ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）【講演レポート】ISO/IEC 27001移⾏セミナー

ISO/IEC 27001：2022移⾏に係わる審査のポイント
⽇本マネジメントシステム認証機関協議会（JACB）
普及担当幹事情報技術委員会

鈴⽊浩⼆

森⽵由美⼦

委員⻑

中村良和

⽇本マネジメントシステム認証機関協議会（JACB）とは、国際認定機関フォーラム（IAF）に加盟する認定機関によって認定され⽇本国内で事業活動を⾏うマネジメントシステム認証機関が集まった協議会です。今回のISO/IEC 27001：2022移⾏について、JACBとして認証組織の皆様が円滑に移⾏できるようサポートしていきたいと考えています。ここでは、審査側（認証機関）の観点をご紹介し、管理策の解釈に関しては各認証機関（審査機関）や研修機関等で今後セミナー等を実施する予定ですので、そちらをご活⽤ください。

ISO/IEC27001：2022改正のポイント
今回の改正ポイントは、⼤きく分けて以下の2点となります。
① ISO/IEC 27002：2022が先に改訂されており、それに伴い、管理策には新たな技術を取り込んでいく必要があるため、附属書Aが変更された。
② 規格固有の内容以外の部分については、ISOとして「調和させる構造（Harmonized Structure）」形式に合わせることが求められたため、当初は本⽂変更の必要はないと判断された本⽂にも変更が加わり、章⽴て等が変わった。

規格本⽂の改正概要〜Harmonized Structureへの対応〜
本⽂に関しては、⼤きな内容変更はなく、規格改正に伴う参照先⽂書名や⽂⾔変更、範囲の明確化等が⾏われています。
また、移⾏審査に⼤きく関わる点として、6.3に新規要求事項（組織がISMSの変更の必要性を決定したとき、その変更は、計画的な⽅法で⾏われなければならない）が追加されました。今回は規格が変更されているため、ここは審査で必ず確認される部分となります。

情報セキュリティ管理策の改正概要〜ISO/IEC 27002:2022との整合〜
改正のポイントは以下のとおりです。
① 管理策のカテゴリ⾒直し
Ａ.5〜A.18→

5〜8のように、附属書Ａの管理策項番に「Ａ.」をつけない表現となっています。

1

ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）②

管理策の数が114→93に。ただし、削除された管理策はなく統廃合されており、新しい管理策も11追加されています。
情報セキュリティ管理策の新旧対応
情報セキュリティ管理策の新旧対応に関しては、ISO/IEC 27002:2022附属書Ｂに参考情報があります
が、それぞれの対応度合いに違いがある（ほぼ同じ内容であるもの、ほぼ同じ内容だが注意が必要なもの、単純対応ではないものに分かれる）ため、留意が必要です。
統廃合に関しては、ライフサイクルに合わせたり、特定の事象だけに限定せず管理策を⼀般化することによって統廃合されたりしたものがあります。また、⼀⾒、ほぼ同じ内容に⾒えても、細かな表現の変化により、対象範囲や想定リスクが変化している等、注意が必要なものが散⾒されるので、新旧の違いをしっかりと確認することが必要です。
審査にあたっては、ギャップ変化を遠隔で確認できるのであれば遠隔審査は可能ですが、その判断は認証機関が⾏うことになります。今回の2022年版では、物理的管理策の追加変更もあるため、それらが遠隔審査で確認できない場合には、現地で確認する必要があります。また、これまではコロナ禍での特別措置がありましたが、国際ルールとしてサーベイランス審査、再認証審査において100％のリモート審査は不可となっています。
細かいものも含めるとかなり変更点があるので、すべてが審査対象になるということではなく、それぞれの認証機関によっても、確認ポイント、審査⼯数が異なってくる点をご理解ください。

改正規格への移⾏の進め⽅
認証の移⾏
2022年度版への移⾏は2025年10⽉31⽇までとなっていますが、その段階で認証機関が証書を発⾏し終わっていることが条件となります。この条件を満たすためには、その1か⽉前までに審査が終了している必要があります。「JISが発⾏されてから」と審査を後ろ倒しにした場合、認証機関の審査キャパシティの問題で希望の時期に審査を受審できない可能性もあるので、できるだけ早めに審査を受けていただくようお願いします。
⼀⽅、2022年版発⾏⽉の最終⽇から18カ⽉（2024年4⽉30⽇）を超える初回認証及び再認証審査は2022年版によるもののみとなるので、旧版で審査を受ける場合は2024年4⽉30⽇までに審査が開始していることが必須となります。こちらも同様に、2024年4⽉30⽇直近に審査のお申し出をいただいても、4⽉中に審査を開始できるとは限らないので、定期審査を待たず早め早めに対応していただくことをお勧めします。
移⾏のための審査移⾏のための審査は、定期審査（サーベイランス審査、再認証審査）と併せて実施することも、単独で実施することも可能なので、必ずしも定期審査を待たずに余裕をもって単独審査を受ける、または早めのサーベイランス審査を受けることもご検討ください。
移⾏審査のための追加⼯数は、IAFで最⼩⼯数のみが定められています。再認証審査と同時実施の場
合は+0.5⼈⽇、サーベイランス審査と同時または単独審査の場合は+1.0⼈⽇が最低⼯数となっています2ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）。どの認証機関もこれ以下にはならず、追加⼯数は審査を受ける組織の管理策の適⽤範囲や変化の度合い等によって変わってきます。
移⾏の進め⽅
実際に移⾏を進めていく上では、以下を⾏うことが必要になります。
① ギャップ分析と対応⽅針の決定
本⽂の違いを認識し、追加された管理策や要求事項を把握してギャップを分析し、管理策の変更点に対応する。審査では実⾏されているところまでを確認するので、「●●までに実施」といった計画だけでは審査を受けることはできません。
② 管理策の変更対応
管理策の変更をきちんと⾏っていただくことが⼀番⼤きな対応になると思います。⽂書の変化で済むものもあると思いますが、実⾏されていること、その実⾏⾯をきちんと監視（内部監査）することが重要になります。まずは、ギャップ分析を⾏った上で、新しい管理策をどのように実装していくかを検討してください。
③ ISMS関連⽂書の⾒直しその後、マニュアル等関連⽂書の⾒直しを⾏います。特に、改正された規格の附属書Ａに従って適⽤宣⾔書を⾒直すことが重要になります。
④ 変更されたISMSの運⽤及び評価
最後に、変更されたISMSに従って運⽤を開始し、PDCAを回すことになります。移⾏タイミングによっては臨時の内部監査やマネジメントレビューの実施が必要となりますが、今回のポイントは規格の移⾏なので、その視点から、どこ/誰に対して内部監査を⾏えばよいかを考え実⾏することになります。実⾏後は、結果をマネジメントレビューにインプットして、経営陣によるレビューを受けてください。

移⾏審査では、認証機関はこうした変更点を確認するということをご理解いただいた上で、移⾏準備を進めてください。

本内容は、2023年7⽉に開催された「ISO/IEC 27001:2022への移⾏に関するセミナー」での説明内容を取りまとめたものです。

3