１．ISO27017の内部監査をする際の注意点

ISO27017の内部監査は、ISO27001と違ってクラウドサービスプロバイダとしての視点とクラウドサービスカスタマとしての視点の監査が必要になります。

どちらかもしくは両方であるかどうか、認証範囲に気を付けてどのような視点で監査を行わなければならないのかに注意が必要となります。

２．そもそもISO27017とは？内部監査とは？

そもそもISO27017というのは、ISO27001のアドオン認証でのクラウド認証ISOとなります。

アドオンとはISO27001を認証取得しないと認証されない決まりのことです。
ですので、ISO27017単体ではISO認証取得ができません。
では、ISO27001とは違う内部監査をしなければならないのか？特別な何かが必要になってくるのか？と思うかもしれませんが、内部監査の実施方法としては変わらないので安心してください。

⑴ISO27017の概要

ISO27017はクラウドサービスを提供する側（クラウドサービスプロバイダ）とクラウドサービスを使用する側（クラウドサービスカスタマ）の観点の管理策が用意されていて、どちらもクラウドサービスを安全に提供・利用するためのものとなっています。

例えば、クラウドサービスプロバイダとしては、サービス利用者と提供者と供給者（クラウドサーバなどの）の三社間のセキュリティに関する責任と役割を決めてサービス利用者に合意してもらわなければならない。という管理策があります。合意とは、双方で意思が合致することを示しており、契約をかわすことと同意と思ってください。

クラウドサービスカスタマとしては、クラウドサービスカスタマの資産目録には、クラウド環境に保存される情報及び関連資産を記載しなければならない。とあります。記載の通りですが、クラウドサービス内に保管される情報資産が何かを資産台帳の中に明記しなければなりません。
このような管理策を実行することがISO27017では求められているのです。

ISO27017についてこちらの記事で詳しく説明しております。

あわせて読みたい記事

ISO27017とは？取得企業増加の背景も含めて解説

１．ISOについて ISOとは国際標準化機構の略称であり、この国際標準化機構が国際規格であるISO規格を定めています。 標準化機構という名の通り、ISO規格は情報セキュリティから製品の品質など様々な分…

⑵内部監査の目的とメリット

内部監査の目的とメリットは以下になります。
①プロセスの改善: 内部監査を通じて、セキュリティの問題点や非効率的な部分、ルールの浸透度を特定できます。

これにより、改善点が明確になり、次の改善に繋げやすくなります。

②リスク管理の強化: 内部監査によって潜在的なリスクや問題が早期に発見されやすくなるため、リスク管理や対策の強化が可能になります。

③従業員の意識向上: 定期的な監査を実施することで、従業員は規範や標準についての意識が高まります。これにより、規範遵守が根付きやすくなります。

これらのメリットにより、内部監査は組織の全体的なセキュリティパフォーマンスの向上に貢献し、持続可能な成長を支える重要なプロセスとなります。

３．ISO27017内部監査のスケジュールと頻度

ISO27017の内部監査スケジュールは、基本のISO27001と一緒で問題ありません。
通常、ISO27001の規格に従って、年間に最低1回の内部監査を実施することが推奨されます。

ISO27017もISO27001の内部監査に統合される形で実施されるため、年に1回以上の頻度で監査を行うことが望ましいです。

もし、年に2回以上やることとしたら、クラウドサービスプロバイダとして管理策を実行できているかどうかをしっかりと確かめるための実施と考えてよいと思います。

また、情報セキュリティマネジメントシステム（ISMS）に重要な変更があった場合や管理策ルールの変更を行った、例えば、新たなクラウドサービスの導入や主要な変更があった場合などには、追加で監査を実施することが推奨されます。

４．内部監査実施のための流れ

⑴内部監査の範囲と対象の設定

まず、ISO27001及びISO27017の認証対象範囲、特に認証対象の部門が内部監査の範囲になります。
営業所がある場合は、営業所も認証範囲に含めていれば内部監査を実施することが求められます。

また、営業所等が多くある場合は、3年間で1回以上の内部監査が実施できるように3年計画を立てておくと良いでしょう。

⑵内部監査の計画・実施と報告

内部監査責任者は内部監査を実施する前には、どのような監査にするか、監査の観点をどのようにするか、いつ実施するか、どの範囲を監査するかなどを計画しなければなりません。また、内部監査責任者は監査をするための内部監査員を選定しなければなりません。

そしてこれらを計画書に落とし込み、計画日に内部監査を実施します。
実施後は監査で出た指摘を報告書などにまとめ、トップへの報告を行って完了となります。

⑶内部監査のチェックリストの作成

実施前に内部監査責任者や監査員はチェックリストを作成します。
ちなみにチェックリストは必ずしも作成する必要はないですが、監査の基準や監査員の公平性を保つためにチェックリストという標準を作っておくと良いものとなります。

５．ISO27017内部監査によくある課題と解決方法

ISO27017の内部監査を行ううえでよくある課題は、リソースや知識不足です。

ISO27017の規格要求はクラウドに関する知識やプロバイダとしてのセキュリティ機能等を熟知している必要があるので専門性が強くなり、その分のリソースや知識が必要となるのです。

それらをクリアするためには、まずISO27017の規格要求に対する知識を付ける必要があります。どんなことをすればよいかというと内部監査養成研修などの外部研修を受けることや参考書を元に自習などをする必要があります。

ただ、クラウドに関する知識やプロバイダとしてのセキュリティ機能に関する知識は簡単には付けられません。

そこで、すでに知識がある者が内部監査員になることも必要かもしれません。それ以外の者であれば勉強をする必要があり、これには時間が膨大にかかるかもしれません。

６．内部監査の成功事例と紹介

内部監査の成功事例として以下３つを紹介します。

⑴金融機関のクラウド移行プロジェクト

背景:
ある大手金融機関がクラウドサービスを利用するにあたり、情報セキュリティを確保するためにISO 27017の実施を決定しました。クラウド環境に移行する際のリスク管理が重要でした。

アクション:
内部監査チームは、ISO 27017の要件に基づき、クラウドサービスのセキュリティ対策を評価しました。監査では、クラウドサービスプロバイダーとの契約内容、データ保護、アクセス制御、脅威の管理などを重点的にチェックしました。

結果:
内部監査を通じて以下の改善が実現しました
クラウドプロバイダーとの契約において、情報セキュリティに関する明確な合意が形成され、データ保護の取り決めが強化されました。
アクセス管理のポリシーが明確化され、不正アクセスのリスクが低減しました。
クラウド環境でのセキュリティインシデント対応手順が整備され、迅速な対応が可能になりました。

⑵ ヘルスケア業界のクラウドセキュリティ強化

背景:
あるヘルスケア企業が、患者情報の保護を強化するためにISO 27017を導入しました。クラウドサービスを利用して電子カルテシステムを運用しており、規制に対応する必要がありました。

アクション:
内部監査では、ISO 27017に基づいてクラウド環境のセキュリティ対策を徹底的にチェックしました。具体的には、データ暗号化、アクセスログの管理、バックアップとリカバリープロセスの検証などが行われました。

結果:
監査の結果、以下の改善が行われました。
データ暗号化が強化され、患者情報の保護レベルが向上しました。
アクセスログの監視体制が強化され、不正なアクセスの早期発見が可能となりました。
バックアップとリカバリープロセスが最適化され、データの可用性と信頼性が向上しました。

⑶ITサービスプロバイダーのセキュリティ体制の改善

背景:
ITサービスプロバイダーが、顧客に対して安全なクラウドサービスを提供するためにISO 27017の内部監査を実施しました。クラウドサービスの品質とセキュリティの維持が課題でした。

アクション:
内部監査チームは、ISO 27017のガイドラインに従い、セキュリティポリシー、リスク管理、コンプライアンスの状況を評価しました。特に、顧客データのセキュリティとコンプライアンス状況が重点的にチェックされました。

結果:
内部監査の結果、以下の改善が実施されました。
セキュリティポリシーの見直しと強化が行われ、サービスの信頼性が向上しました。
リスク管理プロセスが改善され、リスク評価と対策がより効果的に行えるようになりました。
顧客へのセキュリティに関する透明性が向上し、顧客からの信頼が増しました。
これらの成功事例からもわかるように、ISO 27017の内部監査はクラウド環境における情報セキュリティの強化やリスク管理の改善に大きく寄与します。内部監査を適切に実施することで、クラウドサービスの信頼性と安全性を向上させることができます。

７．ISO27017の内部監査員になる為には

ISO27017の内部監査員になる為には以下のような活動が必要となります。

• 外部機関の内部監査員養成研修を受講し、内部監査の力量を付ける
• 社内の内部監査教育プログラムを受講し、社内承認を得る
• 社内のベテラン内部監査員に同行し、OJTを受けて社内承認を得る

ISOの内部監査員資格を取得する方法についてこちらの記事で詳しく説明しております。

あわせて読みたい記事

ISOの内部監査員資格を取得する方法３選

１．ISO内部監査員資格とは ISO内部監査員資格とはISO9001やISO14001など、ISOを認証取得している企業の内部監査担当者が保有していると役に立つ資格です。 資格取得のための講座を受講す…

８．まとめ

ISO27017の内部監査を実施するには規格要求事項の知識とクラウドサービスに関する知識を必要とします。それをクリアした内部監査員から責任者を選出し、内部監査計画を立て、実施し、報告を行います。
内部監査を行うことによって自社のクラウドサービスにおける課題を洗い出すことができ、セキュリティの改善・強化に繋げることが可能になります。
改善が行われることによって、カスタマ（顧客）にサービスに対する安心感を与えることができ、サービス利用の促進につながることになるでしょう。
ただし、ISO27017の内部監査員になるために専門的な知識を付ける必要があるため、一朝一夕で監査員になれる保証はありません。これをクリアすればISO27017は組織にとってプラスの側面を与えてくれることでしょう。

ISO・Pマークについてのお悩みはありませんか？

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン
  相談予約

ISO・Pマークについてのお悩みはありませんか?

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン相談予約