情報セキュリティマネジメントシステム

ＩＳＭＳクラウドセキュリティ認証機関認定基準及び指針
JIP-ISAC101-2.0

2024 年 6 月 14 日
一般社団法人情報マネジメントシステム認定センター(ISMS-AC)〒106-0032 東京都港区六本木一丁目９番９号
六本木ファーストビル内

Tel.03-5860-7570
Fax.03-5573-0564
URL https://isms.jp/
ISMS-AC の許可なく転載することを禁じますJIP-ISAC101-2.0

改版数

制定／改訂日1.0

2020.8.26

版

履

歴

改定箇所、改訂理由
JIP-ISAC100-3.1a の附属書 E 及び F を抜き出して ISMS クラウドセキュリティ認証を行う認証機
関向けの認定基準及び指針として別冊とした。

2.0

2024.6.14

ISO/IEC 27006-1:2024 発行に伴う、対応箇条の修
正1

備考JIP-ISAC101-2.0

まえがき
この基準及び指針は、ISMSクラウドセキュリティ認証の認証業務を行っている第三者機関（以下、認証機関という）が、その業務遂行に関して適格であり信頼できると承認されるために遵守すべき一般要求事項及び指針を定めている。
この基準及び指針は、以下の本文で特段の定めのない限り、JIP-ISAC100「ISMS 認証機関認定基準及び指針」をそのまま適用する。
１．要員の力量
ISO/IEC 27006-1の箇条7.1の事項に加えて，以下のクラウドセキュリティの知識をもたなければならない。
a)クラウド基盤・要素技術（仮想化など）
b)JIS Q 27017:2016（ISO/IEC 27017:2015）及び「ISO/IEC 27017:2015に基づくISMSクラウドセキュリティ認証に関する要求事項」（JIP-ISMS517-1.0）c)関連する法令及び規制要求事項
d)クラウド固有の情報セキュリティリスク
２．ISMS クラウドセキュリティ認証審査チームの選定条件
ISO/IEC 27006-1の箇条7.2.2の事項に加えて，クラウドセキュリティの知識及び技能に関する継続的専門的能力開発（CPD）により実証しなければならない。
３．認証文書
3.1

認証文書

認証文書に関する要求事項は，JIS Q 17021-1の箇条8.2.2によるほか，次による。
3.1.1 適用範囲
JIS Q 17021-1 8.2.2 f)「該当する場合，各事業所における活動の種類，製品及びサービスの種類に関する認証の範囲。誤解を招いたり不明瞭にならないように明示する。」
について、ISMSクラウドセキュリティ認証の認証文書では、JIS Q 17021-1 8.2.2 f)について、認証文書の適用範囲の記述のなかでクラウドサービスが特定でき、誤解を招かない表現で明確に記載しなければならない。
注記1：クラウドサービス名の記載が無いことにより、例えば、組織の提供する複数のサービスのうちの一部しか適用範囲に含まれていなくても、全てのサービスで認証を取得しているかのように誤解されることを防ぐために、ISMSクラウドセキュリ
ティ認証においては、クラウドサービス名を明確に記載する。
注記2：ISMSクラウドセキュリティ認証は組織に対するマネジメントシステム認証であり、製品又はサービスそのものに対する認証ではない。

2

JIP-ISAC101-2.0

3.1.2 クラウドサービスプロバイダ、クラウドサービスカスタマ
ISMSクラウドセキュリティ認証は、クラウドサービスプロバイダとクラウドサービスカ
スタマとの2つの立場での認証があるため、どちらの立場で認証を取得したのか、あるいは両方の立場で認証を取得したのかをJIS Q 17021-1

8.2.2の認証文書のなかで記載しなければならない。
3.1.3 認証に用いた規格及び／又はその他の規準文書によって要求されるその他の情報
ISMSクラウドセキュリティ認証における適用規格は、JIS Q 27001とJIP-ISMS517である
ため、JIS Q 17021-1

8.2.2の認証文書の中で、JIP-ISMS517-1.0に適合している旨を記載しなければならない。また、同認証文書の中で、当該ISMSクラウドセキュリティ認証の基となるJIS Q 27001認証が識別できることを確実にしなければならない。
3.1.4 ISMS クラウドセキュリティ認証の有効期限
ISMSクラウドセキュリティ認証の有効期限は、基となるJIS Q 27001認証の有効期限を越えてはならない。
JIS Q 27017（ISO/IEC 27017）を認証文書に記載する場合には、JIS Q 27017（ISO/IEC27017）はガイドラインである旨を明確に記述しなければならない。
記載例（クラウドサービスプロバイダとクラウドサービスカスタマとの両方の立場での認証の場合の例）
JIS Q 27017:2016（ISO/IEC 27017:2015）のガイドラインに沿ったクラウドサービ
スプロバイダ及びクラウドサービスカスタマとして、JIP-ISMS517-1.0に適合していることを証する。
４．審査工数
審査工数に関する要求事項は，ISO/IEC 27006-1の箇条9.1.4.2によるほか，ISMSクラウドセキュリティ認証の追加の審査工数を算出しなければならない。
注記1：ISMSクラウドセキュリティ認証の追加の審査工数は、ISMSクラウドセキュリティ認証の適用範囲を対象としたJIS Q 27001の審査工数を基礎とする。
注記2：審査工数の計算式を導き出すための付加的指針を附属書A（参考）に示す。
５．認証の一時停止，取消し又は範囲の縮小
ISMSクラウドセキュリティ認証の基となるJIS Q 27001認証が一時停止，取消し又は範囲の縮小となった場合は、当該ISMSクラウドセキュリティ認証も一時停止，取消し又は範囲の縮小としなければならない。

3

JIP-ISAC101-2.0

附属書 A（参考）ISMS クラウドセキュリティ認証の審査工数の計算方法
A.1

一般

ISMSクラウドセキュリティ認証の追加の審査工数は、ISMSクラウドセキュリティ認証に関する要求事項（JIP-ISMS517）、ISMSクラウドセキュリティ認証の立場（クラウドサービスプロバイダ、クラウドサービスカスタマ、両方）、クラウドサービス種別、システム構成、サービス利用者数等を加味して算出する。
この附属書は、JIS Q 27001の審査工数に追加するISMSクラウドセキュリティ認証の審査工数の計算式を導き出すための付加的指針を提供する。JIS Q 27001のサーベイランス審査もしくは再認証審査と併せて拡張する場合における審査工数の計算の基礎として使用できる要因の分類の例を表A.1に示す。

ISMSクラウドセキュリティ認証を拡張する場合の追加の審査工数（表A.1参照）は、JIS Q 27001の初回審査の審査工数を基準としている。
また、ISMSクラウドセキュリティ認証審査のみを単独で追加実施する場合は、表A.1に加えて、1審査人・日程度を追加することが望まれる。

ISMSクラウドセキュリティ認証の拡張後においては、ISMSクラウドセキュリティ認証の適用範囲を対象としたJIS Q 27001のサーベイランス工数もしくは再認証審査工数に表A.1の審査工数を追加する。

表A.1‐審査工数の計算のための要因の分類の例示（JIS Q 27001のサーベイランス審査もしくは再認証審査と併せて実施する場合の例）
ISMSクラウドセキュリティ認証のISO/IEC 27017の管理策

クラウドサービス種別等

立場による増加要因の増加要因

クラウドサービスプロバイダ

40%+α40%+α

クラウドサービスカスタマ

40%+α40%+α

クラウドサービスプロバイダ及び70%+α70%+α

追加の審査工数*

クラウドサービスカスタマ*ここでいう「追加の審査工数」とは、JIS Q 27001の審査工数に追加するISMSクラウドセキュリティ認証の審査工数のことである。

なお、ISMSクラウドセキュリティ認証審査をJIS Q 27001のサーベイランス審査時、もしくは再認証審査時に併せて拡張する場合の審査方法は、ISMSクラウドセキュリティ認証がJIS Q 27001認証の拡張の認証であるため、初回審査相当（第1段階・第2段階）の審査を行う必要はない。

4