ISO27001（ISMS）規格改訂における変更点と他の規格との関係～ICT担当者のためのＩＳＯ規格比較～
2014年5月15日
ICTチーム田中弘明 ・ 深谷純子
事業継続准主任管理者
情報セキュリティ監査人補
オフィスセキュリティコーディネータ
内部監査士（QIA)1本日のお話
１．ISO27001とは２．規格改訂における変更点について
３．ICT担当者にとってのISO活用方法

2

はじめにICTサービスを利用するまたは提供するうえで、情報セキュリティの維持が欠かすことのできない重要なテーマであると認識しています。

2013年10月に改訂された情報セキュリティに関する国際規格「ISMS＝ISO27001:2013」を題材に規格改訂のポイントと管理策の一つ「事業継続管理」に関する要求事項の変遷と「BCMS＝ISO 22301:2012」との関係について解説します。

3

１．ISO27001とは１．ISO27001とは情報セキュリティマネジメントシステム（ISMS）の国際規格
情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項 （2005年発行、2013年改訂）
重要な情報資産のセキュリティ（機密性・完全性・可用性）が脅かされることで組織が著しい損害を被らないようにするため、適切な対応の仕方・考え方についてそのルールを示したものです。
4

１．ISO27001とは関連する規格（DR/BC関係のみ）– ISO/IEC 27031:2011• 情報技術（セキュリティ関連）事業継続のためのICT対策ガイドラ
イン– ISO/IEC 2476:2008• 情報技術（セキュリティ関連）ICT災害復旧サービスのためのガイ
ドライン– ISO/IEC 1804:2006• 情報技術（セキュリティ関連）侵入検知システムの選択、展開と運用– ISO/IEC TR 18044:2004• 情報技術（セキュリティ関連）情報セキュリティ障害管理5

２．ISO27001変更点

２．規格改訂における変更点について
2013年10月1日にISO/IEC27001:2013発行
改訂ポイントISO22301：2012
共通事項①マネジメントシステム規格での共通要求事項の適用②リスクマネジメント規格（ISO 31000）への対応③BCMS 規格（ISO 23001）への対応

6

２．ISO27001変更点

共通要求事項を適用する背景
ISO22301：2012
共通事項• ISO9001やISO14001のように、複数のマネジメントシステムを導入する組織の増加。
• これにより、マネジメントシステム間の整合性向上（共通化）を図り、組織の負担を軽減する。

7

２．ISO27001変更点①マネジメントシステム規格での共通要求事項の適用

改訂の特徴

ISO22301：2012
共通事項

マネジメントシステム規格（※MSS）の整合を図るため、MSSの上位構造（HLS：High Level Structure）および共通テキスト（Idential Core Text）、共通用語、定義が開発され、それらに基づいて改訂されている。
従って、2005年版の要求事項のほぼ半分以上がMSS共通テキストの中に包含された構成となっている。
※ＭＳＳ(Management System Standard)

8

２．ISO27001変更点①MS規格共通要求事項の適用
ＩＳＯ規格を策定するための指針
2013年 第4版
附属書ＳＬ Appendix 2 を参照
日本規格協会のホームページよりダウンロード可

章立てや書
き方を統一

9

２．ISO27001変更点①MS規格共通要求事項の適用

MSSの上位構造（HLS：High Level Structure）
以下のHLSの“XXX”に分野固有のテキスト（品質、環境、情報セキュリティ等）に書き換えられたかたちで、開発・改正作業が進められているより
10

２．ISO27001変更点①MS規格共通要求事項の適用
規格固有の部分(赤字）は“上位構造、共通の中核となるテ
キスト 並びに 共通用語 及び中核となる定義の整合に影響せず、それらの意図と矛盾せず、かつ、それらの意図を弱めない”範囲でのテキストの追加、箇条の追加、ビュレット項目（箇条書き項目）の追加が認められている。

マネジメントシステム規格 共通化のイメージ

27001/2013の場合は70：30の割合

固有30％

共通化
70％
11

２．ISO27001変更点①MS規格共通要求事項の適用

共通化の例： マネジメントシステム規格の指針
それぞれの規格名に置き換える

ISMS
BCMS
・・・・

出典：附属書ＳＬ Appendix212

２．ISO27001変更点①MS規格共通要求事項の適用

章立をMS規格に合わせた為、分かり易くなった
２００５年度版

２０１３年度版

0 序文

0 序文

1 適用範囲1 適用範囲2 引用規格2 引用規格3 用語及び定義3 用語及び定義

4 情報セキュリティマネジメント

4 組織の状況

4.1

一般要求事項5 リーダーシップ

4.2

ISMSの確立及び運営管理

6 計画

4.3

文書化に関する要求事項

7 支援

5 経営者の責任

8 運用

6 ISMS内部監査

9 パフォーマンス評価

7 ISMSのマネジメントレビュー
8 ISMSの改善

10 改善

附属書A

附属書A

13

２．ISO27001変更点② リスクマネジメント規格（ISO 31000）への対応
赤字は固有部分

対応

対応「ISO31000 Risk management ― Principles and guidelines」(リスクマネジメント ― 原則及び指針)をもとに、ISO31000と親和性のある情報セキュリティリスクマネジメントに関する記述が、ISMS固有テキストとして追加されている。（箇条6.1.2, 8.2）
※用語の定義はISO/IEC（DIS) 27000 を引用
14

２．ISO27001変更点②リスクマネジメント規格（ISO31000） の対応「ISO31000 Risk management ― Principles and guidelines」
ISO27001 2005年度版の定義は「事象の発生確率とその結果の組み合わせ」2013年度版でのリスクの定義は「目的に対する不確かさの影響」
機密性
完全性
可用性

ISO22301：2012
共通事項
リスクマネジメントに関してはISO31000を使う

新定義に基づく想定リスクの見直し「情報セキュリティ目的」に対する不確かさを与えるものは何かに関してリスク源に基づいてアセスメント（リスクの特定、分析、評価）をすることになる。
※ポジティブリスクや想定外も含まれる。

15

２．ISO27001変更点②リスクマネジメント規格（ISO31000） の対応

ISO/IEC（DIS) 27000 で定義された用語を引用（ISO27001：2013から用語の定義がなくなる）
2005 年版では、16 の用語の定義が記載されていたが、27001/2013版では、個別の用語の定義はない。
ISO/IEC DIS 27000:2013
情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－

概要及び用語ISO/IEC 27000 には、ISO/IEC 27000
シリーズ規格全体に関連する 81 の用語の定義が記載されている。（Guide７３から21の用語を引用。）
例2.71 リスクアセスメント

ISO22301：2012
共通事項
用語は個別の定義せず
ISO27000を使う

リスク特定・リスク分析・リスク評価のプロセス全体

2.73 リスク基準
リスクの重大性を評価するための目安とする条件
組織の目的、内部及び外部の状況に基づいたもの

2.78 リスク所有者
リスクを運用管理することについて、アカウンタビリ
ティ及び権限を持つ人、または主体

16

２．ISO27001変更点③BCMSへの対応③ BCMS規格（ISO 22301）への対応

ISO27001:2013～情報セキュリティリスク対策～• カテゴリは増えているが、管理目的と管理策は減少している。
• 事業継続は情報セキュリティのみを意識
2005年版

2013年版

カテゴリ

11

14

管理目的

39

35

管理策

133

114
17

２．ISO27001変更点③BCMSへの対応

情報セキュリティリスク対策
カテゴリー

管理目的数

管理策数

2005との違い

１

情報セキュリティのための方針群

1

2

２

情報セキュリティのための組織

2

7

３

人的資源のセキュリティ

3

6

４

資産の管理

3

10

内容変更

５

アクセス制御414

削除された管理策あり

６暗号

1

2

追加カテゴリ７

物理的及び環境的セキュリティ

2

15

８

運用のセキュリティ

7

14

削除された管理策あり

９

通信のセキュリティ

2

7

運用とカテゴリ分離

１０

システムの取得、開発及び保守

313

削除された管理策あり

１１

供給者関係

2

5

追加カテゴリ

１２

情報セキュリティインシデントの管理

1

7

内容変更

１３

事業継続管理における情報セキュリティの側面

2

4

内容変更

１４

順守

2

8

削除された管理策あり

35

114

削除された管理策あり

18

２．ISO27001変更点③BCMSへの対応

参考： 2005年度版から削除された管理策
管理No. 管理策

管理No. 管理策

A.6.1.1

情報セキュリティに対する経営陣の責任

A.11.4.4

遠隔診断用及び環境設定用ポートの保護

A.6.2.1

外部組織に関係したリスクの識別A.11.4.6

ネットワークの接続制御

A.6.2.2

顧客対応におけるセキュリティ

A.11.4.7

A.10.2.1

第三者が提供するサービス

A.11.5.2

ネットワークのルーティング制御
利用者の識別及び認証

A.10.4.2

A.11.5.5

セッションのタイムアウト

A.10.7.4

モバイルコードに対する管理策
システム文書のセキュリティ

A.11.5.6

接続時間の制限

A.10.8.5

業務用情報システム

A.12.2.1

入力データの妥当性

A.10.9.3

公開情報

A.12.2.2

内部処理の管理

A.10.10.2

システム使用状況の監視

A.12.2.3

メッセージの完全性

A.10.10.5

障害のログ取得

A.12.2.4

出力データの妥当性確認

A.11.4.2

外部から接続する利用者の認証

A.15.1.5

情報処理施設の不正使用防止A.11.4.3

ネットワークにおける装置の識別A.15.3.2

情報システムの監査ツールの保護

ICTの変化に伴い陳腐化した内容については、書換え、または削除されています。

19

２．ISO27001変更点③BCMSへの対応

BCに関する記載変更
BCに関してはBCMSを意識して、セキュリティに関する側面のみに変更。

統合・再編2013
追加2013
削除

出典：ISO27002：2013より20

２．ISO27001変更点③BCMSへの対応

1. BCP/DRP発動時の情報セキュリティ要件を定める。
セキュリティ例外を認めることも可。
2. BCPがない場合は平常時同じ情報セキュリティ要件とする。
緊急時もセキュリティ例外なしが原則。
3. BCP策定時のBIAに情報セキュリティの観点を盛り込む。
セキュリティ要件を変えた場合/変えない場合のインパクト
ISO/IEC27002:2013

情報セキュリティ管理策の実践のための規範より引用
21

２．ISO27001変更点③BCMSへの対応

1. 権限・経験・スキルのある要員をアサインする
2. インシデント対応要員を任命（情報セキュリティ事故担当）
3. BCMプロセスや支援システムやツールの情報セキュリ
ティ管理策の確立（被災時のＳＮＳの使い方や在宅勤務でのセキュリティ確保等）
4. BCMに情報セキュリティの専門家を関与
5. 許容可能な情報セキュリティレベルを維持する管理策
ISO/IEC27002:2013

情報セキュリティ管理策の実践のための規範より引用
22

２．ISO27001変更点③BCMSへの対応

1. 発災時に実行する情報セキュリティに関するプロセス、手順、管理策をテストする。（臨時対応、権限委譲など）
2. パフォーマンス・レベルが十分か（本番を変更した時、バックアップにも反映されているか等）

3. BCMのプロセスやソリューションが変更された場合、セキュリティレベルが妥当かレビューする
4. 通常のセキュリティ検証とは別に、BCP訓練と一緒に行うことが望ましい
ISO/IEC27002:2013

情報セキュリティ管理策の実践のための規範より引用
23

２．ISO27001変更点③BCMSへの対応

これまでは集中管理を推進し、分散化や冗長化は好ましくないと言われていたが、BCの観点で『冗長性』が追加された。

1. 冗長な構成要素、アーキテクチャを考慮する
2. 切替が意図したとおりに動作することを確認（テスト）する
ISO/IEC27002:2013

情報セキュリティ管理策の実践のための規範より引用

冗長性（じょうちょうせい）
システムを構成する要素・部品に予備や回避手段を付加することで、その一部に故障などがあっても全体としては停止することなく所定の要求機能を果たし続ける性質のこと。
・並列冗長・・同等機能を有する構成要素を複数用意して少なくとも1つの構成要素が正常に稼働していれば系統全体が稼動する。
・縮退冗長・・同種の構成要素を複数用意してその一部に故障が発生しても系統全体では機能を低下しながらも運転を続けられる。
・待機冗長・・通常は使用しない予備要素を用意して障害発生時に切り替えを行う。
24

２．ISO27001変更点 ③BCMSへの対応

まとめ： ISO27001附属書A 「事業継続管理」
ISO27001:2005は、事業プロセスの保護と再開に重点が置かれ、これを支えるものとして、情報システムの継続的運用と回復がテーマになっていました。

改訂版の「A.17.1 情報セキュリティ継続」では、 情報セキュリティ及び情報セキュリティマネジメントの継続と回復に主題が置かれ再構築され、情報セキュリティリスクに対する管理策としてわかりやすくなっている。

「A.17.2 冗長性」 「A.17.2.1 情報処理施設の可用性」 新規追加
改訂版では新たに、情報処理施設の可用性確保についての管理策が追加されている。
情報処理施設の可用性確保は事業継続管理の一部でもあるため、ISO22301、ISO27031(例えば代替施設のセキュリティ）等との関係性がわかりやすくなった。

25

２．ISO27001変更点③BCMSへの対応

事業継続管理の適用対象の違い
ISO27001における事業継続管理の対象はあくまでも情報システムが中心(27001:2013では情報システムが中心であることがより鮮明になった)●ISO22301
適用対象は、組織の定義する”事業”
企業が取扱う製品やサービスを顧客に提供するために行う一連の業務、及び、これにひもづく重要な経営資源（人、施設、供給、情報、技術）が対象範囲となる。
従って多くの場合、広範囲な分析および対策を検討していく必要がある。
機密性・完全性・可用性●ISO27001:2013
適用対象は、情報システムのセキュリティ
組織は、困難な状況（例えば、危機または災害）における、情報セキュリティ及び情報セキュリティマネジメントの継続のための要求事項を決定しなければならない。
曖昧にISO22301と重複していた部分が統合、変更、再編され、新たに冗長性が加わり、情報セキュリティの事業継続管理としての主旨が鮮明になった。

26

参考： ISO/IEC27001:2013への移行スケジュール
JIPDECの情報マネジメント推進センターによると、「既にISMS認証を取得されている組織は仕組みを大幅に変更することはないが、計画段階における経営的な観点での見直しが必要になる」とのこと。

2015/10/1までに認証書が発行されていること

27

３．ISO活用法

３．ICT担当者にとってのISO活用方法• チェックリスト、参考書として使用– ISO27002:2013 114の管理策 等• 目的により規格を使い分ける– 平常時の対策 ISO27001,ISO27002– BC/DR対策 ISO22031,ISO27031• 用語の確認に使用する– ISO27000：情報セキュリティ用語(89語)– ISO22300：社会セキュリティ用語(76語)– Guide73：リスクマネジメント用語(50語)28参考：定義例• ぜい弱性（vulnerability） ISO27000– 一つ以上の脅威によって付け込まれる可能性のある，資産又は管理策の弱点。

• ぜい（脆）弱性（vulnerability） Guide73– 物事の本来的特性で，ある結果をもたらす事象につながることがあるリスク源に対する敏感さとなるもの。

• ぜい（脆）弱性（vulnerability） ISO22300– 物事の本来的特性で，ある結果をもたらす事象につながることがあるリスク源に対する敏感さとなるもの。
– 注記 この場合の“敏感さ”とは，“影響を受けやすい感応度”のことである。
29

ご清聴ありがとうございました
ご質問をどうぞ30