ISO27017の要求事項をわかりやすく解説：クラウド時代のセキュリティ入門

「ISO27017ってどんな規格？ISO27001との違いや関係性がよくわからない」
このような疑問をお持ちではないでしょうか。

クラウドサービスの利用が急速に広がるなか、従来のオンプレミス環境では想定しづらかったリスクが顕在化し、クラウド特有のセキュリティ対策を求める声が高まっています。そこで注目されるのが、クラウドに特化した国際規格ISO27017です。

しかし、ISO27017は単独で認証できる規格ではなく、ISO27001（ISMS）を土台として追加管理策を適用する仕組みであるため、正しい理解が不可欠です。提供者と利用者の双方に責任が求められる「共有責任モデル」や、SLAへのセキュリティ反映、ログ管理、テナント分離など、審査で必ず確認されるポイントも数多く存在します。

この記事では、ISO27017の基本知識から、クラウド特有の管理策、提供者・利用者それぞれの対応事項、審査に向けた準備、よくある不適合事例、初心者向けチェックリスト、認証取得までの流れ、FAQまで体系的に解説します。

最後までお読みいただくことで、ISO27017の全体像を理解し、クラウド環境におけるセキュリティ体制を強化するための具体的なステップを自社に適用できるようになります。クラウド時代の情報セキュリティを確立し、ビジネスの信頼性を高める第一歩を踏み出してください。

1.ISO27017とは？

ISO/IEC 27017：2015 は、クラウドサービスに特化した情報セキュリティ管理策を示す国際規格であり、「実施の手引き（Code of Practice）」および「ガイドライン」を提供します。

クラウド環境ではオンプレミスと異なり、インフラやシステムをプロバイダと共有する共有責任モデル（Shared Responsibility Model）に基づいて運用されます。このモデルの複雑さや責任分界の曖昧さが、ISO27017が必要とされる最大の背景です。

(1)規格の目的とクラウドセキュリティで求められる背景

クラウド移行に伴い、従来のオンプレミスでは想定しづらかった課題が発生しています。

• 責任分界の曖昧さ（提供者と利用者の境界が不明確）
• データの場所や経路のブラックボックス化
• 設定ミスによる情報漏洩（例：オープンS3バケット）
• 利用者側のログ可視性不足
• マルチテナント環境での情報漏洩リスク
• 管理コンソールへの不正アクセス

ISO27017は、こうしたクラウド特有のリスクに対応するため、提供者・利用者双方の役割と責任を明確化し、安全なクラウド利用環境を整備することを目的としています。

(2)ISO27017とISO27018の違い

• ISO27017 → クラウド全体のセキュリティ強化
• ISO27018 → 個人情報保護（プライバシー）に特化

審査現場でも両者の適用範囲を誤解する企業が多く、最初のつまずきポイントとなりやすいです。
また、GDPRや改正個人情報保護法への対応を強化したい場合は、ISO27018が重要な役割を果たします。

2.ISO27001（ISMS）とISO27017の関係

ISO27017は、ISO27001（ISMS：情報セキュリティマネジメントシステム）を土台として機能する追加規格（アドオン）です。
ISO27001が組織的な情報セキュリティの枠組み（マネジメントシステム：MS）を定義しているのに対し、ISO27017はクラウド特有のリスクに対応するための具体的な管理策（セキュリティ対策のルール）を補強しています。

(1)ISO27001が“土台”になる理由

ISO27001が“土台”になる理由は、情報セキュリティを組織的に管理・運用し、継続的に改善していくための仕組みを要求している点にあります。ISO27001は、PDCAサイクル（計画・実行・評価・改善）を回すための枠組みを規定し、文書化や内部監査といったマネジメントシステムの基本要素を備えています。

一方でISO27017は、このような枠組みを持たず、クラウド特有のリスクに対応するための具体的な管理策のみを定義しています。したがって、ISO27017を正しく適用するためには、その管理策を受け入れる「器」としてISO27001のISMSが必須となるのです。

(2)ISO27017単独で認証できない理由

ISO27017には以下のマネジメントシステム要素が存在しません。

• 組織の状況
• リーダーシップ
• 計画
• 支援
• 運用
• パフォーマンス評価
• 改善

そのため認証は、「ISO27001を先に認証 → ISO27017を追加認証」という流れで行われます。

(3)ISO27017が補強するセキュリティ領域

ISO27001が「基盤」となる一方で、ISO27017はクラウド特有のリスクを補強する「追加パーツ」として機能します。

3.ISO27017の適用対象と想定利用シーン

ISO27017の最大の特徴は、クラウドサービス提供者（プロバイダ）とクラウドサービス利用者（カスタマ）の双方に対して管理策を要求している点です。

(1)クラウドサービス提供者（プロバイダ）

AWS、GCP、Azureのようなメガクラウド事業者だけでなく、国内のIaaS/PaaS提供者やSaaS事業者も対象となります。
提供者に求められる対応は以下の通りです。

• 顧客データの取り扱いルールの明確化
• API・設定・ログなどの透明性確保
• 役割分界の文書化（責任マトリックス）
• SLAにおけるセキュリティコミットの明記

目的は、自社サービスのセキュリティ体制を客観的に証明し、顧客への信頼性を高めることにあります。

(2)クラウドサービス利用者（カスタマ）

他社クラウドサービスを利用するすべての企業が対象です。
利用者側にも以下の義務があります。

• 設定ミス防止（例：アクセス権限の過剰付与）
• 不必要なデータの蓄積防止
• リスク評価の実施
• アクセスログのレビュー
• SLAでの確認事項チェック

目的は、自社のセキュリティ体制を確立し、クラウド利用に伴うリスクを適切に管理することです。

(3)IaaS／PaaS／SaaSごとの適用イメージ

クラウドのサービスモデルによって、提供者と利用者の責任分界は異なります。ISO27017は、この違いを理解した上で管理策を適用することを求めています。

4.ISO27017の要求事項とは？（全体像）

ISO27017に独自のマネジメントシステム（MS）要求事項は存在せず、要求事項とされるものはすべて「管理策」です。多くの企業が「ISO27017にもISO27001のようなMS要求事項がある」と誤解しがちですが、実際にはクラウド特有のセキュリティ対策を追加する規格です。

(1)ベースとなるISO27001附属書Aの管理策

ISO27017は、ISO27001の附属書A（2022年版では93項目）の管理策を土台としています。これらの管理策をクラウド環境に適用する際に、具体的にどう解釈・実施すべきかを示す「ガイダンス（実施の手引き）」を提供します。

(2)ISO27017で追加されるクラウド特有の管理策

ISO27017は、ISO27001には存在しないクラウド環境特化の7つの追加管理策を定義しています。特に審査で注目されるのは以下の項目です。

(3)ISO27017への対応の意味

ISO27017への対応とは、実質的に「ISO27001の管理策 ＋ クラウド用ガイダンスの適用 ＋ 7つの追加管理策の適用」を行うことを指します。
これにより、クラウド環境における責任分界や仮想化リスク、ログの透明性、データ削除といったクラウド特有の課題に対応できる仕組みが整備されます。

5.ISO27017固有の管理策（クラウド特有のリスク対応）

ISO27017の核心部分は、「7つの追加管理策」と「ISO27001既存管理策へのガイダンス」です。これにより、クラウド環境に特有のリスクに対応する仕組みが整備されます。

(1)追加された管理策の一覧

ISO27017では、クラウド環境に特化した7つの管理策が追加されています。

(2)ISO27001既存管理策へのガイダンス（実施の手引き）

ISO27017は単なる解説書ではなく、「実装の要求」を示しています。ISO27001の既存管理策に対して、クラウド環境での具体的な適用方法を明確化します。

• 顧客データの消去プロセスを文書化（依頼ベースか定期かを明確化）
• 仮想環境でのテナント分離（VLAN分離等）を証明できること
• ログの相互提供（利用者が必要なログにアクセス可能か）
• 責任分界表（クラウド責任分界マトリックス）の作成

【具体例】ISO27001 / A.9.2.1 利用者登録及び登録削除
オンプレミス

• 入退社時にActive Directoryでアカウントを発行・停止

ISO27017ガイダンス

• 提供者 → 顧客がセルフサービスでユーザー登録・削除できる機能を提供
• 利用者 → 管理コンソールを使い、自社ポリシーに基づき遅滞なく登録・削除を実施

(3)設備投資が必要になるケースの有無

ISO27017自体は特定の設備導入を必須とはしていません。ただし、リスクアセスメントの結果、クラウド特有のリスク低減のために技術的改修が必要となる場合があります。

• 仮想環境の分離が不十分
• ログ提供の仕組みが未整備
• 多要素認証（MFA）が未導入

【その際に導入される代表的なソリューション例】

ISO27017対応は、「ISO27001の管理策＋クラウド用ガイダンス＋7つの追加管理策」を組み合わせて実装することを意味します。

6.クラウドサービス提供者向けの要求事項

クラウドサービス提供者（プロバイダ）は、サービスの信頼性を担保し、利用者が安全に利用できる環境を整備する責任があります。ISO27017では、以下の観点が特に重要視されます。

(1)役割・責任分界の明確化

提供者は、自社がどこまで責任を持ち、利用者が何をすべきかを曖昧さなく定義し、利用規約やSLA（Service Level Agreement）に明記する必要があります。

• 想定利用モデル（IaaS／PaaS／SaaS）ごとの責任分界を定義
• SLAにセキュリティ責任を明記
• 設定ミスの責任所在を明確化

【SLAで定義すべき項目例】

(2)顧客データの取り扱いルール

提供者は、顧客データの安全性を技術的に保証し、契約終了時の取り扱いまで明確にする必要があります。

• 分離性（CLD.9.5.1）：データベースのスキーマ分割、仮想化技術、暗号化（顧客ごとの鍵管理）などにより、顧客間のデータ干渉を防止
• データ消去（CLD.8.1.5）：契約終了時に顧客データを確実に消去するプロセスを確立し、必要に応じて消去証明書を発行
• サービス終了時のデータ返却方法を定義
• 多拠点バックアップの扱いを明示

(3)ログ・可視化・監査への対応

利用者は、自らの環境で発生したインシデントを調査する責任があります。提供者は、そのために必要な情報を提供しなければなりません。

• ログ提供（CLD.12.4.5）：利用者が自身のアクティビティログ（ログイン履歴、設定変更履歴など）を確認できる機能を提供（例：AWS CloudTrail）
• 監査対応：顧客からの個別監査要求にすべて応えるのは非現実的なため、SOC2レポートやISO27001などの第三者認証を定期的に取得し、その報告書を顧客に開示することで対応
• SLAに監査可否を明記することが必須

このように、クラウドサービス提供者は「責任分界」「顧客データの安全な取り扱い」「ログ・監査対応」の3領域で具体的な管理策を整備することが求められます。

7.クラウドサービス利用者向けの要求事項

クラウドサービス利用者は、プロバイダが安全対策を講じていても、自らの管理が不十分であれば情報漏洩につながるため、「安全に利用する責任」を負います。ISO27017では、契約・SLAの確認、可視化・監査権限の確保、安全な利用体制の構築が重要な要求事項とされています。

(1)契約・SLAで必ず確認すべき項目

(2)可視化・監査権限の確保

可視化や監査権限の確保において重要なのは、利用者が自らのセキュリティ責任を果たせる環境を整えることです。

まず、ログ取得ができないサービスではISO27017の適用が難しくなるため、利用者が必要な操作ログやアクセスログを確認できる仕組みが提供されているかどうかが大きなポイントになります。

また、利用者による監査は物理的なインフラを直接確認するものではなく、契約やSLAの内容を精査したり、プロバイダが取得している第三者認証（SOCレポートやISO認証）を評価することで実施されます。

さらに、自社の利用状況を継続的に監視するためには、ログレビュー体制を整備することが必須であり、これによって設定ミスや不正アクセスなどのリスクを早期に発見し、適切に対応できるようになります。

(3)安全な利用体制を整えるポイント

利用者側が最低限行うべき管理策は以下の通りです。

①アクセス制御の適切な設定

• IAMの徹底（最小権限の原則）
• MFA（多要素認証）の必須化（特に管理者ID）
• ルート権限の不使用

②ログ管理・レビュー

• 定期的なログレビューを実施
• 設定不備の監視（例：S3バケットの公開設定ミス防止）

③データ保護

• 利用者側でのバックアップ（重要データは自社で確保）
• アクセスキーの安全管理（ハードコーディング禁止、IAMロール利用）

利用者は「提供者任せ」にせず、契約・SLAの確認と自社側でのセキュリティ管理を徹底することが求められます。

8.【ケース別】ISO27017審査に向けた対応ポイント

ISO27017認証（アドオン認証）を目指す際の進め方は、ISMS（ISO27001）の取得状況によって異なります。

(1)ISO27001を未認証の場合

まずはISMS（ISO27001）の構築からスタートします。

①ISMSの確立：ISO27001の4章～10章に基づき、情報セキュリティのPDCAサイクルを構築する。
②適用範囲の明確化：クラウドサービスの提供・利用を前提に範囲を定義する。
③リスク評価：クラウド特有のリスク（仮想環境の分離不備、設定ミスなど）を組み込んで評価する。
④管理策の選定：ISO27001附属書Aに加え、ISO27017の追加管理策（7項目）とガイダンスを適用対象として計画する。
⑤審査：ISO27001の初回審査と同時に、ISO27017のアドオン審査を申請する。

(2)ISO27001をすでに認証済みの場合

既存のISMSにISO27017を組み込む形で対応します。

①リスクアセスメントの見直し：定期的または臨時のリスクアセスメントでクラウド利用に関するリスクを再評価する。
②ISO27017管理策の適用：リスク評価の結果に基づき、追加管理策やガイダンスを導入する。
③審査：ISO27001の維持審査または更新審査のタイミングで、ISO27017のアドオン審査を申請する。

【追加で必要となる文書・記録整理】

ISO27017対応では、「ISO27001のISMSを基盤に、クラウド特有のリスクを反映させた管理策と文書整備を追加する」ことが審査の中心となります。

9.ISO27017で“よくある不適合・指摘ポイント”

ISO27017の審査や実運用において、不適合や指摘を受けやすいポイントは、提供者・利用者ともに「責任の境界線」に集中します。特に審査では「責任分界表を見せてください」という要求が必ず出るため、責任分担の明確化が最重要課題となります。

【主な不適合・指摘ポイント】

これらの不適合は、「責任分界の文書化」「SLAの具体性」「ログ・データ管理の透明性」が不足していることに起因します。提供者・利用者双方が責任範囲を誤解せず、明確に定義・実装することがISO27017審査対応の鍵となります。

10.ISO27017要求事項チェックリスト（初心者向け）

ISO27017の要求事項（管理策）にどの程度対応できているかを確認するための最低限のチェックリストです。提供者と利用者では確認すべき項目が異なりますが、共通して押さえるべきポイントも存在します。

(1)共通で確認すべきポイント

(2)提供者向けチェック項目

(3)利用者向けチェック項目

このチェックリストを活用することで、提供者・利用者双方がISO27017の要求事項に沿った体制を整備できるかを確認できます。

11.ISO27017認証取得までの流れ

ISO27017認証は、ISO27001（ISMS）のPDCAサイクルを基盤に、クラウド特有の要素を組み込む形で進められます。特に「管理策整備」「文書化」「運用」はクラウド特有の論点が多く、審査員から細かく確認されるポイントです。

【認証取得のプロセス】

この流れを踏むことで、ISO27001の枠組みにクラウド特有の管理策を組み込み、ISO27017認証取得へと進めることができます。

12.ISO27017のよくある質問（FAQ）

(1)Q1. 規格文書はどこで入手できる？

ISO27017（JIS Q 27017）の規格文書は、日本規格協会（JSA）や日本情報経済社会推進協会（JIPDEC）のオンラインショップ、またはISO公式ストアで購入可能です。

(2)Q2. ISO27017の適用範囲は？

ISO27017はクラウド事業者・利用者双方が対象です。適用範囲は「自社が管理責任を負える範囲」で設定するのが原則です。

(3)Q3. 設備投資は必要？

原則として必須ではありません。ただし、リスク評価の結果によっては技術的な対策が合理的に必要となる場合があります。

このように、ISO27017対応では「原則は既存体制で対応可能だが、リスク評価次第で追加投資が必要になる」点がポイントです。

13.まとめ

本記事では、ISO27017の要求事項と管理策をテーマに解説しました。要点をまとめておきましょう。

まず、ISO27017の目的について、クラウド特有のリスクに対応するための国際規格であることを説明し、ISO27018との違いを整理しました。次に、ISO27001との関係を示し、ISO27017は単独で認証できず、ISMSを土台として追加管理策を適用する仕組みであることを解説しました。

適用対象については、クラウドサービス提供者と利用者の双方が対象であることを示し、IaaS／PaaS／SaaSごとの責任分界の違いを整理しました。要求事項の全体像では、ISO27017に独自のマネジメントシステム要求事項はなく、ISO27001附属書Aをベースにクラウド特有の7つの管理策が追加されることを解説しました。

固有の管理策としては、責任分界、仮想環境の分離、ログ提供、データ削除などを取り上げ、既存管理策へのガイダンスや設備投資が必要となるケースについても触れました。さらに、提供者向けにはSLAでの責任分界やログ提供、利用者向けには契約・SLAの確認、監査権限の確保、アクセス制御やログレビューなど、安全な利用体制の整備が求められることを整理しました。

審査対応のポイントでは、ISO27001未認証の場合はISMS構築から始めること、認証済みの場合はリスクアセスメントやSOAの見直しが必要であることを示しました。不適合事例としては、共有責任モデルの誤解、SLAの不備、ログ管理の不十分さ、役割分担の曖昧さが多いことを解説しました。

初心者向けチェックリストでは、責任分界の文書化、データ削除手順、ログアクセス、SLAのセキュリティ反映など最低限確認すべき項目を整理しました。認証取得までの流れでは、適用範囲の決定からリスク評価、管理策整備、文書化・運用、内部監査、審査までのステップを示しました。

最後にFAQとして、規格文書の入手方法、適用範囲の考え方、設備投資の必要性について解説しました。本記事を参考に、ISO27017の全体像と実務上の対応ポイントを理解し、クラウド環境におけるセキュリティ体制の強化に役立てていただければ幸いです。

ISO/Pマークの認証・運用更新を180時間も削減！
認証率100%の認証パートナーが無料問い合わせを受付中！

認証パートナーは8,000社を超える企業様の認証を支援し、認証率100%を継続してきました。

経験豊富なコンサルタントの知見を活かし、お客様のISO/Pマーク認証・運用更新にかかる作業時間を約90%削減し、日常業務(本業)にしっかり専念することができるようサポートします。

▼認証パートナーが削減できること(一例)

• マニュアルの作成・見直し：30時間→0.5時間
• 内部監査の計画・実施：20時間→2時間
• 審査資料の準備：20時間→0.5時間

認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。

認証パートナーに無料で相談する