ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）【講演レポート】ISO/IEC 27001移⾏セミナー

ISMS適合性評価制度におけるISO/IEC 27001：2022への対応について
⼀般社団法⼈情報マネジメントシステム認定センター（ISMS-AC）
理事
事務局次⻑星昌宏

保⽊野昌稔

ISMS適合性評価制度
ISMS適合性評価制度は、国際規格に基づき認定/認証を⾏うことで、世界的に同等レベルの情報セキュリティマネジメントシステムの品質を維持する制度です。ISMS認証を受ける組織は、認証機関に申請しISO/IEC 27001に基づいた審査を受けます。私たちISMS-ACのような認定機関は、認証機関が適切に、同レベルで認証審査を⾏っているかどうかをISO/IEC 17021-1、ISO/IEC 27006に基づき審査し認定しています。
さらに認定機関に関しては、国際認定フォーラムの下、ISO/IEC 17011に基づいた審査を経てISMSの国際相互承認協定（MLA）に署名した認定機関は、他のMLA署名認定機関と同等の認定の有効性が国際的に認められています。現在、ISMSで同等だと認められている認定機関は、世界全体で45機関あり、私たちISMS-ACもMLAに署名しているため、ISMS-ACが認定した認証機関で企業が認証を受けた場合、その認証は国際的にも同等レベルであるということが⾔えます。
2000年より以前には「情報処理サービス業情報システム安全対策実施事業所認定制度」（安対制度）がありましたが、これは情報処理サービス業が運⽤するシステムの物理的な安全性を認定する制度でした。時代の流れの中で様々な組織においてIT活⽤が進み、マネジメントシステム全体を⾒ることが必要となってきたため、2000年度に⾒直しが⾏われ、制度廃⽌の受け⽫としてJIPDECでISMS適合性評価制度が⽣れました。当時は国際規格もなかったため、英国規格協会の情報セキュリティBS-7799-2をもとに策定された⽇本独⾃のISMS認証基準をもとに世界に先駆けて運⽤を開始し、その後2005年に国際規格が発⾏され世界的に統⼀された基準で運⽤されています。ISMS、ISMS適合性評価制度という⾔葉は、適正に利⽤していただくため、JIPDECが商標登録して管理しています。
ISMS認証取得組織は右肩上がりに推移しており、2023年6⽉末現在、⽇本国内では7,413組織が認証を取得しています。また、ISMS-ACが認定している認証機関は、現在26機関になります。
デジタル社会のニーズを踏まえ、ISMSのセクター認証として2016年にISMSクラウドセキュリティ認証、2020年にISMS-PIMS認証を開始しています。これらは、従来のISMSに上乗せする形で審査/認証するもので、ISMSクラウドセキュリティ認証は現時点で438組織、PIMS認証は47組織が認証を受けています。

1

ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）

ISO/IEC 27001：2022への移⾏について認証の移⾏期間は3年間（2025年10⽉31⽇まで）となっていますが、JIS Q 27001：2014での初回認証及び再認証（更新）を希望する場合は、2024年4⽉30⽇までに審査を開始している必要があります。
現在、ISMS-ACでは認定機関として認証機関の審査認定を進めており、今年10⽉までにはどの認証組織でも新しい規格での認証審査が可能となる予定です。
移⾏にあたっては、ISO/IEC 27001:2022のJISが発⾏されるまでは、⽇本規格協会から発⾏された対訳版ISO/IEC 27001:2022を参考として使⽤してください。この場合、認証⽂書への規格表⽰は「ISO/I
EC 27001:2022」となります。

よくある質問
Q:JIS版の発⾏時期は？
A:セミナー配布資料（⾮公開）では「「2023年度中には⽇本規格協会より発⾏公⽰される予定」とご説明しましたが、現在、対応するJISＱ 27001の改正作業が最終段階に⼊っており、順調に進めば9⽉頃に発⾏予定です。質疑応答レポートも併せてご確認ください。
Q:移⾏審査はどのように実施されるか
A:移⾏審査は、サーベイランス審査、再認証審査と同時に受けることも、個別に審査を受けることも可能です。移⾏審査では、新しい規格のもとで新たなマネジメントシステムが構築されPDCAが動かされていることを確認する必要があるので、そこが審査ポイントになります。認証機関が⽬的を達成できると判断した場合には遠隔審査も可能です。
Q:追加の審査⼯数は？
A:移⾏の確認審査を再認証審査と同時に実施する場合は、少なくとも0.5⼈⽇が審査⼯数として追加されます。また、サーベイランス審査と同時実施、または単独審査として実施する場合は、少なくとも1⽇⼈の審査⼯数追加が必要となります。
これは、全ての組織に共通な事項を確認するための最⼩審査⼯数のため、実際にかかる⼯数は、認証機関にご確認ください。
Q:移⾏審査後、認証の有効期限は変更になりますか？
A:移⾏審査による認証サイクルの変更はありません。ただし、2025年10⽉31⽇を以てその認証は無効となります。
Q:移⾏審査の前にすべきことは
A: 移⾏審査では、組織の構築したISMSがISO/IEC 27001:2022に基づいて適切に運⽤管理されていることを確認するため、移⾏審査前にISMSの変更の必要性*を決定し、適⽤宣⾔書やリスク対応計画の更新、管理策の実施およびその有効性の評価（内部監査、マネジメントレビュー等）を⾏っておく必要があります。なお、今回はISO/IEC 27001:2022に変更があるため、ISMSの変更が⾏われることになります。

2

ISO/IEC 27001:2022への移⾏に関するセミナー（2023.7.3（東京）、7（福岡）、18（⼤阪）開催）*ISMSの変更の必要があると決定されたときは、変更の計画策定（ISO/IEC 27002:2022の6.3）をします。

Q:適⽤宣⾔書の作り⽅
A:既存の認証を取得している場合は、新旧規格のギャップ分析を⾏い、その結果をもとに管理策の対応を確認、新規管理策についてはリスク分析を⾏い実施の可否を検討します。これらの結果を新たな適⽤宣⾔書に反映してください。
Q:ISMSクラウドセキュリティ認証も移⾏が必要か？
A: ISMSクラウドセキュリティ認証は、認証基準であるJIP-ISMS517-1.0の要求事項に変更はない(注)ので、移⾏はありません。ただし、その基となるISMS認証がISO/IEC 27001:2022へと変更になるため、それに合わせた対応は必要です。対応状況はISMS認証の移⾏審査の中で確認されます。
注）JIP-ISMS517-1.0内のJIS Q 27001:2014(ISO/IEC 27001:2013)はISO/IEC 27001:2022に読み替えるものとします。
ISO/IEC 27001:2022の発⾏に伴うISMSクラウドセキュリティ認証及びISMS-PIMS認証の対応について（ISMS-AC）

講師所属組織⼀般社団法⼈情報マネジメントシステム認定センター（ISMS-AC）【センター概要】
ISMS適合性評価制度において、組織の審査・認証を⾏う認証機関の能⼒を審査し認定する、認定機関。
※ 2018年4⽉に、認定機関としての独⽴性をより明確にし、引き続き客観性及び公平性のある認定活動を推進していくために、JIPDEC（⼀般財団法⼈⽇本情報経済社会推進協会）から独⽴し、認定業務を⾏う「⼀般社団法⼈情報マネジメントシステム認定センター（略称：ISMS-AC）」として法⼈化した。
https://isms.jp/
本内容は、2023年7⽉に開催された「ISO/IEC 27001:2022への移⾏に関するセミナー」での説明内容を取りまとめたものです。

3