ISO/IEC 27000シリーズとは？あいえすおー/あいいーしー にせんななひゃくしりーず

背景

情報セキュリティの水準は組織ごとにばらばらで、取引先や顧客が「この会社は信頼できるか」を確かめる共通の物差しが無かった。英国規格BS 7799を源流に国際規格化され、リスクアセスメントに基づいて管理策を選び、PDCAで継続的に改善する枠組みを第三者が審査できる形にした。委託先選定でISMS認証の有無を条件にする商慣行が定着し、支援士はこの枠組みの中でリスク対応や管理策の選定を助言する立場に置かれる。

具体例

日本のISMS適合性評価制度は、JIPDEC傘下の情報マネジメントシステム認定センター（ISMS-AC）が認定機関で、認証機関がJIS Q 27001の要求事項に基づき、リスクアセスメント・適用宣言書・管理策の運用状況を審査する。クラウド事業者はISO/IEC 27017の認証を追加で取得し、利用者に統制の証拠として提示する。

試験での引っ掛け

27001と27002を取り違えやすい。認証審査の基準になるのは27001（要求事項）だけで、27002は管理策の実践規範＝手引きであり認証の対象ではない。27000は用語と概要を定める巻で要求事項は無い。2022年改訂の27002は管理策が「組織的・人的・物理的・技術的」の4テーマ93項目に整理され、旧版の14分野114項目とは数が違う。

関連用語

• 情報セキュリティ管理基準
• プライバシーマーク
• 中小企業の情報セキュリティ対策ガイドライン
• 契約形態（請負契約・準委任契約）・検収
• モデル取引・契約書（多段階契約）
• 著作権の帰属（開発委託）
• ソフトウェアライセンス契約（使用許諾契約）
• 実施権（ライセンス契約）
• 刑法（不正指令電磁的記録に関する罪・電子計算機使用詐欺）
• 不正競争防止法（営業秘密・限定提供データ）
• 会社法・内部統制報告制度
• 契約不適合責任（旧・瑕疵担保責任）
• 特許法（職務発明・先願主義）
• プログラム言語・規約・解法の非保護
• ソーシャルメディアガイドライン
• 会社法（内部統制システムの整備義務）
• 個人情報保護法・マイナンバー法
• 標準必須特許とFRAND宣言
• 金融商品取引法（インサイダー取引規制）
• IPA