ISO/IEC 27000 ファミリーについて2011 年 12 月 20 日

1. ISO/IEC 27000 ファミリーとは
ISO/IEC 27000 ファミリーは、情報セキュリティマネジメントシステム（ISMS）に関する国際規格であり、ISO（国際標準化機構）及び IEC（国際電気標準会議）の設置する合同専門委員会 ISO/IEC JTC1（情報技術）の分化委員会 SC 27（セキュリティ技術）において標準化作業が進められています。以下に示すように、要求事項である ISO/IEC 27001 をはじめ、ISO/IEC 27000 ファミリーとして様々な規格が検討され、発行されています。

ISO/IEC
ISO/IEC 27001
27001
ISMS
ISMS requirements
requirements
ISO/IEC 27000
ISMS overview and vocabulary

ISO/IEC 27010
ISM for inter-sector and interorganisational communications

ISO/IEC 27002
Code of practice for ISM

ISO/IEC 27011
ISM guidelines fortelecommunications organizations
based on ISO/IEC 27002

ISO/IEC 27003
ISMS implementation guidance
ISO/IEC 27004
ISM measurement

ISO/IEC 27013
Guidance on the integrated
implementation of ISO/IEC 27001
and ISO/IEC 20000-1

ISO/IEC 27005
Information security
risk management
ISO/IEC 27006
Requirements for bodies providing
audit and certification of ISMS
NP*承認（新規プロジェクト）

作成中
発行済
改訂中

ISO/IEC 27012
ISM guidelines for e-government

ISO/IEC 27007
Guidelines for ISMS auditing

ISO/IEC 27014
Governance ofinformation security
ISO/IEC (TR) 27015
ISM guidelines for financialservices
ISO/IEC TR 27016
ISM organizational economics

ISO/IEC TR 27008
Guidelines for auditors on
IS controls

ISO/IEC 27017
Guidelines on IS controls for theuse of cloud computing services
based on ISO/IEC 27002

中止*NP：New work item Proposalのことであり、ISO規格を作成する場合、初めに作成可否についてNP投票が行われます。規格策定の段階については、5ページをご参照下さい。

1

・規格の概要
前図の「作成中」及び「発行済」（「改訂中」含む）規格の概要は、以下の通りです。
ISO/IEC 27000:2009
Information technology – Security techniques – Information security management systems –Overview and vocabulary
2009 年 5 月発行（現在、改訂審議中）
ISMS ファミリー規格の概要、ISMS ファミリー規格において使用される用語等について規定した規格

ISO/IEC 27001:2005
Information technology – Security techniques – Information security management systems –Requirements
2005 年 10 月発行（現在、改訂審議中）
組織の事業リスク全般を考慮して、文書化した ISMS を確立、導入、運用、監視、レビュー、維持及び改善するための要求事項を規定した規格※ 国内規格としては、2006 年 5 月に JIS Q 27001:2006 として制定された。
JIS Q 27001:2006
情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項

ISO/IEC 27002:2005 （旧番号 ISO/IEC 17799:2005*）
Information technology – Security techniques – Code of practice for information securitymanagement
2005 年 6 月発行（現在、改訂審議中）
情報セキュリティマネジメントの導入、実施、維持及び改善に関するベストプラクティスをまとめた規格。ISO/IEC 27001 の「附属書 A 管理目的及び管理策」と整合がとられている。
*当初、ISO/IEC 17799 として発行されたが、2007 年 7 月に規格番号が 27002 へ改番された。
※ 国内規格としては、2006 年 5 月に JIS Q 27002:2006 として制定された。
JIS Q 27002:2006
情報技術－セキュリティ技術－情報セキュリティマネジメントの実践のための規範

ISO/IEC 27003:2010
Information technology – Security techniques – Information security management system
implementation guidance2010 年 2 月発行
ISMS の実装（計画から導入まで）に関するガイダンス規格

ISO/IEC 27004:2009
Information technology – Security techniques – Information security management –Measurement
2009 年 12 月発行
導入された ISMS 及び管理策（群）の有効性を評価するための測定に関するガイダンス規格

ISO/IEC 27005:2011
Information technology – Security techniques – Information security risk management
2011 年 6 月発行
情報セキュリティのリスクマネジメントに関するガイドライン規格
2008 年 6 月に発行後、2010 年 4 月マラッカ会議にて、ISO 31000:2009 及び ISO Guide 73:2009 と2の整合に限定した改訂を、（ISO/IEC 27001:2005 対応版として）通常よりも早い改訂プロセスを適用して行うことが決定された。これを受けた改訂作業を経て、2011 年に改訂版が発行された。

ISO/IEC 27006:2011
Information technology – Security techniques – Requirements for bodies providing audit andcertification of information security management systems
2011 年 12 月発行
ISMS 認証を希望する組織の審査・認証を行う認証機関に対する要求事項を規定した規格。
マネジメントシステム認証機関に対する要求事項としては ISO/IEC 17021 が規定されているが、ISMS認証機関に対しては併せて ISO/IEC 27006 が要求される。
ISO/IEC 17021 の改訂版 ISO/IEC 17021:2011 が発行されたことを受けて、2011 年 4 月シンガポール
会議にて ISO/IEC 27006 も ISO/IEC 17021:2011 との整合に限定した早期改訂を行うことが決定された。これを受けた改訂作業を経て、2011 年に改訂版が発行された。
※（ISO/IEC 27006:2007 の）国内規格としては、2008 年 9 月に JIS Q 27006:2008 として制定された。
JIS Q 27006:2008
情報技術－セキュリティ技術－情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項

ISO/IEC 27007
Information technology – Security techniques – Guidelines for information security management
systems auditing
2011 年 11 月発行
ISMS 監査の実施に関するガイドライン規格。
ISO 19011（マネジメントシステム監査のための指針－2011 年 11 月発行）に加えて、ISMS 固有のガイダンスを提供する。

ISO/IEC TR 27008
Information technology – Security techniques – Guidelines for auditors on information securitycontrols
2011 年 10 月発行
組織の情報セキュリティの管理策のレビューに関するガイドライン（TR：Technical Report）。

ISO/IEC 27010（作成中）
Information technology – Security techniques – Information security management for inter-sector
and inter-organisational communications
業界間及び組織間コミュニケーションのための情報セキュリティマネジメントに関する規格。

ISO/IEC 27011:2008
Information technology – Security techniques – Information security management guidelines fortelecommunications organizations based on ISO/IEC 27002
2008 年 12 月発行
電気通信業界内の組織における、ISO/IEC 27002 に基づいた情報セキュリティマネジメント導入を支援するガイドライン規格であり、SC 27 と ITU-T が共同で作成したものである。

ISO/IEC 27013（作成中）
Information technology – Security techniques – Guidance on the integrated implementation of
ISO/IEC 27001 and ISO/IEC 20000-1
ISO/IEC 20000-1 及び ISO/IEC 27001 の統合実践に関するガイダンス規格。
ISO/IEC 20000-1 担当の SC7/WG25（IT Service management）と連携して進められている。

3

ISO/IEC 27014（作成中）
Information technology – Security techniques –governance of Information security
情報セキュリティのガバナンスに関する規格。

ISO/IEC (TR) 27015（作成中）
Information technology – Security techniques – Information security management guidelines forfinancial services
金融サービスのための情報セキュリティマネジメントのガイドライン規格。
2011 年 10 月ナイロビ会議にて、今後の方針として TR（Technical Report）とすることで合意された。
この Status 変更（IS から TR）については、会議後に Letter Ballot が実施されることになった。

ISO/IEC TR 27016（作成中）
Information technology – Security techniques – Information security management –Organizational economics
情報セキュリティマネジメント－組織の経済的側面(Organizational economics)。
TR（Technical Report）。

4

2. ISO/IEC 27000 ファミリー規格の検討状況
ISO/IEC 27000 ファミリーの検討は、年 2 回（春・秋）開催される SC 27 の WG 1（情報セキュリティマネジメントシステム）において進められています。
第 43 回 WG 1 会儀は、2011 年 10 月 10 日～14 日にナイロビ（ケニア）にて開催されました。この会合での検討状況は以下のとおりです。
※ SC 27 総会は年 1 回開催されており、この総会の報告については、一般社団法人 情報処理学会 情報規格調査会様の Web サイトにて公開されています。
一般社団法人 情報処理学会 情報規格調査会： http://www.itscj.ipsj.or.jp/index.html
2-1 第 43 回 SC 27/ WG 1 会議における検討状況（全体）※緑色の網掛けセルは発行済規格
灰色の網掛けセルは中止プロジェクト

第 43 回会議

第 44 回会議（2011 年 10 月）（2012 年 5 月）ISO/IEC 番号

規格内容

ISO/IEC 27000

概要及び用語ISO/IEC 27001

要求事項

ISO/IEC 27002

情報セキュリティマネジメントの実践のための規範ISIS（改訂 4th WD）（改訂 1st CD）

ISO/IEC 27003

導入に関する手引IS

IS

ISO/IEC 27004

測定

IS

IS

リスクマネジメントに関する指針

IS

IS

ISO/IEC 27005

ISIS（改訂 3rd WD）（改訂 1st CD）

IS

IS（改訂 1st CD）（改訂 2nd CD）

(改訂版)

(改訂版)

IS

IS

（DIS）

（改訂版）

ISO/IEC 27006

認証機関に対する要求事項

ISO/IEC 27007

監査の指針

FDIS

IS

ISO/IEC TR 27008

IS 管理策に関する監査員のための指針

（TR）

TR

ISO/IEC 27010

業界間及び組織間コミュニケーションのための情報セキュリティマネジメント

FCD

FDIS

ISO/IEC 27011

電気通信組織のための指針

IS

IS

ISO/IEC 27012

電子政府サービスのための ISMS 指針
ISO/IEC 27001 と ISO/IEC 20000-1 との統合導入についての手引き－－

1st CD

DIS

情報セキュリティのガバナンス

2nd CD

DIS

3rd WDPDTR

2nd WD

3rd WD(1st WD)

2nd WD

ISO/IEC 27013
ISO/IEC 27014
ISO/IEC (TR) 27015
ISO/IEC TR 27016
ISO/IEC 27017

金融サービスに対する情報セキュリティマネジ
メントガイドライン
情報セキュリティマネジメント－組織の経済的側面(Organizational economics)
ISO/IEC 27002 に基づくクラウドサービス利用のための情報セキュリティ管理策に関するガイドライン*なお、TR※規格策定の段階は、次のとおり。
NP → WD → PDTR → DTR → TR*ISO 規格策定の段階は、次の通り
NP → WD → CD → FCD → FDIS →IS（発行済）
NP：
WD：
CD：
FCD：
FDIS：
IS：

※

New work item Proposal
Working Draft
Committee Draft
Final Committee Draft
Final Draft for International standard
International Standard

NP：WD：
PDTR：
DTR：
TR：

Technical Report：技術報告書

New work item Proposal
Working Draft
Proposed Draft Technical Report
Draft Technical Report
Technical Report◆ISO JTC1 Directives（ISO JTC1 専門業務用指針）の改訂について
ISO JTC1 の規格策定プロセスを定めた ISO JTC1 Directives（ISO JTC1 専門業務用指針）が改訂された。これに伴い、今後の規格策定プロセスに対し、移行期間を設けて新指針を適用することとなった（新プロセス：NP →WD →CD →DIS* →FDIS →IS。*DIS：Draft International Standard）。

5

2-2 第 43 回 SC 27/ WG 1 会議における検討状況（詳細）－主要プロジェクト進捗状況
27000 Information security management systems – Overview and vocabulary
3rd WD に対して、約 130 件のコメントが寄せられた。これらのコメントについて、前回会議にて合意された日本提案に従って、現行版の ISO/IEC 27001：2005、ISO/IEC 27002:2005 に基づく改訂に関するものと、改訂版 27001/27002（現在改訂作業中）に基づく改訂に関するものとに区別して審議された。
今回の編集会議の結果、次の版は ISO/IEC 27001：2005、ISO/IEC 27002:2005 に基づく改訂に限定した内容で 1st CD を発行することになった。

27001 Information security management systems – Requirements
CD 投票では、賛成 18 カ国、コメント付賛成 12 カ国、反対 7 カ国（オーストラリア、フィンランド、日本、ポーランド、スイス、英国、米国）、棄権 3 カ国であり、コメント総数は約 440 件であった。
ISO/TMB JTCG TF1 で作成中のマネジメントシステム共通化規格（MSS）に対応するための規格の再構成、及びリスクマネジメント規格である ISO 31000 との整合を実施中である。
今回の編集会議の結果、次回は 2nd CD を発行することになった。
27002 Code of practice for information security management
4th WD に対して、約 450 件のコメントが寄せられた。今回の会議では、Objective、controls の構成や管理策の追加・削除等に関するコメントも含め、すべてのコメント審議が終了した。
今回の編集会議の結果、次回は 1st CD を発行することになった。
27006 Requirements for bodies providing audit and certification of information
security management systems
この DIS 投票では、賛成 28 カ国、棄権 7 カ国であり、反対国はなかった。編集会議では、
前回決議された Strategy 文書（改訂方針）に従い、ISO/IEC 17021:2011 との整合に限定したコメントについて審議し、それ以外のコメントは次回の systematic review での審議事項とされた。
その結果、今回の審議では technical な変更は行われなかったため、FDIS を省略し、IS 発行へ進むことが合意された。IS 発行後、次回 2012 年 5 月開催のストックホルム会議にて、systematic review が開始される見込みである。
会議終了後、ISO/IEC 27006:2011（Second edition 2011-12-01）が発行された。
27007 Guidelines for information security management systems auditing
シンガポール会合の決議を受けて、FDIS 投票が 2011 年 8 月 3 日～10 月 3 日にて実施された。
この FDIS 投票の結果、賛成多数にて可決された。これを受けて、ISO/IEC 27007:2011（firstedition 2011-11-15）が発行された。
27008 Guidance for auditors on information security controls
シンガポール会合の決議を受けて、ISO/IEC 27007:2011（first edition 2011-10-15）が発行された。
以上

6