無断使用をお断りします。日科技連出版社

JIS Q 27001：2023対応【第2版】
羽田卓郎 [編著] 魚脇雅晴［著］

日科技連

無断使用をお断りします。日科技連出版社

本書は、ISO 19011、ISO/IEC 27000、ISO/IEC 27001、ISO/IEC 27002、ISO31000、ISO Guide 73という表記で規格条文を掲載していますが、それぞれJIS Q19011、JIS Q 27000、JIS Q 27001、JIS Q 27002、JIS Q 31000、JIS Q 0073からの引用です。それぞれの規格の引用は、本書の解説に必要な最小限としています。これらのJIS規格を引用するに当たり、（一財）日本規格協会の標準化推進事業に協賛しています。なお、これらは必要に応じてJIS規格票を参照してください。

無断使用をお断りします。日科技連出版社

まえがき

本書は、ISO/IEC 27001：2022（JIS Q 27001：2023）に基づく、情報セキュリティマネジメントシステム（Information Security Management System：以下、ISMS と記述）を導入した組織が行う内部監査について、内部監査の国際標準1）に準拠した監査の実務を具体的事例を含めて解説するものである。
世の中には、本書で解説する内部監査以外にも、さまざまなタイプの監査があり実践されている。情報セキュリティ関連では、経済産業省が主導するシステム監査や情報セキュリティ監査、及び公認情報システム監査人2）（CISA）が行う監査など、主に情報セキュリティのリスク対策面の監査制度があるが、情報セキュリティの運用面にかかわるマネジメントシステムを含めた監査は、ISMS の内部監査で行われる。
ISMS の内部監査は、マネジメントシステムで要求される「構築し、実施し、維持し、継続的に改善するための活動」において、ISMS の有効性を高め組織のビジネスに寄与するための重要な機能である。しかし、ISO/IEC 27001：2022（JIS Q 27001：2023）の要求事項には、「内部監査をしなければならない」と書かれているが、「どのように実施すればよいか（How to）」は書かれていない。
本書では、内部監査の実務にそのまま使用できるように、内部監査プロセス（計画、実施、報告など）の一連の流れを具体的に解説し、監査手続に必要な書式もすべて組み込んでいる。さらに、内部監査の原則、体制、手法、技術に関する解説と実際の ISMS 内部監査の事例を紹介することで、これから ISMS の内部監査を学ぶ方、すでに内部監査にかかわっているが更に高いレベルの内部監査を目指したい方、内部監査を管理・監督される責任者を含め、内部監査に1 ） ISO では、ISO 9001（品質）や ISO 14001（環境）などを含め、すべてのマネジメントシステムに適用するための監査の指針である ISO 19011：2018（JIS Q 19011：2019）（マネジメントシステム監査のための指針）を策定し、内部監査や認証審査に適用している。
2 ） ISACA（The Information Systems Audit and Control Association：情報システムコントロール協会）が認定する監査人制度のことである。

iii

まえがき

無断使用をお断りします。日科技連出版社

かかわる幅広い関係者の皆様に活用されることを期待している。
監査手続では、監査品質向上のためにチェックリスト（3.2 節（1）（d）及び第 6章を参照）を用いることを前提とし、その作成のために、ISO/IEC 27001 のマネジメントシステムに関する要求事項と、リスク対策の要求事項（管理策）の解説と監査の留意点を解説する。
チェックリストは、ページ数の制限から第 6 章で例示による解説をしている
が、ISO/IEC 27001 のすべての要求事項（本文の箇条 4 〜 10 と管理策 5 〜 8）のチェック項目を提供するため、日科技連出版社のウェブサイトからダウンロードする形式とした。
ダウンロード用 Excel ファイルは、そのまま使用でき編集することが可能であるため、自組織が作成した情報セキュリティの方針、規程、標準、手順などを反映することで、組織の実態に合わせた効率的な監査が実施できる。
なお、ISO/IEC 27001 の要求事項について、詳しく学びたい方は姉妹書の『ISO/IEC 27001 情報セキュリティマネジメントシステム（ISMS）規格要求事項の徹底解説【第 2 版】
』及び『ISO/IEC 27001 情報セキュリティマネジメントシステム（ISMS）構築・運用の実践【第 2 版】
（いずれも日科技連出版社）を参』照されたい。
また、クラウドサービスを導入している場合は、『ISO/IEC 27017 クラウド
セキュリティ管理策と実践の徹底解説』（日科技連出版社）を参照されたい。
2024 年 7 月
編著者iv羽田卓郎無断使用をお断りします。日科技連出版社

目まえがき

第第第第1

1.1

ISMS における内部監査と国際標準

1.2

監査の用語及び定義（抜粋）＆解説

282 章 情報セキュリティ内部監査の考慮点 
2.1

ISMS の内部監査（全般）2.2ISMS の規格要求事項の考慮点：本文

2.3

ISMS の規格要求事項の考慮点：管理策

2526

3164

3 章 情報セキュリティ内部監査の実務 
3.1

ISMS 内部監査の実務

3.2

ISMS 内部監査プログラムと実施手順

121122133

4 章 組織の内部監査の課題を解決するための監査の体制と
4.2

手法及び技術 

よくある内部監査の問題点と解決策
内部監査をレベルアップさせる

5.2

監査事例 ISMS 内部監査の実態
ISMS 内部監査の事例紹介

158

182
213

6.1

内部監査チェックリストの作成

6.2

監査チェックリストの有効活用の勧め
229

索231

引179

180

6 章 内部監査チェックリスト 
参考文献

157

163

5 章 企業における情報セキュリティ内部監査の実態と
5.1

第iii

1 章 ISMS の内部監査とは 

4.1

第次

214
225v

無断使用をお断りします。日科技連出版社「内部監査チェックリスト」ダウンロードのご案内
本書で紹介した「内部監査チェックリスト」を日科技連出版社のウェブサイト
（https://www.juse-p.co.jp/）からダウンロードできます。トップページ上部のタブ［ダウンロード］をクリックすると、検索画面が表示されるので、書名もしくは ISBN を入力し検索します。
該当する書名をクリックすると、ダウンロードのボタンが表示されます。そのボタンをクリックすると ID とパスワードを要求されるので、下記を入力してください。ID およびパスワードはすべて半角で入力してください。
ID：
パスワード：
注意事項
1．「内部監査チェックリスト」の著作権は羽田卓郎にあります。本リストを無断で複製・配付等することを禁じます。ただし、本書の購入者が購入者の所属する組織内でのみ使用する場合はこの限りではありません。
2．著者および出版社のいずれも、本対応表をダウンロードしたことに伴い生じた損害について、責任を負うものではありません。

vi無断使用をお断りします。日科技連出版社

無断使用をお断りします。日科技連出版社

第6章

無断使用をお断りします。日科技連出版社

内部監査チェックリスト

図表 6.3

リスク対策（管理策対応）・要求事項（監査基準）
項目
番号〜

5.6
5.8

項目
（管理策）

確認事項

① 5.6 専門組織と ① 情報セキュリティに関する情報収集・情報交換などを行う相手専門組織との連絡（情報収集）体制を確の連絡立し、ISMS の維持・改善に役立てているか（5.6）
。
② 5.7 脅威インテリジェンス③ 5.8 プロジェク ② 既存の脅威や新たに発生した脅威に関する情報を収集及び分析し、脅威に対する対策を講じること
トマネジメントにで、その脅威が組織の ISMS に影響を及ぼすリスクおける情報セキュを低減するために、情報を収集し、既知のリスクにリティ変化が起きているかを分析し、変化に対応すべきかどうかを決定しているか
（5.7）
。
③

組織横断的であったり期間が決められたプロジェ
クト体制を構築する場合に、アクセス権の設定や役割分担、及びプロジェクト終了時の情報の取扱い等の情報セキュリティにかかわる取決めが行われ、実施されているか（5.8）。
情報システムの開発 / 改訂プロジェクトでは、新しい開発システム又は既存のシステムの改訂に際し、セキュリティ要求事項を分析し、設計仕様として明確にしているか（5.8）
。

〜

5.9
5.11

① 5.9 情報および ① 重要な情報資産で個別管理の必要な資産に関する目録管理（管理策の運用に必要な情報が管理されてその他の関連資産いること…例：ソフトウェアライセンス管理ではラの目録
イセンス数と使用場所 / 機器 / 人の情報など）が行なわれているか（5.9）。

② 5.10 情 報 お よびその他の関連資産の許容される利用③ 5.11 資 産 の 返
却② 資産の使用許可範囲について、物理的な許可範囲（情報資産の閲覧や持ち出しの可否など）と、論理的な許可範囲（データベースのアクセス範囲など）を明確に定めているか（5.10）。
③

雇用（又は契約）の終了又は変更に伴う資産の返却及び消去の手続が明確になっているか。その際、自宅に持ち帰っている組織の情報や、個人に貸与された PC を異動先に持参する場合の組織の情報の返却及び消去を考慮しているか（5.11）。

注） 表の続きはダウンロード用 Excel ファイルを参照（入手方法は目次参照）。

222

無断使用をお断りします。日科技連出版社
6.1

内部監査チェックリストの作成

チェックリスト（一部）
監査証拠

判定

確認内容
（コメント）※判定＝◎：グッドポイント、○：適合、×：重大な不適合、▲：軽微な不適合、△改善の機会、―：対象外◦情報セキュリティ関連情報収集先一覧◦情報セキュリティ関連情報収集体制◦脅威インテリジェンス分析体制・職務分担表◦脅威インテリジェンス分析報告書◦脅威インテリジェンスリスク対応計画◦プロジェクト運営規則◦プロジェクト体制・職務分担表◦プロジェクト管理記録（議事録など）◦システム開発設計仕様書◦資産目録（例：ソフトウェアライセンス管理台帳、PC管理台帳、サーバ管理台帳、文書管理台帳、など）◦社内システム利用規則◦その他ヒアリングで確認した監査証拠◦情報資産分類の定義書◦文書等のラベル◦外部記憶媒体管理基準（保管、持出し、処分など）◦資産へのアクセス許可定義書（利用者の範囲を明記したものであれば体裁フリーでよい）◦資産の持ち出し規則・手続（ノート PC、USB メモリなどの媒体他）◦社内システム利用規則◦外部記憶媒体管理基準（保管、持出し、処分など）

223

無断使用をお断りします。日科技連出版社

索―― の力量向上【英数字】
5．組織的管理策
6．人的管理策引

178

監査基準（audit criteria）
監査計画（audit plan）

69―― の策定89

1212129

7．物理的管理策

93

監査結論（audit conclusion）

8．技術的管理策

99

監査実施計画（例）ISMS 適用範囲の 4 要素
ISO 17021-1：2018
ISO 19011

監査実施計画書別紙〈監査項目一覧表〉

36

142

14

監査実施計画の策定

8, 122

ISO/IEC 27001 が要求する内部監査
4PREP 法

182
183

行】

アクセス権管理138ルの締結について202の順守状況の確認について
インシデント管理運用の計画策定及び管理

155

204

81

インタビューの考慮点

131

監査証拠（audit evidence）

13

監査所見（audit findings）

13, 131173

監査チェックリスト―― の作成委託先の情報セキュリティ管理ルール

――（例）

138
57

137

216

―― の種類と考え方

214―― の有効活用の勧め

225

監査チーム（audit team）

16

―― 会議
―― の結成145
135

監査手続の流れ行】

133

監査におけるインタビュー手順（例）
175
監査の基本

外部記録媒体の長期保管リスク

123

監査の国際標準（国際規格）監査の実施手順186
監査依頼者（audit client）
16

14

8

129

監査の重点項目の決定

9, 123監査員（auditor）

139

グポイント

75

改善の機会

160

―― における改善の機会とストロン

委託先との情報セキュリティ管理ルー【か140―― の種類と特徴―― に基づく事例の構成

監査（audit）

監査手法―― と技術【あ14141174

監査の重点ポイントのイメージ
174
231

索

無断使用をお断りします。日科技連出版社

引

監査の種類

実地監査

10

監査の手順とその関連
監査の歴史

135

3

143

―― の基本ステップ

重大な不適合監査範囲（audit scope）

11

監査プログラム（audit programme）
11, 128

終了会議

148

順守（法令、規制及び契約上の要求事項）関連リスク―― の作成及び管理―― レビュー

133156

監査報告における助言
監査方針

177

188

情報アクセスの管理

99

情報資産運用の管理

102

情報セキュリティのリスク対策イメー
ジ

159

140

131

64

客観的証拠

13

情報セキュリティ方針

供給者管理78

情報セキュリティマネジメントシステ

業務システム環境とオフィスエリア環境におけるデータの分離（業務システムデータの管理の徹底）について

38

ムの適用範囲の決定

35

情報セキュリティ目的及びそれを達成するための計画策定

49

情報セキュリティリスクアセスメント

200
業務遂行部門の監査

43, 58145

クラウド環境上のシステム構築リスク

情報セキュリティリスク対応

継続的改善

初回会議

62

軽微な不適合13153

コンプライアンス管理【さ人的管理
87

行】

144
131

応

196

是正・予防処置

51

資産管理推進事務局に対する監査

セキュリティホール（ぜい弱性）への対

83

資源

143

89

ストロングポイント

事業の中断・阻害時の情報セキュリテ
ィ管理

143

―― の議題（例）

コミュニケーション

72

システム開発・導入・運用の管理
113
システム開発環境と本番環境の分離と153

是正処置回答書（例）149

是正処置回答書作成

148

是正処置要求書（例）147

是正処置要求書作成

146

是正手順のイメージ154

データの隔離（本番データを試験に組織及びその状況の理解使用する場合の保護）

組織管理

事前準備

198

136

実査による確認の必要性の認識184232

46,59

190

33

69

組織の使命と情報セキュリティの関係
34
組織の状況を把握するための内容（例）無断使用をお断りします。日科技連出版社

164

索―― の機能と実行体制

組織の役割、責任及び権限【た39

チェックリストの有効活用について
210―― の体制28―― の目的

124, 128―― の目的と必要性―― プログラムチェックリストを使った事実確認のプ
ロセス

175

―― 報告

19

適正利用の管理

108

150

表〉
（例）
認識

154

214, 216

媒体と装置の管理

96

―― 評価

15

―― へのインタビューのテクニックについて

29

206

被監査組織の事前情報の入手について

128―― 規程・手順書の整備―― 計画書
（例）

128

208
被監査部門の役割と責任130―― チェックリストダウンロードのフォローアップ

129

156

附属書 A の管理策の監査vi―― における 3 つの観点

125―― における効率性の確認

171―― における適合性確認の視点

物理的領域の管理不適合（nonconformity）

168―― における有効性監査の必要性

16020―― アプローチ

27―― の管理―― における有効性の確認―― の運用体制

169

文書監査

158

―― の抱える問題点―― の課題181―― の基準125

14

プロセス（process）
文書化した情報5456

143【ま1801962―― の等級付け―― における適合性確認の視点のモ

2793―― 及び是正処置

167
デル

2159

被監査者（auditee）

60

ご案内行】

パフォーマンス（performance）

行】―― 員の力量
―― 基準

【は144

トップマネジメントインタビュー・チ【な15152194
トップインタビュー

内部監査

2―― 報告書別紙〈監査実施項目一覧

特権 ID 管理（共有利用の問題点）

ェックリスト13230―― 報告書（例）

適合（conformity）

7―― の指示と報告の流れ行】

引行】

マネジメントシステム（managementsystem）

16233

索

無断使用をお断りします。日科技連出版社

引―― ・チェックリスト

218【ら―― ・チェックリスト（本文対応）

利害関係者のニーズ及び期待の理解

215―― の監査34

26

マネジメントレビュー

61

目的に対するリスク特定のモデル

利害抵触

28

力量（competence）
リスク（risk）

44
持出し専用 PC に格納した機密情報の管理リスク

192

問題点 / 改善点を特定するプロセス
176

19, 52

18―― アプローチ

163―― 及び機会に対する活動

40

―― 対応
（risk treatment）

22

―― 対策
（管理策対応）・チェックリ【やスト行】

有効性（effectiveness）
要求事項（requirement）

234

行】

216, 219―― 対策の有効性の考え方

22
20―― マップ（例）

リーダーシップ

4537170

無断使用をお断りします。日科技連出版社■編著者紹介羽田卓郎（はねだ たくろう）（執筆担当：第 1 章〜第 4 章、第 6 章）

【略歴】
1970 年

昭和石油㈱（現 昭和シェル石油）入社

1990 年ICT 子会社出向 情報セキュリティ G マネージャー

2002 年

情報セキュリティコンサルティング会社 技術部長兼執行役員

2003 年 リコー・ヒューマン・クリエイツ㈱ リコー情報セキュリティ研究センター副所長
2012 年〜 2018 年 9 月

リコージャパン㈱ ICT 事業本部 ICT 技術本部 コンサル

ティング推進室 エグゼクティブコンサルタント
2018 年 10 月〜現在「羽田情報セキュリティ研究所」を開業し、主にリコージャパン㈱において委託コンサルタントとして活動を継続【これまでに取得した資格と活動】
ISO/IEC 27001 主任審査員、ISO 9001 審査員補、情報セキュリティアドミニスト
レータ、ISO 22301（BCMS）審査員補、AMBCI 会員（BCI 日本支部個人会員）、ITIL
ファンデーション、ISO/IEC 20000 審査員補、日本 ISMS ユーザーグループ会員、
ISO/IEC JTC1/SC27 WG1（情報処理学会 情報規格調査会 27000 シリーズ規格標準化作業グループ）リエゾンメンバー、IRCA 諮問委員、公認マインドマップインスト
ラクター【その他活動】
ISO/IEC 27001（ISMS）認証取得支援、ISMS 運用・強化支援、ISO/IEC 27001 審査員研修主任講師、ISO 22301（BCMS）認証取得支援、BCP 策定支援、ISMS 及び BCP
関連各種研修講師、ISMS 及び BCP のセミナー・講演多数【著作】『個人情報保護法と企業対応』（共著、清文社）（共著、日科技連出版社）『ISO 22301 で構築する事業継続マネジメントシステム』『ISO/IEC 27001

情報セキュリティマネジメントシステム（ISMS）規格要求事項の徹底解説【第 2 版】』（共著、日科技連出版社）『ISO/IEC 27001

情報セキュリティマネジメントシステム（ISMS）構築・運用の実践
【第 2 版】』（日科技連出版社）『ISO/IEC 27017連出版社）

クラウドセキュリティ管理策と実践の徹底解説』（共著、日科技無断使用をお断りします。日科技連出版社■著者紹介
魚脇雅晴（うおわき まさはる）（執筆担当：第 5 章）

【略歴】
1977 年

日本電信電話㈱（現 NTT）入社

1981 年

研究所にて仮想計算機の研究開発に従事

1996 年 スーパーキャッシュシステム（電子マネー）のプロジェクトリーダーとしてシステムの設計、構築、運用において不正利用防止・検出・暗号化などのセキュリティ分野に従事
2002 年 インターネット上での認証・決済 PF のプロジェクトリーダーとして開発、運用に従事するとともに不正利用防止や ISMS の認証取得
2007 年 金融系プロジェクトのシステム開発の PM 業務や運用に従事しながら、セキュリティコンサルティング業務などに従事（本務）2011 年 NTT コムソリューションズ㈱ マネジメントソリューション本部
経営企画部企画担当セキュリティマネジメント室（兼務）：オープンソース
系の監視ソフトウェアの企画・開発及び全社のセキュリティマネジメントに従事
2021 年～現在

NTT コミュニケーションズ㈱情報セキュリティ部

サイバーセ

キュリティ部門：サイバーセキュリティを含めた総合的なセキュリティ調査業務に従事【主な保有資格と公的活動】◦保有資格：CISSP、ITIL ファンデーションなど◦対外活動：現在、JNSA（日本ネットワークセキュリティ協会）の標準化部会の日本 ISMS ユーザグループの WG リーダー及びインプリメンテーション研究会主査として ISMS の規格要求事項の実装方法（サイバー攻撃やクラウド利用などの最新のリスク対応）をテーマとして活動し、毎年、情報セキュリティマネジメントセミナーとして標準化動向や研究会の成果を情報発信することで ISMS の健全な普及、促進活動を継続中。また、これまでに JASA（日本セキュリティ監査協会）でサプライチェーンセキュリティ評価基準の検討やクラウドセキュリティ監査制度の検討 WG に参画

無断使用をお断りします。日科技連出版社

ISO/IEC 27001 情報セキュリティマネジメントシステム（ISMS）
内部監査の実務と応用【第 2 版】
2019 年 5 月 30 日 第 1 版第 1 刷発行
2021 年 4 月 5 日 第 1 版第 2 刷発行
2024 年 9 月 6 日 第 2 版第 1 刷発行

検印

省

略

編著者

羽田卓郎

著者

魚脇雅晴

発行人

戸羽

節

文発行所 株式会社 日 科 技 連 出 版 社〒 151-0051 東京都渋谷区千駄ヶ谷 5-15-5DSビル
電 話 出版 03-5379-1244
営業 03-5379-1238

Printed in Japan

印刷 ･ 製本

三秀舎ⓒ Takuroh Haneda, Masaharu Uowaki 2019, 2024
ISBN 978-4-8171-9785-6
URL

https://www.juse-p.co.jp/

本書の全部または一部を無断でコピー、スキャン、デジタル化などの複製をすることは著作権法上での例外を除き禁じられています。本書を代行業者等の第三者に依頼してスキャンやデジタル化することは、たとえ個人や家庭内での利用でも著作権法違反です。