情報技術－セキュリティ技術－
情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項
JIS Q 27006：2018（ISO/IEC 27006：2015）（JIPDEC/JSA）

平 成 30 年 3 月 20 日

改正

日本工業標準調査会 審議（日本規格協会 発行）

著作権法により無断での複製，転載等は禁止されております。

Q 27006：2018 (ISO/IEC 27006：2015)

日本工業標準調査会標準第二部会 情報技術専門委員会 構成表
氏名（委員会長）伊 藤所属
智国立研究開発法人新エネルギー・産業技術総合開発機
構（委員）

青 木 裕佳子

公益社団法人日本消費生活アドバイザー・コンサルタ
ント・相談員協会

小 高 久 義総務省行政管理局

岩 田 秀 行日本電信電話株式会社

榎 本 義 彦日本アイ・ビー・エム株式会社

山 田 美佐子

一般財団法人日本消費者協会

小 野 文 孝東京大学

橋 本

日本銀行金融研究所

崇神 保 光 子

日本電気株式会社

菅 野 育 子

愛知淑徳大学鈴 木 正 敏一般社団法人ビジネス機械・情報システム産業協会

足 立 朋 子株式会社東芝西 山茂

新潟国際情報大学

中 溝 和 孝総務省国際戦略局

三 宅株式会社日立製作所

滋

福 田 泰 和一般財団法人日本規格協会_____________________________________________________
主 務 大 臣：経済産業大臣

制定：平成 20.9.20

改正：平成 30.3.20

官 報 公 示：平成 30.3.20
原 案 作 成 者：一般財団法人日本情報経済社会推進協会（〒106-0032 東京都港区六本木 1-9-9 六本木ファーストビル内

TEL 03-5860-7551）

一般財団法人日本規格協会（〒108-0073 東京都港区三田 3-13-12 三田 MT ビル

TEL 03-4231-8530）

審 議 部 会：日本工業標準調査会 標準第二部会（部会長 大崎 博之）
審議専門委員会：情報技術専門委員会（委員会長 伊藤 智）
この規格についての意見又は質問は，上記原案作成者又は経済産業省産業技術環境局 国際電気標準課（〒100-8901
東京都千代田区霞が関 1-3-1）にご連絡ください。
なお，日本工業規格は，工業標準化法第 15 条の規定によって，少なくとも 5 年を経過する日までに日本工業標準調査会の審議に付され，速やかに，確認，改正又は廃止されます。

著作権法により無断での複製，転載等は禁止されております。

Q 27006：2018 (ISO/IEC 27006：2015)

目 次ページ

序文 ··································································································································· 11

適用範囲························································································································· 12

引用規格························································································································· 23

用語及び定義 ··················································································································· 24

原則······························································································································· 25

一般要求事項 ··················································································································· 25.1 法的及び契約上の事項 ···································································································· 25.2 公平性のマネジメント ···································································································· 25.3 債務及び財務 ················································································································ 36

組織運営機構に関する要求事項 ··························································································· 37資源に関する要求事項 ······································································································· 3

7.1 要員の力量 ··················································································································· 3
7.2 認証活動に関与する要員 ································································································· 67.3 個々の外部審査員及び外部技術専門家の起用 ······································································· 77.4 要員の記録 ··················································································································· 7
7.5 外部委託 ······················································································································ 78情報に関する要求事項 ······································································································· 78.1 情報の公開 ··················································································································· 78.2 認証文書 ······················································································································ 88.3 認証の引用及びマークの使用···························································································· 88.4 機密保持 ······················································································································ 88.5 認証機関と依頼者との間の情報交換··················································································· 89プロセス要求事項 ············································································································· 89.1 認証活動に先立つ事項 ···································································································· 89.2 審査の計画作成 ············································································································ 119.3 初回認証 ····················································································································· 129.4 審査の実施 ·················································································································· 13
9.5 認証の決定 ·················································································································· 149.6 認証の維持 ·················································································································· 149.7 異議申立て ·················································································································· 159.8 苦情 ··························································································································· 159.9 依頼者に関する記録 ······································································································ 1510

認証機関に関するマネジメントシステム要求事項 ································································ 1510.1

マネジメントシステムに関する選択肢 ············································································· 15

10.2

選択肢 A：マネジメントシステムに対する一般要求事項 ····················································· 16（1）
著作権法により無断での複製，転載等は禁止されております。

Q 27006：2018 (ISO/IEC 27006：2015) 目次
ページ

10.3

選択肢 B：JIS Q 9001 に従ったマネジメントシステムの要求事項 ·········································· 16

附属書 A（参考）ISMS の審査及び認証に関する知識及び技能······················································ 17
附属書 B（規定）審査工数 ···································································································· 19
附属書 C（参考）審査工数の計算方法 ····················································································· 24
附属書 D（参考）導入された JIS Q 27001:2014 附属書 A の管理策のレビューに関する手引 ················ 28
解 説 ······························································································································· 36（2）
著作権法により無断での複製，転載等は禁止されております。

Q 27006：2018 (ISO/IEC 27006：2015)

まえがき
この規格は，工業標準化法第 14 条によって準用する第 12 条第 1 項の規定に基づき，一般財団法人日本情報経済社会推進協会（JIPDEC）及び一般財団法人日本規格協会（JSA）から，工業標準原案を具して日本工業規格を改正すべきとの申出があり，日本工業標準調査会の審議を経て，経済産業大臣が改正した日本工業規格である。
これによって，JIS Q 27006:2012 は改正され，この規格に置き換えられた。
この規格は，著作権法で保護対象となっている著作物である。
この規格の一部が，特許権，出願公開後の特許出願又は実用新案権に抵触する可能性があることに注意を喚起する。経済産業大臣及び日本工業標準調査会は，このような特許権，出願公開後の特許出願及び実用新案権に関わる確認について，責任はもたない。

（3）
著作権法により無断での複製，転載等は禁止されております。

Q 27006：2018 (ISO/IEC 27006：2015) 目次

白紙（4）
著作権法により無断での複製，転載等は禁止されております。

日本工業規格JISQ 27006：2018(ISO/IEC 27006：2015)

情報技術－セキュリティ技術－
情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項
Information technology-Security techniquesRequirements for bodies providing audit and certification of information
security management systems
序文
この規格は，2015 年に第 3 版として発行された ISO/IEC 27006 を基に，技術的内容及び構成を変更することなく作成した日本工業規格である。
なお，この規格で点線の下線を施してある参考事項は，対応国際規格にはない事項である。
マネジメントシステムを審査及び認証する機関に対する基準を規定する規格として，JIS Q 17021-1:2015がある。
このような審査及び認証する機関を，JIS Q 27001:2014 に沿って情報セキュリティマネジメントシステ
ム（以下，ISMS という。
）の審査及び認証を実施する目的で，JIS Q 17021-1:2015 に適合しているとして認定するためには，JIS Q 17021-1:2015 に対して追加の要求事項及び手引が必要である。この規格は，このような追加の要求事項及び手引を提供する。
この規格は，JIS Q 17021-1:2015 の構成に沿っている。また，JIS Q 17021-1:2015 を ISMS 認証に適用するための ISMS 固有の追加の要求事項及び手引は，“IS”という表記によって識別されている。
この規格において，“～なければならない”という表現は，JIS Q 17021-1:2015 及び JIS Q 27001:2014 の要求事項を反映する必須要件の規定を示すために用いられている。
“～ことが望ましい”という表現は，推奨事項を示すために用いられている。
この規格の主な目的は，認定機関が認証機関を評価しようとする場合に用いる規格の適用を，より有効に整合できるようにすることである。
この規格において，“マネジメントシステム”及び“システム”という用語は，区別なく用いられている。
マネジメントシステムの定義は，JIS Q 9000:2005 に規定されている。この規格で用いられているマネジメントシステムを，他の種類のシステム，例えば，IT システムと混同しないほうがよい。
1

適用範囲
この規格は，JIS Q 17021-1:2015 及び JIS Q 27001:2014 に規定する要求事項に加えて，ISMS の審査及び認証を行う機関に対する要求事項を規定し，かつ，手引を提供する。この規格は，ISMS 認証を行う認証機関の認定を支援することを主として意図している。
この規格に含まれる要求事項は，ISMS 認証を行う機関によって，力量及び信頼性の観点から実証され著作権法により無断での複製，転載等は禁止されております。