2023年6月22日
情報セキュリティマネジメントシステムのISMS認証基準として国際規格ISO/IEC 27001が設けられました。そして日本語に訳された規格がJISQ27001です。2022年10月にISO27001：2022が発行され、JISQ27001は2023年7月～8月頃発行予定です。
ISMSとは、情報セキュリティマネジメントシステム（Information Security Management System）を略して呼びやすくしたもので、組織の情報を守るためのシステム・仕組みを指します。
簡単に言うと、「情報を守る仕組み」のことです。
一方、JIS Q 27001とは、組織がISMSを確立し、実施し、維持し、継続的に改善するための要求事項をまとめた日本工業規格（JIS）のひとつです。
ISO/IEC27001というスラッシュ表記は、ISOとIEC合同で制定した規格に使用されるものです。
ISO：International Organization for Standardization：国際標準化機構
IEC：International Electrotechnical Commission：国際電気標準会議
ISOを日本企業向けに日本語で分かりやすくしたものがJISQ27001です。ISO/IEC27001とは書かれている言語が違うだけで、中身はほとんど同じです。
英語で記載された原書発行年は2013年ですが日本語訳化されたものはこの発行後翻訳活動が行われますので、記載がJISQ27001:2014となっている場合もあります。
ISMS（ISO27001）という規格の最新版としての認識は2013年版と言えます。
2006年にJISQ27001:2006（第1版）発行された後、ISO/IEC27001:2005の改訂に伴いJISも改訂が行われ、
2014年3月に、現在の最新版であるJISQ27001:2014（第2版）が発行されました。
その後、2022年10月にISO27001の規格改訂が完了しました。
2023年6月現在、その日本語版であるJISQ27001の発行を待っています。
2022年2月にISO27001の関連規格であるISO27002の改訂が行われ、2022年10月にはISO27001の改訂が完了しています。
日本語版であるJISQ27001は2023年7月～8月頃に発行されると考えられます。
なお、今回の規格改訂は、管理策の変更に伴う付属書Aの改訂がメインです。
114項目あった管理策が全93項目に削減されています。
ISO27001の規格改訂最新情報については、こちらの記事にて詳しく解説しております。合わせてご覧ください。
JISQ27001とプライバシーマーク（Pマーク）はどちらも、情報の保護をするためのマネジメントシステムですが、保護する対象が異なります。
プライバシーマーク（Pマーク）では個人情報だけが対象ですが、ISO27001（ISMS）においては情報資産すべてが対象になります。
比較するとISO27001のほうが保護の対象範囲が広く、マネジメントシステムの構築に時間がかかることが多いです。
また、プライバシーマーク（Pマーク）は日本だけの規格です。日本国内でしか通用しません。
一方、ISO27001は国際標準規格ですので、グローバルな認証と言えます。
国際的なやりとりが発生する企業はISO27001（ISMS）を取得されるケースが多いです。
詳しくはこちらの記事をご覧ください。
ISMSの情報セキュリティについて、詳しくはこちらの記事をご覧ください。
PDCAサイクルとは計画、実行、チェック、改善を順に行っていくことで、マネジメントシステムを継続的に改善していくことができます。
マネジメントシステムは、組織の事業活動をより良くするためのものであり、PDCAサイクルはその活動基盤となるため、大切です。同じ失敗を繰り返さないため、もしくは今のやり方を改善していくために、PDCAサイクルを回していきましょう。
ISO27001の規格要求事項もPDCAサイクルの考え方を取り入れています。
ISMSのPDCAサイクルについて、詳しくはこちらの記事をご覧ください。
ISMSは1章から10章で構成されています。
1章から順に説明していきます。
JISQ27001が規定しているものが、以下の2つです。
この規格が規定する要求事項は、汎用的であり、全ての組織に適用できることを意図しています。
組織がJISQ27001に適合する場合、JISQ27001の4章から10章のどれも除外してはなりません。
JISQ27001はISMSのための要求事項がまとめてあるものです。適用するのであれば4章～10章すべて守る必要があります。
JISQ27001はJISQ27000（用語集）を引用しており、JISQ27001が引用するJISQ27000（用語集）は最新版であることが記載されています。
JISQ27001に出てくる用語や定義はJISQ27000に定めていますということが記載されています。
組織の目的と、ISMSの意図した成果を達成する組織の能力に影響を与える、外部及び内部の課題を決定しなければならないことが書かれています。
また、以下の事項を決定することが求められています。
さらに、組織は、規格の要求事項に従って、ISMSを確立し、実施し、維持し、かつ、継続的に改善しなければならないということが記載されています。
ここで定めたISO27001（ISMS）の適用範囲は、文書化し、いつでも利用可能な状態にしておかなければならないので注意です。
トップマネジメントは、次に示す事項によって、ISMSに関するリーダーシップ及びコミットメントを実証しなければならないということが記載されています。
加えて、トップマネジメントは情報セキュリティ方針の確立も求められています。
情報セキュリティ方針は、以下の事項を満たす必要があります。
また、トップマネジメントは、情報セキュリティに関連する役割に対して、責任及び権限を割り当て、伝達することを確実にしなければならないことも記載されています。
ここでは、ISMSの計画を策定する時に、組織は4章に規定する課題と要求事項を考慮して、以下の事項を実現するためのリスクと機会を決定しなければならないことが記載されています。
組織は、上記のリスクと機会に対処する活動や、その活動の方法の計画を立てなければいけません。
また、ここでは情報セキュリティリスクアセスメントのプロセスを定め、適用しなければならないことも記載されています。
そして、組織は、情報セキュリティアセスメントのプロセスについての文書化した情報を保持しなければなりません。
さらに、組織は関連する部門及び階層において、情報セキュリティ目的を確立しなければならず、この目的に関する文書化した情報も保持しなければなりません。
組織は、ISMS の確立、実施、維持及び継続的改善に必要な資源を決定し、提供しなければならないことが記載されています。
組織は情報セキュリティパフォーマンスに影響を与える業務を行う人に必要な力量を決定し、適切な教育、訓練を行い力量を備えていることを確実にしなければなりません。
また、組織で働く人々は、情報セキュリティ方針、ISMS の有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味について認識をもつ必要があります。
組織は、ISMSに関連する内部及び外部のコミュニケーションを実施する必要性を決定しなければなりません。
さらに、組織のISMSは、この規格が要求する文書化した情報や、ISMSの有効性のために必要であると組織が決定した文書化した情報が必要となります。
タイトルや日付等の識別及び記述、適切な形式、適切性及び妥当性に関するレビュー及び承認が必要であり、管理することが必要です。
6章で立てた計画を実施し、管理しなければならないことが記載されています。
また、プロセスが計画通りに実施されたという確信をもつために必要な文書化した情報を保持しなければなりません。
そして、情報セキュリティリスクアセスメントや、情報セキュリティリスク対応などの活動において、文書化した情報を保持することが求められています。
情報セキュリティパフォーマンス及びISMSの有効性の評価を定めています。
ISMSの要求事項に関する適合状況や、組織が決定したリスク対応の状況を監視、測定し、組織からのフィードバックを求めるための分析及び評価をします。
必要な監視、測定の対象、方法、実施時期を明確にし、文書化した情報を保持することが求められています。
この9章では、内部監査とマネジメントレビューについても定められています。
内部監査については、「ISMSが要求事項に適合し有効に実施されていること」をあらかじめ定めた間隔で監査することを求めています。
マネジメントレビューについては、トップマネジメントが、「ISMSが適切で妥当かつ有効であること」を定めた間隔でレビューしなければならないことが記載されています。
内部監査、マネジメントレビューともに、少なくとも年に1度定期的に実施が必要です。
そして、文書化した情報を保持することも求められています。
不適合が発生した場合、修正するための処置をとることや、不適合によって起こった結果に対処することが求められています。
また、不適合が再発又は他のところで発生しないようにするために、不適合の原因を除去するための処置の必要性の評価や、是正処置の有効性のレビュー、必要な場合はISMSの変更を行うなどの事項を行わなければなりません。
是正処置について、不適合の性質及びとった処置や、その結果の文書化した情報を保持することが求められています。
さらに、組織はISMSの適切性、妥当性及び有効性を継続的に改善することも記載されています。
JISQ27001（ISO27001） では、10項目の要求事項が定められており、審査ではこの要求事項に適合しているかを審査員が確認していきます。
また、2022年10月にISO27001：2022が発行され、2023年夏頃に日本語版であるJISQ27001が出る予定です。
ISO・Pマーク認証更新でお悩みの方へ
認証パートナーは、8000社を超える企業様に認証率100%で支援してきた実績と経験豊富なコンサルタントの知見を活かし、お客様の目標達成を全力でサポートいたします。
アドバイスや取り次ぎだけでなく、書類作成や監督に向けての準備、年々変化するルールへの対応まで、お客様のパートナーとして共に歩んでまいります。
認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。
今聞きたいこと、今すぐ回答！
最短即日・全国対応いたします！
お問合せは
こちらから
全国どこでもオンラインで対応！
気軽にご相談ください！
相談予約は
こちらから
8,000社以上の支援実績に裏付けされた、
弊社サービスの概要を紹介しております。
資料の内容
認証パートナーの専門コンサルタントが御社の一員となって事務局業務を行います。
お客様の作業は審査機関との窓口役だけ。それ以外はすべてお任せください。
個人情報保護マネジメントシステム
高い保護レベルの個人情報保護マネジメントシステムを確立し、運用していることを示します。
認証パートナーなら、個人情報漏えい防止の観点も踏まえたサポートを実現します。
品質マネジメントシステム
品質マネジメントシステムは一貫した製品・サービスを提供し、顧客満足を向上させるための規格です。
認証パートナーなら、負担が増える形だけのISOではなく、より現場の実態に沿ったISOを実現します。
情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステムは企業・組織の情報を守る規格です（ISMSとISO27001は同義）。
認証パートナーなら、情報セキュリティリスクへの対応計画、緊急時の対応計画踏まえPDCAサイクル回せるような仕組み作りを実現します。
環境マネジメントシステム
環境マネジメントシステムは環境を保護し、変化する環境状態に対応するための組織の枠組みを示します。
認証パートナーなら、課題になりがちな環境法令の対応についても一緒にサポート致します。
ISO27017やISO22000など各種規格もお得に 新規取得や運用・更新ができます。ご気軽にお見積りください。
ISOやプライバシーマークを同時に認証取得すると費用や工数を抑えることができます。安心してご相談ください
