまま審査を受けると、「重大な不適合」と診断される場合があります。特に、以下の場合は気をつけましょう。

• 構築したルールがISO27001の要求事項に沿っていない場合
• ルールが構築されていても運用ができていない（特に、内部監査やマネジメントレビュー）など、改善の余地がないと審査員が判断した場合

不適合には「重大な不適合」と「軽微な不適合」の2種類があり、「重大な不適合」と判断された場合は、実際に審査に“落ちる”ことがあります。

確実に要求事項を満たし、審査に臨みましょう。

5．まとめ

ISO27001の要求事項とは、守らなければいけない規定のことです。

要求事項は二つの要求に分けられます。

1. 実施要求：実際の業務として継続的に「やる」ことが求められるもの
2. 仕組み要求：組織として制度や体制の「整備」や「決定」が求められるもの

ISO27001の要求事項への対応で特に押さえておきたい点は、以下の部分にあります。

1. 情報セキュリティ方針と目的の策定
2. 情報セキュリティリスクアセスメントの実施
3. PDCAサイクルの継続

構築や運用など、審査を受ける前にやるべきことがたくさんありますので、一度コンサルティング会社に相談してみるのもいいでしょう。

当社でもISO27001の取得サポートを行っております。お気軽にご相談ください。