発行元： アームスタンダード株式会社〒103-0012 東京都中央区日本橋堀留町1-10-15
JL日本橋ビル1F
TEL:

URL

03-3666-8788 / (営業部) 03-3666-8814

https://www.armstandard.com/

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC27001:2022 への移行の手引き

目次

頁 NO.

1 2022 年版への移行について

2

2 移行審査までの流れ
Step1 新規格の理解① 改訂の概要② 本文の改訂について
表１：要求事項の追加・改訂の有無③ 附属書 A 管理策の変更点④ 2022 年版を基準とした管理策の対比表
表２：2022 年版管理策の対比表
Step2 差分の理解① 要求事項の追加・変更② 附属書 A 情報セキュリティ管理策の新規管理策
Step3 文書類の改訂

3

Step4
Step5
Step6
Step7
Step8

スケジュール
関係者へ通知運用開始
内部監査
マネジメントレビュー

13
14
15

3 付表 ～2013 年版を基準とした管理策の対比表～

3：移行状況チェックリスト
3.1 JIS Q 27001:2022 (ISO/IEC 27001:2022)

816

移行状況チェックリスト(自己診断)© アームスタンダード株式会社 All Rights Reserved.

1

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

1 2022 年版への移行について
情報セキュリティマネジメントシステム（ISMS）の適用規格である ISO/IEC27001 が改訂され、2022 年
10 月 25 日に ISO/IEC27001:2022 が発行されました。
これに伴い、弊社で認証を取得している組織様におかれましては、従来の ISO/IEC27001:2013 から
ISO/IEC27001:2022 への移行が必要となります。ISO のマネジメントシステム規格は変化する社会の要請に対応して随時見直しが行われています。
この規格は国際標準として策定されておりますので、組織の皆様におかれましても、新しい要求事項の下で運用していただく必要がございます。

Ⅰ 2025 年 10 月 31 日以降、ISO/IEC 27001:2013 は無効となります。
旧規格版にて認証を取得されている組織のご担当者様におかれましては、当資料をご活用の上計
画的に 2022 年版への移行をご準備いただければ幸いです。

Ⅱ 移行期間の決定
適切な運用期間は組織様にてご判断いただく必要がございますが、運用のサイクルが一巡し、内部監査とマネジメントレビューを完了した状態でなければ移行審査を受審することはできません。サイクルを一巡させるまでには、一般的には 1 年～半年程度の運用が必要であると考えられます。

Ⅲ 移行審査について
移行審査は、通常の定期審査/再認証と合わせて実施することができます。ただし、再認証審査と同時に移行審査を受ける場合は、有効期限の 3 か月以上前に受審されることを推奨しております。

Ⅳ ホームページから無料体験にお申し込みください
アカデミーコースの無料体験では「ISO/IEC27001:2022 規格改訂解説動画」を視聴いただけます。
https://www.armstandard.com/elearning-taiken/

2© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

2

移行審査までの流れ

2.1 各プロセスの解説
Step1 新規格の理解
①

改訂の概要

ISO/IEC 27001:2022 への改訂において、2013 年版からの本文の追加・変更は少なく、要求事項にも大きな追加・変更はありません。
今回の改訂では、2022 年 2 月に改訂された ISO/IEC27002:2022 に併せて附属書 A が全面的に改訂されています。新規管理策も 11 項目追加されていますので、見直しが必要になります。
②

本文の改訂について

今回の改訂において、本文についての追加・変更の内容は以下の通りです。
・ISO/IEC27001:2022 の構造とテキストに、最新版の規格として共通の形式が反映されました。
・ISO31000 の改訂に対応して、本規格で参照している ISO31000 の箇条番号が変更されました（参照する内容についての変更はありません）。
各項番ごとの改訂、及び要求事項の追加・変更の有無は下記の表を参照してください。
表１：要求事項の追加・改訂の有無*は 2022 年版で新しく追加された項番です。
改訂の
有無

要求事項
の追加・
変更

4.1 組織及びその状況の理解有

無4.2 利害関係者のニーズ及び期待の理解

有

無4.4 情報セキュリティマネジメントシステム

有無5.1 リーダーシップ及びコミットメント

有

無

有

無

6.1.3 情報セキュリティリスク対応

有無

6.2 情報セキュリティ目的及びそれを達成するための計画策定

有

有*6.3 変更の計画策定

有有（ISO/IEC27001:2022）

0.序文

0.1 概要0.2 他のマネジメントシステム規格との両立性

1.適用範囲2.引用規格3.用語及び定義

4.組織の状況

5.リーダーシップ

4.3 情報セキュリティマネジメントシステムの適用範囲の決定5.2 方針5.3 組織の役割、責任及び権限
6.1 リスク及び機会に対処する活動
6.1.1 一般
6.1.2 情報セキュリティリスクアセスメント

6.計画© アームスタンダード株式会社 All Rights Reserved.

3

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

改訂の
有無

要求事項
の追加・
変更

有

(有)

有

有

有

無

*9.2.1 一般

有

無*9.2.2 内部監査プログラム

有無*9.3.1 一般

有

無*9.3.2 マネジメントレビューへのインプット

有有*9.3.3 マネジメントレビューの結果

有

無*10.1 継続的改善

有無*10.2 不適合及び是正処置有無（ISO/IEC27001:2022）
7.1 資源7.2 力量7.3 認識7.4 コミュニケーション

7.支援

7.5 文書化した情報
7.5.1 一般
7.5.2 作成及び更新
7.5.3 文書化した情報の管理
8.1 運用の計画及び管理

8.運用

8.2 情報セキュリティリスクアセスメント
8.3 情報セキュリティリスク対応
9.1 監視、測定、分析及び評価
9.2 内部監査

9.パフォーマンス評価

10.改善

③

9.3 マネジメントレビュー

附属書 A 管理策の変更点

附属書 A 管理策は、ISO/IEC27002:2022 の箇条５～箇条８に規定したものがそのまま取り入れられており、両者の整合が保たれています。
2013 年版からの変更点として、管理策体系の簡素化のため、その主な側面に基づき 4 群にまとめられました。また、ISO/IEC27002:2022 における管理目的の扱いが変更されたことに対応して、管理目的への言及が削除されました。
項番

4

内訳

項目数

5.7

脅威インテリジェンス

追加された新規管理策（11 項目）

新規

11

5.23

クラウドサービスの利用における情報セキュリティ

統合

24

5.30

事業継続のための ICT の備え

更新

58

7.4

物理的セキュリティの監視

削除

0

8.9

構成管理

8.10

情報の削除

8.11

データマスキング

8.12

データ漏えいの防止

8.16

監視活動

8.23

ウェブ・フィルタリング

8.28

セキュリティに配慮したコーディング© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC 27002:2022
2022 年版の管理策体系

ISO/IEC 27002:2013
項目数2013 年版の管理策体系

項目数

5 組織的管理策

37

5 情報セキュリティのための方針群

2

6 人的管理策

8

6 情報セキュリティのための組織

7

7 物理的管理策

14

7 人的資源のセキュリティ

6

8 技術的管理策

34

8 資産の管理

10

合計

93

9 アクセス制御

14

10 暗号

2

11 物理的及び環境的セキュリティ

15

12 運用のセキュリティ

14

13 通信のセキュリティ

7

14 システムの取得、開発及び保守

13

15 供給者関係

5

16 情報セキュリティインシデント管理

7

17 事業継続マネジメントにおける情報
セキュリティの側面

4

18 順守

8

合計

114

④

2022 年版を基準とした管理策の対比表

ISO/IEC27001:2022 のそれぞれの管理策に対して、どの項目が属しているかを一覧したい場合に参照
してください。
表２：2022 年版管理策の対比表*は 2022 年版で新しく追加された項番です。

ISO/IEC27001:2022

組
織
的
管
理
策

5.1

情報セキュリティのための方針群

5.2
5.3
5.4
5.5
5.6
*5.7

情報セキュリティの役割及び責任
職務の分離
経営陣の責任関係当局との連絡専門組織との連絡
脅威インテリジェンス

5.8

プロジェクトマネジメントにおける情報セキュ
リティ

5.9

情報及びその他の関連資産の目録

5.10

情報及びその他の関連資産の許容される利用

5.11
5.12
5.13

資産の返却
情報の分類
情報のラベル付け

5.14

情報転送

5.15

アクセス制御ISO/IEC27001:2013
A.5.1.1
A.5.1.2
A.6.1.1
A.6.1.2
A.7.2.1
A.6.1.3
A.6.1.4
A.6.1.5
A.14.1.1
A.8.1.1
A.8.1.2
A.8.1.3
A.8.2.3
A.8.1.4
A.8.2.1
A.8.2.2
A.13.2.1
A.13.2.2
A.13.2.3
A.9.1.1
A.9.1.2

情報セキュリティのための方針群
情報セキュリティのための方針群のレビュー
情報セキュリティの役割及び責任
職務の分離
経営陣の責任関係当局との連絡専門組織との連絡
プロジェクトマネジメントにおける情報セキュ
リティ
情報セキュリティ要求事項の分析及び仕様化
資産目録
資産の管理責任
資産利用の許容範囲
資産の取扱い資産の返却
情報の分類
情報のラベル付け
情報転送の方針及び手順
情報転送に関する合意
電子的メッセージ通信
アクセス制御方針
ネットワーク及びネットワークサービスへのア
クセス© アームスタンダード株式会社 All Rights Reserved.

5

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC27001:2022
5.16

識別情報の管理

5.17

認証情報

利用者アクセスの提供
利用者アクセス権のレビュー
アクセス権の削除又は修正供給者関係のための情報セキュリティの方針

A.15.1.2

供給者との合意におけるセキュリティの取扱い

A.15.1.3

ICT サプライチェーン

A.15.2.1
A.15.2.2

供給者のサービス提供の監視及びレビュー
供給者のサービス提供の変更に対する管理

5.25
5.26
5.27
5.28

供給者関係における情報セキュリティ
供給者との合意における情報セキュリティの取扱い
情報通信技術(ICT)サプライチェーンにおける情報セキュリティの管理
供給者のサービス提供の監視、レビュー及び変更管理
クラウドサービスの利用における情報セキュリ
ティ
情報セキュリティインシデント管理の計画策定
及び準備
情報セキュリティ事象の評価及び決定
情報セキュリティインシデントへの対応
情報セキュリティインシデントからの学習
証拠の収集

5.29

事業の中断・阻害時の情報セキュリティ*5.30

事業継続のための ICT の備え

5.31

法令、規制及び契約上の要求事項

5.32
5.33

知的財産権
記録の保護

A.18.1.1
A.18.1.5
A.18.1.2
A.18.1.3

5.34

プライバシー及び PII の保護

A.18.1.4

5.35

情報セキュリティの独立したレビュー

A.18.2.1

5.36

情報セキュリティのための方針群、規則及び標準の順守

A.18.2.2

5.37
6.1
6.2
6.3
6.4
6.5
6.6
6.7

操作手順書
選考
雇用条件
情報セキュリティの意識向上、教育及び訓練
懲戒手続
雇用の終了又は変更後の責任
秘密保持契約又は守秘義務契約
リモートワーク

6.8

情報セキュリティ事象の報告

7.1

物理的セキュリティ境界

7.2

物理的入退

7.3
*7.4
7.5
7.6
7.7
7.8
7.9

オフィス、部屋及び施設のセキュリティ
物理的セキュリティの監視
物理的及び環境的脅威からの保護
セキュリティを保つべき領域での作業
クリアデスク・クリアスクリーン装置の設置及び保護構外にある資産のセキュリティ

7.10

記憶媒体

7.11
7.12

サポートユーティリティ
ケーブル配線のセキュリティ

*5.23
5.24

6

パスワード管理システム

A.9.2.2
A.9.2.5
A.9.2.6
A.15.1.1

5.19

5.22

物
理
的
管
理
策

A.9.4.3
アクセス権

5.21

人
的
管
理
策

利用者登録及び登録削除
利用者の秘密認証情報の管理
秘密認証情報の利用

5.18

5.20

組
織
的
管
理
策

ISO/IEC27001:2013
A.9.2.1
A.9.2.4
A.9.3.1

A.16.1.1

責任及び手順A.16.1.4
A.16.1.5
A.16.1.6
A.16.1.7
A.17.1.1
A.17.1.2
A.17.1.3

情報セキュリティ事象の評価及び決定
情報セキュリティインシデントへの対応
情報セキュリティインシデントからの学習証拠の収集情報セキュリティ継続の計画
情報セキュリティ継続の実施
情報セキュリティ継続の検証,レビュー及び評価
適用法令及び契約上の要求事項の特定暗号化機能に対する規制
知的財産権
記録の保護
プライバシー及び個人を特定できる情報（PII）の保護
情報セキュリティの独立したレビュー
情報セキュリティのための方針群及び標準の順
守
技術的順守のレビュー
操作手順書
選考
雇用条件
情報セキュリティの意識向上，教育及び訓練
懲戒手続
雇用の終了又は変更に関する責任
秘密保持契約又は守秘義務契約
テレワーキング
情報セキュリティ事象の報告
情報セキュリティ弱点の報告
物理的セキュリティ境界
物理的入退管理策
受渡場所
オフィス，部屋及び施設のセキュリティ
外部及び環境の脅威からの保護
セキュリティを保つべき領域での作業
クリアデスク・クリアスクリーン方針装置の設置及び保護構外にある装置及び資産のセキュリティ
取外し可能な媒体の管理
媒体の処分
物理的媒体の輸送
資産の移動サポートユーティリティ
ケーブル配線のセキュリティ

A.18.2.3
A.12.1.1
A.7.1.1
A.7.1.2
A.7.2.2
A.7.2.3
A.7.3.1
A.13.2.4
A.6.2.2
A.16.1.2
A.16.1.3
A.11.1.1
A.11.1.2
A.11.1.6
A.11.1.3
A.11.1.4
A.11.1.5
A.11.2.9
A.11.2.1
A.11.2.6
A.8.3.1
A.8.3.2
A.8.3.3
A.11.2.5
A.11.2.2
A.11.2.3© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC27001:2022

技
術
的
管
理
策

7.13
7.14

装置の保守
装置のセキュリティを保った処分又は再利用

8.1

利用者エンドポイント機器

8.2
8.3
8.4
8.5
8.6
8.7

特権的アクセス権
情報へのアクセス制限
ソースコードへのアクセス
セキュリティを保った認証
容量・能力の管理
マルウェアに対する保護

8.8

技術的ぜい弱性の管理

*8.9
*8.10
*8.11
*8.12
8.13
8.14

構成管理
情報の削除
データマスキング
データ漏えいの防止
情報のバックアップ
情報処理施設の冗長性

8.15

ログ取得

*8.16
8.17
8.18

監視活動
クロックの同期
特権的なユーティリティプログラムの使用

8.19

運用システムに関わるソフトウェアの導入

8.20
8.21
8.22
*8.23

ネットワークのセキュリティ
ネットワークサービスのセキュリティ
ネットワークの分離
ウェブ・フィルタリング

8.24

暗号の利用

8.25

セキュリティに配慮した開発のライフサイクル

8.26

アプリケーションのセキュリティの要求事項

ISO/IEC27001:2013
A.11.2.4
A.11.2.7装置の保守装置のセキュリティを保った処分又は再利用

A.6.2.1
A.11.2.8
A.9.2.3
A.9.4.1
A.9.4.5
A.9.4.2
A.12.1.3
A.12.2.1
A.12.6.1
A.18.2.3

モバイル機器の方針
無人状態にある利用者装置
特権的アクセス権の管理
情報へのアクセス制限
プログラムソースコードへのアクセス制御
セキュリティに配慮したログオン手順
容量・能力の管理
マルウェアに対する管理策
技術的ぜい弱性の管理
技術的順守のレビュー
情報のバックアップ
情報処理施設の可用性
イベントログ取得
ログ情報の保護実務管理者及び運用担当者の作業ログ
クロックの同期
特権的なユーティリティプログラムの使用
運用システムに関わるソフトウェアの導入
ソフトウェアのインストールの制限
ネットワーク管理策
ネットワークサービスのセキュリティ
ネットワークの分離
暗号による管理策の利用方針
鍵管理
セキュリティに配慮した開発のための方針
公衆ネットワーク上のアプリケーションサービ
スのセキュリティの考慮
アプリケーションサービスのトランザクションの保護

A.12.3.1
A.17.2.1
A.12.4.1
A.12.4.2
A.12.4.3
A.12.4.4
A.9.4.4
A.12.5.1
A.12.6.2
A.13.1.1
A.13.1.2
A.13.1.3
A.10.1.1
A.10.1.2
A.14.2.1
A.14.1.2
A.14.1.3

8.27
*8.28

セキュリティに配慮したシステムアーキテクチ
ャ及びシステム構築の原則
セキュリティに配慮したコーディング

8.29

開発及び受入れにおけるセキュリティテスト

8.30

外部委託による開発

8.31

開発環境、試験環境及び運用環境の分離

8.32

変更管理

8.33
8.34

テスト用情報監査試験中の情報システムの保護

A.14.2.5
A.14.2.8
A.14.2.9
A.14.2.7
A.12.1.4
A.14.2.6
A.12.1.2
A.14.2.2
A.14.2.3
A.14.2.4
A.14.3.1
A.12.7.1

セキュリティに配慮したシステム構築の原則
システムセキュリティの試験
システムの受入れ試験
外部委託による開発
開発環境，試験環境及び運用環境の分離
セキュリティに配慮した開発環境
変更管理
システムの変更管理手順
オペレーティングプラットフォーム変更後のア
プリケーションの技術的レビュー
パッケージソフトウェアの変更に対する制限
試験データの保護
情報システムの監査に対する管理策© アームスタンダード株式会社 All Rights Reserved.

7

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

Step2 差分の理解移行に際して、現行のマネジメントシステムと新規格との差分の洗い出しが必要となります。
ここでは文書類の改訂等、実作業が必要となるものについて掲載いたします。
①

要求事項の追加・変更

6.2 情報セキュリティ目的及び それを達成するための計画策定 d)
変更点

情報セキュリティ目的に関する要求事項を列挙する中に、「d) (情報セキュリティ目的を)監視する」が追加された。

変更の趣旨

MSS 共通テキストにおける注記の追加を反映する変更

要求事項の
追加・変更

有

6.2 情報セキュリティ目的及び それを達成するための計画策定 g)
変更点

情報セキュリティ目的に関する要求事項を列挙する中に、「g) 文書化した情報として利用可能な状態にする」 が追加された。

変更の趣旨

MSS 共通テキストにおける注記の追加を反映する変更

要求事項の
追加・変更

有

ISO/IEC27001:2013 でも、この直後の文で情報セキュリティ目的に関する文書化した情報を保持することが求められている。要求事項の追加は、「利用可能な状態にする」ことである。

6.3 変更の計画策定
変更点

新規に項目が追加された。

変更の趣旨

MSS 共通テキストの改定を反映して、ISMS の変更を行う場合に、 計画的に行うべきことが追加さ
れた。

要求事項の
追加・変更

有

8.1 運用の計画策定及び管理 第 1 段落

変更点

第 1 文の変更：
・「箇条 6 で決定した活動を実施するために」 ← 「箇条 6.1 で決定した活動を実施するために」前版の第 2 文（「6.2 で決定した情報セキュリティ目的・・」）の削除
・計画策定及び管理の方法を追加：「－プロセスに関する基準の設定」、「－その基準に従った、プロセスの管理の実施」

変更の趣旨

箇条 6（計画）を受けて、箇条 8 でその実施を求めることが、6.1.2 と 8.2、6.1.3 と 8.3 の対応も含めて、包括的に表現された。

要求事項の
追加・変更

MSS 共通テキストで一般的な表現を採っている部分。
前版との対応も、一般的な要求事項として同等と見られる。
この 2 項目は実施方法を定めている点で要求事項を追加しているとも見られる。
また、8.2 及び 8.3 は、MSS 共通テキストに沿って 8.1 に追加された 2 項目を ISO/IEC 27001
において具体化しているという側面もある。

8

有© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

8.1 運用の計画策定及び管理 第 4 段落
変更点

・ 管理対象について：「外部から提供されるプロセス、製品又はサービ ス」←「外部委託したプロ
セス」
・ 管理する範囲が ISMS に関連するものであることを明示した。

変更の趣旨

MSS 共通テキストの変更が反映された。本来、外部から提供される製品及びサービスも管理すべきであるため。

要求事項の追加・変更

有

外部から提供される製品及びサービスの管理が要求事項として追加された。 ISO/IEC
27002:2013、同 2022 における供給者関係についての管理策（ISO/IEC 27002:2022, 5.20 他）
で製品及びサービスの調達を扱っていることと整合する ISO/IEC 27001 の変更。

9.3 マネジメントレビュー

変更点

9.3 の内容を維持しつつ、三つの細分箇条「9.3.1 一般」、「9.3.2 マネジメントレビューへのインプット」及び「9.3.3 マネジメントレビューの結果」に分けて構成が明確にされた。
マネジメントレビューのインプット（9.3.2）に、利害関係者のニーズ及び期待の変化が追加され
た。

変更の趣旨

MSS 共通テキストの変更が反映された。

要求事項の
追加・変更

有

②

マネジメントレビューのインプットに、利害関係者のニーズ及び期待の変化が追加された。

附属書 A 情報セキュリティ管理策の新規管理策

5.7 脅威インテリジェンス
管理策

情報セキュリティの脅威に関連する情報を収集及び分析し、脅威インテリジェンスを構築しなければならない。

目的

適切なリスク低減処置を講じることができるように、組織の脅威環境についての認識をもつため。

管理策の主旨組織に脅威インテリジェンスの構築を求める。

説明•脅威インテリジェンスとは、①情報セキュリティの脅威についての情報を集め、②集めた情報を整理し、③使える状態に置くことである。このための組織、人、知識・能力、プロセスを持つことが前提となる。
•ISO/IEC 27001 において、脅威を含むリスク源の特定は、情報セキュリティリスクアセスメントにおける情報セキュリティリスク特定の前提となる。この管理策では、脅威情報を集め、使える状態にして維持するまでの活動が加えられた。これによって、状況の変化及び情報セキュリティインシ
デントの発生に備える。
•脅威インテリジェンスには、ぜい弱性情報の収集や攻撃手法の分析などの、高い専門性を必要とする分野もある。
「5.6 専門組織との連絡」によって専門組織から情報を得ることは、脅威インテリジ
ェンスの手段にもなる。
【情報例】
ゼロデイ攻撃、マルウェア、フィッシング、中間者攻撃、サービス拒否（DoS）攻撃など© アームスタンダード株式会社 All Rights Reserved.

9ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

5.23 クラウドサービスの利用のための情報セキュリティ
管理策

クラウドサービスの取得、利用、管理及び終了のプロセスを、組織の情報セキュリティ要求事項に従って確立しなければならない。

目的

クラウドサービスの利用における情報セキュリティを規定及び管理するため。

管理策の主旨組織がクラウドサービスの調達、利用、管理及び終了の プロセスを持つことが求められている。

説明•この管理策では、組織が利用するクラウドサービスを組織内のそれぞれの部門や場面で検討したり採用したりする前提として、クラウドサービスの調達、利用、管理及び終了についての一般的なプ
ロセスや規則を持つことが求められている。
例：・クラウドサービスを利用してよい条件の規定（組織の機能、クラウドサービスの種類 等）ク
ラウドサービスの利用を承認する権限の所在
・クラウドサービスの利用に関するトピック固有の方針を持つことも、この管理策の要求を実施す
る一部になりうる。
【クラウドサービスの例】SaaS、PaaS、IaaS 等

5.30 事業継続のための ICT の備え
管理策

事業継続の目的及び ICT 継続の要求事項に基づいて ICT の備えを計画、実施、維持及び試験しなければならない。

目的

事業の中断・阻害時に組織の情報及びその他の関連資産の可用性を確実にするため。

管理策の主旨組織における事業継続計画(BCP)の一環として、 ICT (属性は可用性のみ)の継続性、すなわち可用性の維持が求められている。

説明

関係する管理策に、「 5.29 事業の中断・阻害時の情報セキュリティ」がある。
【手順の概要】 ※参考① 事業を支える業務を洗い出す ⇒中心業務は何か、その概要、主管部署など② 業務が中断することによる影響を特定する ⇒定量的(金額的影響)と定性的(非金銭的影響)③ 業務復旧優先度を決定する ⇒先に手を付ける業務と後回しにする業務を選別④ 目標復旧時間:RTO と目標復旧レベル:RLO の設定 ⇒優先業務について RTO と RLO を決定する⑤ 各業務に必要な資源を特定する ⇒人→どのような力量を持った要員を何名等

7.4 物理的セキュリティの監視
管理策

施設は、認可されていない物理的アクセスについて継続的に監視しなければならない。

目的

認可されていない物理的アクセスを検知し、抑止するため。

管理策の主旨敷地、建屋、部屋などへの物理的アクセスを監視することが求められている。

説明

・監視手段の例： 警備員の配置、物理的侵入検知（監視カメラ、赤外線センサー等）、物理的破壊
検知【関係する管理策】
・物理的セキュリティ境界：7.1 物理的セキュリティ境界
7.2 物理的入退
7.3 オフィス、部屋及び施設のセキュリティ
・不正な物理的アクセスの監視：7.4 物理的セキュリティの監視

10© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

8.9 構成管理
管理策

ハードウェア、ソフトウェア、サービス及びネットワークのセキュリティ構成を含む構成を確立
し、文書化し、実装し、監視及びレビューしなければならない。

目的

ハードウェア、ソフトウェア、サービス及びネットワークが、必要とされるセキュリティ設定で正しく機能し、認可されていない変更又は誤った変更によって構成が変えられないことを確実にするため。

管理策の主旨ハードウェア、ソフトウェア、サービス及びネットワークについて構成管理の実施が求められている。
実施例：新規導入時の設定／初期設定の更新・無効化／運用中の継続的な維持／管理責任者の設置／継続的監視説明【関係する管理策】 8.8 技術的ぜい弱性の管理
情報システムの構成要素（主にソフトウェア）のぜい弱性情報を継続的に取得し、ぜい弱性を解消する。

8.10 情報の削除
管理策

情報システム、装置又はその他の記憶媒体に保存している情報は、必要でなくなった場合は削除しなければならない。

目的取扱いに慎重を要する情報の不必要な漏えいを防止し、情報の削除に関する法令、規制及び契約上の要求事項を順守するため。

管理策の主旨

記憶媒体上にある情報は、必要がなくなったときに削除することが求められている。

説明

情報漏えい対策として。特に個人情報の扱い等について法令遵守も意識した管理策である。
•適切な削除方法を選ぶ。
データ削除ソフトウェアの使用／媒体の物理的破壊（破砕、穿孔等）／消磁／復号鍵の消去 等•証拠として削除の記録を採る。
•外部のサービスを使う場合、削除したことの証拠を取得する。

8.11 データマスキング
管理策

データマスキングは、適用される法律を考慮して、アクセス制御に関する組織のトピック固有の個別方針及びその他の関連するトピック固有の個別方針、並びに業務要求事項に従って使用しなければならない。

目的

PII（personally identifiable information）を含む、取扱いに慎重を要するデータの開示を制限し、法令、規制及び契約上の要求事項を順守するため。

管理策の主旨

組織の方針、事業上の要求事項及び法令を考慮して、人・役割に応じて、データ項目を選んで隠すことが求められている。

説明・データマスキングの方法例
・データを伏せる。例えば、一定の文字、数値等に置き換える。
・データを復元不可能な方法で置き換える。例えば、ハッシュ値に置き換える。
・データを暗号化する。特定の人に復号鍵を持たせる。
・データレコード単位のアクセス制御を適用する。例えば、データベースソフトウェアの機能の使用にて。
・組織内においても、人・役割に応じてアクセスを認めるデータの範囲を設定するためにデータマ
スキングを使用する。
・端末画面に表示するデータ項目を、人・役割に応じて決め、制御する。

© アームスタンダード株式会社 All Rights Reserved.

11

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

8.12 データ漏えいの防止
管理策

データ漏えい防止対策を、取扱いに慎重を要する情報を処理、保存又は送信するシステム、ネット
ワーク及びその他の装置に適用しなければならない。

目的

個人又はシステムによる情報の認可されていない開示及び抽出を検出し防止するため。

管理策の主旨情報システム、ネットワーク及びその他の機器におけるデータ漏えいの防止が求められている。

説明•対象とするデータと場面を特定する。
例：メール、ファイル転送、モバイル機器、可搬記憶媒体等。
•データの移動を監視し、漏えいを阻止する。
•データの漏えいに繋がる行為（例：装置への可搬記憶媒体の接続）を検知し、阻止する。
【関係する管理策の例】8.12 は、以下の管理策を補う。
7.14 装置のセキュリティを保った処分又は再利用
8.1 利用者のエンドポイント機器
8.20 ネットワークのセキュリティ
8.27 セキュリティに配慮したアーキテクチャ及びシステム構築の原則

8.16 監視活動
管理策

情報セキュリティインシデントの可能性がある事象を評価するために、ネットワーク、システム及びアプリケーションについて異常な行動・動作がないか監視し、適切な処置を講じなければならない。

目的

異常な行動・動作及び潜在する情報セキュリティインシデントを検出するため。

管理策の主旨ネットワーク、システム及びアプリケーションの挙動を監視し、情報セキュリティインシデントであるか否かを評価することが求められている。

説明•広範な監視対象候補の中で、事業上の要求、情報セキュリティの要求及び法令を考慮して監視対象を選ぶ。
候補：ネットワークトラフィック、情報・機器・アプリケーションへのアクセス、
イベントログ、リソース使用状況 等•挙動が異常であるか否かを判定する基準を持つ。
•検知した異常をあらかじめ定めた役割を持つ人に通知する。
※ISO/IEC 27002:2013 の「12.4 ログ取得及び監視」は、標題に監視を含むが、内容はログ取得の範囲であった。

8.23 ウェブ・フィルタリング
管理策

悪意のあるコンテンツにさらされることを減らすために、外部ウェブサイトヘのアクセスを管理しなければならない。

目的システムがマルウェアによって危険にさらされることを防ぎ、認可されていないウェプ資源へのア
クセスを防止するため。

管理策の主旨不正なウェブサイトによるシステムへの悪影響を防ぎ、認可されていない資源へのアクセスを防止するために、外部ウェブサイトへのアクセスを管理することが求められている。

説明• アクセスを禁止するウェブサイトの例☞既知の悪性ウェブサイト
☞禁止リスト／許可リスト☞シグネチャによる判定

12•アクセスをさせない仕組みの例☞禁止リスト／許可リスト☞コマンド コントロールサーバ☞違法コンテンツを提供するウェブサイト

© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

8.28 セキュリティに配慮したコーディング
管理策

セキュリティに配慮したコーディングの原則をソフトウェア開発に適用しなければならない。

目的

ソフトウェアがセキュリティに配慮して書かれ、それによってソフトウェアの潜在的な情報セキュ
リティのぜい弱性の数を減らすことを確実にするため。

管理策の主旨ソフトウェアのぜい弱性を排除するために、ソフトウェア開発においてセキュリティに配慮したコーディング（セキュアコーディング）の原則を適用することが求められている。

説明•組織としての管理：プロセスの確立／外部から調達するソフトウェア構成要素への適用等•計画時の考慮：採用するコーディング原則の決定／既知のぜい弱な手法についての知
識／ソフトウェア開発ツールの利用／開発者の資格／セキュリティに配慮した設計及びアーキテク
チャの採用等•コーディング中の考慮：セキュリティに配慮したコーディング手法の採用／禁止するプログラミン
グ手法の明示等Step3 文書類の改訂
Step2 で要求事項及び管理策の新しい要素について理解したら、差分について、まず 2022 年版の基準に対する現在の準拠状況の把握を行い、管理策の見直しと対応の方向性についてまとめます。
以下は進め方の一例（参考）となります。
①

ISO/IEC27001:2022 の各管理策に対し、現在の準拠状況と対応の方針について情報を整理します。

例：2022 年版管理策

現在の取組み状況

追加・変更すべき活動

対応方法

5.7 脅威インテリジェンス
情報セキュリティの脅威に関連する情報を収集及び分析
し、脅威インテリジェンスを構築しなければならない。

同業他社で発生した情報セキュリティの脅威に関連する情報を収集し、蓄積している。

蓄積した情報を整理し、分析・評価・考察を加えたものに変換する構造を用意する。

情報セキュリティチームより担当者を選出し、脆弱性及び発生頻度の観点から分析・評価・考察を行うプロセスを業務マニュ
アルに追加する。

②

以上のように情報の整理が済んだら、次に附属書 A に示す管理策と比較し、必要な管理策が見落とされていないか、また新規管理策に漏れなく対応しているかをレビューします。

③

このレビューに対して、規格の要求事項と照らし合わせ、適用宣言書を改訂します。

④

改訂が全て完了したら、最後に改訂した MS マニュアル全体をレビューします。改訂の際は適切性と妥当性に着目して当該文書を全てレビューする必要があります。
■ 適切性：文書が規格及び規定のような他の信頼できる情報源に合致している、文書内及び関連する文書と整合している。
■ 妥当性：文書に記載されている内容が必要充分である。

© アームスタンダード株式会社 All Rights Reserved.

13

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

Step4 スケジュール
移行全体の大まかなスケジュールを策定します。
移行はおよそ 1 年から 1 年半程度の期間が必要となるので、完了時期から遡って計画しましょう。
ここではスケジュール策定の前提と目安について紹介します。
前提：
・規格発行後、3 年後である 2025 年 10 月 31 日までに移行完了する。
・移行審査の時期を定期審査の時期に合わせるのか、再認証審査の時期に合わせるのかを検討する。
・認証機関との調整が必要なので、移行計画の提案ができた段階で調整を行う。
期間の目安

ステップ

概要

内容

Step1

新規格の理解・新しい要求事項と管理策を確認する。
・変更された要求事項と管理策を確認する。
・規格の意図を理解する。

Step2

差分を洗い出す・現在のマネジメントシステムと新規格との差分を洗い出す。
・マネジメントシステムを見直す。

Step3

文書類の改訂・2022 年版の規格の基準に対する現行の準拠状況を把握する。
・管理策の見直しと対応の方向性について決定し、マニュアルや手順書等の文書類を改訂する。

Step4

スケジュール・移行審査の時期を決め、逆算でいつ頃何をすべきかを決める。

Step5

関係者へ周知・社内の ISO 担当者に改訂内容を通達する。
・新規格について必要な教育を行う。

Step6

運用開始

・改訂後の文書に沿って運用を開始する。

～12 ヶ月前

Step7

内部監査

・全ての要求事項を網羅しているか内部監査を行う。

～5 ヶ月前Step8

マネジメントレビュー

・適切性、妥当性、有効性の観点からトップマネジメントによるマネ
ジメントシステムの検証を行う。

当月

Step9

移行審査

・現地での審査を行う。

～16 ヶ月前～15 ヶ月前～14 ヶ月前

詳細は弊社の規格改正ページ(https://www.armstandard.com/iso27001-revision/)をご覧ください。

Step5 関係者へ周知
2022 年版の規格について実務担当者まで周知します。
新規格の理解が深められるよう、以下のセミナーを開催しております。
名称

14

概要

セミナー

e ラーニ
ング

-

●

改訂内容を学習したい方●

ISO を初めて学ぶ新入社員
新任の ISO 担当者等●

規格の概要を理解したい ISO 担当者
等●

新たな内部監査員候補の方

ISO/IEC27001:2022
規格改訂解説動画

2022 年版への改訂の概要をまとめた e ラーニングです。

入門セミナー

ISO の基礎を解説するセミナー
です。

(Web)

規格ポイント解説
セミナー

規格要求事項のポイントを解説するセミナーです。

(Web)

内部監査員養成セミナー

内部監査員に必要な知識と技能を実践的な講義と演習で習得していただけるセミナーです。

●
●

●
(集合)

受講対象

© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

Step6 運用開始
改訂したマニュアル、手順書に沿って運用、開始、測定を行います。

Step7 内部監査
全ての要求事項及び管理策を網羅し、特に新しい要求事項と管理策については十分にチェックします。

Step8 マネジメントレビュー
マネジメントシステムの適切性、妥当性、有効性を検証します。

© アームスタンダード株式会社 All Rights Reserved.

15

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

3. 付表 【2013 年版を基準とした管理策の対比表】
ISO/IEC27001:2013 管理策が、どの管理策に対応しているかを一覧したい場合にご参照ください。
ISO/IEC27001:2013

16

A.5
A.5.1
A.5.1.1
A.5.1.2
A.6
A.6.1
A.6.1.1
A.6.1.2
A.6.1.3
A.6.1.4

情報セキュリティのための方針群
情報セキュリティのための経営陣の方向性
情報セキュリティのための方針群
情報セキュリティのための方針群のレビュー
情報セキュリティのための組織
内部組織
情報セキュリティの役割及び責任
職務の分離
関係当局との連絡専門組織との連絡A.6.1.5

プロジェクトマネジメントにおける情報セキュリティ

A.6.2
A.6.2.1
A.6.2.2
A.7
A.7.1
A.7.1.1
A.7.1.2
A.7.2
A.7.2.1
A.7.2.2
A.7.2.3
A.7.3
A.7.3.1
A.8
A.8.1
A.8.1.1
A.8.1.2
A.8.1.3
A.8.1.4
A.8.2
A.8.2.1
A.8.2.2
A.8.2.3
A.8.3
A.8.3.1
A.8.3.2
A.8.3.3
A.9
A.9.1
A.9.1.1
A.9.1.2
A.9.2
A.9.2.1
A.9.2.2
A.9.2.3
A.9.2.4
A.9.2.5
A.9.2.6
A.9.3
A.9.3.1
A.9.4
A.9.4.1
A.9.4.2
A.9.4.3
A.9.4.4

モバイル機器及びテレワーキングモバイル機器の方針
テレワーキング
人的資源のセキュリティ
雇用前
選考
雇用条件
雇用期間中
経営陣の責任
情報セキュリティの意識向上,教育及び訓練
懲戒手続き
雇用の修了及び変更
雇用の修終了又は変更に関する責任
資産の管理
資産に対する責任
資産目録
資産の管理責任
資産利用の許容範囲
資産の返却
情報分類
情報の分類
情報のラベル付け
資産の取扱い媒体の取扱い取外し可能な媒体の管理
媒体の処分
物理的媒体の輸送
アクセス制御アクセス制御に対する業務上の要求事項
アクセス制御方針
ネットワーク及びネットワークサービスへのアクセス
利用者アクセスの管理
利用者登録及び登録削除
利用者アクセスの提供（provisioning）
特権的アクセス権の管理
利用者の秘密認証情報の管理
利用者アクセス権のレビュー
アクセス権の削除又は修正
利用者の責任
秘密認証情報の利用
システム及びアプリケーションのアクセス制御
情報へのアクセス制限
セキュリティに配慮したログオン手順
パスワード管理システム
特権的なユーティリティプログラムの使用

ISO/IEC27001:2022
5.1

情報セキュリティのための方針群

5.2
5.3
5.5
5.6

情報セキュリティの役割及び責任
職務の分離
関係当局との連絡専門組織との連絡
プロジェクトマネジメントにおける情報セキュ
リティ

5.8
8.1
6.7

利用者エンドポイント機器
リモートワーク

6.1
6.2

選考
雇用条件

5.4
6.3
6.4

経営陣の責任
情報セキュリティの意識向上、教育及び訓練
懲戒手続

6.5

雇用の終了又は変更後の責任

5.9
5.9
5.10
5.11

情報及びその他の関連資産の目録
情報及びその他の関連資産の目録
情報及びその他の関連資産の許容される利用
資産の返却

5.12
5.13
5.10

情報の分類
情報のラベル付け
情報及びその他の関連資産の許容される利用

7.10
7.10
7.10

記憶媒体
記憶媒体
記憶媒体

5.15
5.15

アクセス制御アクセス制御

5.16
5.18
8.2
5.17
5.18
5.18

識別情報の管理アクセス権
特権的アクセス権
認証情報
アクセス権
アクセス権

5.17

認証情報

8.3
8.5
5.17
8.18

情報へのアクセス制限
セキュリティを保った認証
認証情報
アクセス権

© アームスタンダード株式会社 All Rights Reserved.

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC27001:2013
A.9.4.5
A.10
A.10.1
A.10.1.1
A.10.1.2
A.11
A.11.1
A.11.1.1
A.11.1.2
A.11.1.3
A.11.1.4
A.11.1.5
A.11.1.6
A.11.2
A.11.2.1
A.11.2.2
A.11.2.3
A.11.2.4
A.11.2.5
A.11.2.6
A.11.2.7
A.11.2.8
A.11.2.9
A.12
A.12.1
A.12.1.1
A.12.1.2
A.12.1.3
A.12.1.4
A.12.2
A.12.2.1
A.12.3A.12.3.1
A.12.4A.12.4.1
A.12.4.2
A.12.4.3
A.12.4.4
A.12.5A.12.5.1
A.12.6A.12.6.1
A.12.6.2
A.12.7A.12.7.1
A.13
A.13.1
A.13.1.1
A.13.1.2
A.13.1.3
A.13.2
A.13.2.1
A.13.2.2
A.13.2.3
A.13.2.4
A.14
A.14.1
A.14.1.1
A.14.1.2
A.14.1.3
A.14.2

プログラムソースコードへのアクセス制御
暗号
暗号による管理策
暗号による管理策の利用方針
かぎ管理
物理的及び環境的セキュリティ
セキュリティに配慮したログオン手順を保つべき境界
物理的セキュリティ境界
物理的入隊管理策
オフィス、部屋及び施設のセキュリティ
外部及び環境の脅威からの保護
セキュリティを保つべき領域での作業
受渡場所
装置
装置の設置及び保護
サポートユーティリティ
ケーブル配線のセキュリティ
装置の保守
資産の移動
構外にある装置及び資産のセキュリティ
装置のセキュリティを保った処分又は再利用
無人状態にある利用者装置
クリアデスク・クリアスクリーン方針
運用のセキュリティ
運用の手順及び責任
操作手順書
変更管理
容量・能力の管理
開発環境,試験環境及び運用環境の分離
マルウェアからの保護
マルウェアに対する管理策
バックアップ
情報のバックアップ
ログ取得及び監視
イベントログ取得
ログ情報の保護実務管理者及び運用担当者の作業ログ
クロックの同期
運用ソフトウェアの管理
運用システムに関わるソフトウェアの導入
技術的ぜい弱性管理
技術的ぜい弱性の管理
ソフトウェアのインストールの制限
情報システムの監査に対する考慮事項
情報システムの監査に対する管理策
通信のセキュリティ
ネットワークセキュリティ管理施設
ネットワーク管理策
ネットワークサービスのセキュリティ
ネットワークの分離
情報の転送
情報転送の方針及び手順
情報転送に関する合意
電子的メッセージ通信
機密保持契約又は守秘義務契約システムの取得,開発及び保守
情報システムのセキュリティ要求事項
情報セキュリティ要求事項の分析及び仕様化
公衆ネットワーク上のアプリケーションサービスのセキュ
リティの考慮
アプリケーションサービスのトランザクションの保護
開発及びサポートプロセスにおけるセキュリティ

ISO/IEC27001:2022
8.4

ソースコードへのアクセス

8.24
8.24

暗号の利用
暗号の利用

7.1
7.2
7.3
7.5
7.6
7.2

物理的セキュリティ境界
物理的入退
オフィス、部屋及び施設のセキュリティ
物理的セキュリティの監視
物理的セキュリティの監視
物理的入退

7.8
7.11
7.12
7.13
7.10
7.9
7.14
8.1
7.7

装置の設置及び保護
サポートユーティリティ
ケーブル配線のセキュリティ
装置の保守
記憶媒体
構外にある資産のセキュリティ
装置のセキュリティを保った処分又は再利用
利用者エンドポイント機器
クリアデスク・クリアスクリーン

5.37
8.32
8.6
8.31

操作手順書
操作手順書
操作手順書
開発環境、試験環境及び運用環境の分離

8.7

マルウェアに対する保護

8.13

情報のバックアップ

8.15
8.15
8.15
8.17

ログ取得

8.19

運用システムに関わるソフトウェアの導入

8.8
8.19

技術的ぜい弱性の管理
運用システムに関わるソフトウェアの導入

8.34

監査試験中の情報システムの保護

8.20
8.21
8.22

ネットワークのセキュリティ
ネットワークサービスのセキュリティ
ネットワークの分離

5.14
5.14
5.14
6.6

情報転送
情報転送
情報転送
秘密保持契約又は守秘義務契約

5.8

秘密保持契約又は守秘義務契約

8.26

アプリケーションのセキュリティの要求事項

8.26

アプリケーションのセキュリティの要求事項

ログ取得
クロックの同期© アームスタンダード株式会社 All Rights Reserved.

17

ISO/IEC27001:2022 への移行の手引き（アームスタンダード株式会社）

ISO/IEC27001:2013
A.14.2.1
A.14.2.2

8.25
8.32

セキュリティに配慮した開発のライフサイクル
変更管理

8.32

変更管理

A.14.2.4

8.32

A.14.2.5

セキュリティに配慮したシステム構築の原則

8.27

A.14.2.6
A.14.2.7
A.14.2.8
A.14.2.9
A.14.3A.14.3.1
A.15
A.15.1
A.15.1.1

セキュリティに配慮した開発環境
外部委託による開発
システムセキュリティの試験
システムの受入れ試験
試験データ
試験データの保護
供給者関係
供給者関係における情報セキュリティ
供給者関係のための情報セキュリティの方針

8.31
8.30
8.29
8.29

変更管理
セキュリティに配慮したシステムアーキテクチ
ャ及びシステム構築の原則
開発環境、試験環境及び運用環境の分離
外部委託による開発
開発及び受入れにおけるセキュリティテスト
開発及び受入れにおけるセキュリティテスト

8.33

テスト用情報

5.19

A.15.1.2

供給者との合意におけるセキュリティの取扱い

5.20

A.15.1.3

ICT サプライチェーン

5.21

供給者関係における情報セキュリティ
供給者との合意における情報セキュリティの取扱い
情報通信技術(ICT)サプライチェーンにおける情報セキュリティの管理

A.15.2

供給者のサービス提供の管理

A.15.2.1

供給者のサービス提供の監視及びレビュー

5.22

A.15.2.2

供給者のサービス提供の変更に対する管理

5.22

A.16
A.16.1

情報セキュリティインシデント管理
情報セキュリティインシデントの管理及びその改善

A.16.1.1

責任及び手順5.24

A.16.1.2
A.16.1.3
A.16.1.4
A.16.1.5
A.16.1.6
A.16.1.7
A.17
A.17.1
A.17.1.1
A.17.1.2
A.17.1.3
A.17.2
A.17.2.1
A.18
A.18.1
A.18.1.1
A.18.1.2
A.18.1.3
A.18.1.4
A.18.1.5
A.18.2
A.18.2.1

情報セキュリティ事象の報告
情報セキュリティ弱点の報告
情報セキュリティ事象の評価及び決定
情報セキュリティインシデントへの対応
情報セキュリティインシデントからの学習証拠の収集
事業継続マネジメントにおける情報セキュリティの側面
情報セキュリティ継続
情報セキュリティ継続の計画
情報セキュリティ継続の実施
情報セキュリティ継続の検証,レビュー及び評価
冗長性
情報処理施設の可用性
遵守
法的及び契約上の要求事項の順守
適用法令及び契約上の要求事項の特定
知的財産権
記録の保護
プライバシー及び個人を特定できる情報（PⅡ）の保護
暗号化機能に対する規制
情報セキュリティのレビュー
情報セキュリティの独立したレビュー

6.8
6.8
5.25
5.26
5.27
5.28

情報セキュリティインシデント管理の計画策定
及び準備
情報セキュリティ事象の報告
情報セキュリティ事象の報告
情報セキュリティ事象の評価及び決定
情報セキュリティインシデントへの対応
情報セキュリティインシデントからの学習
証拠の収集

5.29
5.29
5.29

事業の中断・阻害時の情報セキュリティ
事業の中断・阻害時の情報セキュリティ
事業の中断・阻害時の情報セキュリティ

8.14

情報処理施設の冗長性

5.31
5.32
5.33
5.34
5.31

法令、規制及び契約上の要求事項
知的財産権
記録の保護
プライバシー及び PII の保護
法令、規制及び契約上の要求事項

5.35

A.18.2.2

情報セキュリティのための方針群及び標準の順守

5.36

A.18.2.3

技術的順守のレビュー

5.36
/8.8

情報セキュリティの独立したレビュー
情報セキュリティのための方針群、規則及び標準の順守
情報セキュリティのための方針群、規則及び標準の順守/技術的ぜい弱性の管理

A.14.2.3

18

ISO/IEC27001:2022

セキュリティに配慮した開発のための方針
システムの変更管理手順
オペレーティングプラットフォーム変更後のアプリケーシ
ョンの技術的レビュー
パッケージソフトウェアの変更に対する制限

供給者のサービス提供の監視、レビュー及び変更管理
供給者のサービス提供の監視、レビュー及び変更管理© アームスタンダード株式会社 All Rights Reserved.

発行元： アームスタンダード株式会社〒103-0012 東京都中央区日本橋堀留町1-10-15
JL日本橋ビル1F
TEL:

URL

03-3666-8788 / (営業部) 03-3666-8814

https://www.armstandard.com/