ISO 27001 認証とは？
ISO 27001 は、国際標準化機構（ISO） と 国際電気標準会議（IEC） が2005年に共同で発表した国際標準で、個人情報の安全を確保することに焦点を当てています。
この標準は2013年と2022年に改訂され、現在、世界的に広く使用されている 情報セキュリティ管理システム (Information Security Management System, ISMS) の標準であり、ISMSの設立、実施、維持をカバーしています。
ISO 27001 は継続的な改善の原則を強調し、企業が定期的な監視とレビューを通じて情報セキュリティ管理能力を向上させ、有効にセキュリティリスクを識別、評価、処理し、機密性、完全性、可用性を確保することを奨励しています。
この標準のもう一つの特徴は、その柔軟な構造にあり、大企業だけでなく中小企業にも適用できる点です。
ISO 27001 の三大要素
ISO 27001 の核心は CIA の三要素：機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）です。
- 機密性：企業の全ての情報が許可された者のみアクセスできるようにし、企業とユーザーの情報の秘密性と機密性を維持します。これには、情報アクセス制御の設定、暗号化技術の使用、その他の保護措置が含まれ、データが無許可の個人やシステムにアクセスされないようにします。
- 完全性：情報が無許可で変更または改ざんされないようにし、情報の正確さと完全性を維持します。これは、企業がデータの無許可の変更を防ぐためのメカニズムを設定し、情報が伝送および保存される過程で元の状態を保つことを意味します。
- 可用性：情報の流れをスムーズにし、許可された者がいつでもアクセスできるようにし、何らかの要因で中断されないようにします。これには、システムの安定した運用を確保し、潜在的なシステム障害や攻撃に対応するための十分なバックアップと災害復旧計画が含まれます。
これらの三要素は相互に依存しており、いずれかが損なわれると全体の情報セキュリティの保護強度に影響を及ぼします。
ISO 27001 はなぜ重要なのか？
デジタルトランスフォーメーションが進むにつれ、世界中でセキュリティインシデントや脅威が絶えず発生しています。例えば、2017年に米国の消費者調査機関Equifaxがハッキングされた事件では、何億もの消費者データが漏洩しました。調査の結果、問題はEquifaxがシステムの脆弱性を迅速に修正しなかったことに起因することが判明しました。したがって、近年、各国政府は公共および民間部門のセキュリティ防御を強化するための規制を次々と制定しています。例えば、台湾の「サイバーセキュリティ管理法」では、特定の公的および非公的機関が2年以内にCNS 27001またはISO 27001セキュリティ認証を取得することを要求しています。
ISO 27001 は、金融機関、医療機関、政府組織、テクノロジー産業、製造業など、すべての規模と業界の組織に適用されます。ISO 27001 認証を取得することで、企業は情報セキュリティリスクを効果的に管理および軽減し、市場競争力、業界の権威性、および評判を向上させることができます：
- GDPRや台湾の「個人データ保護法」などのセキュリティ規制の遵守
- 管理責任の履行によるセキュリティリスクの軽減
- 企業資産と顧客データの保護
- 企業の信頼度とイメージの向上
- サプライチェーンの監査ポイントの遵守
- 顧客やパートナーの信頼感の向上
2022年版 ISO 27001 改訂のポイント
ISO 27001:2013 版と比較して、ISO 27001:2022 には新しいタイプのサイバーセキュリティ攻撃に対応するための11の新しい制御措置が追加され、企業が自身のセキュリティ管理を強化できるように細部が調整されています。これには以下が含まれます：
- 14の制御領域を4つのテーマに調整：組織制御、人物制御、物理制御、技術制御。
- 114の制御措置を93に調整：うち11は新規、24は統合、58は更新された制御措置です。
新たに追加された11の制御措置は次のとおりです：
- 脅威インテリジェンス：脅威情報を活用して潜在的なセキュリティ脅威を識別し、対応。
- クラウドサービスの情報セキュリティ：クラウドサービスのセキュリティ制御を確保し、クラウド環境のセキュリティを保証。
- ビジネス継続性のためのICTの準備：緊急時に企業のICTシステムが継続的に稼働できるようにする。
- 物理的セキュリティ監視：物理施設のセキュリティ監視を強化し、無許可の物理アクセスを防止。
- コンフィギュレーション管理：システムや機器の構成管理を強調し、セキュリティを確保。
- データ削除：不要なデータが漏洩しないよう、安全なデータ削除方法を規定。
- データマスキング：機密データを表示する際にマスキングを行い、個人識別情報（PII） を保護。
- データ漏洩防止：機密データの無許可の漏洩を防止。
- 活動監視：システム活動を継続的に監視および記録し、セキュリティインシデントを迅速に検出し対応。
- ウェブフィルタリング：不必要または悪意のあるウェブコンテンツを制御およびフィルタリング。
- 安全なコーディング：ソフトウェア開発プロセスにおいて安全なコーディングの原則を採用し、セキュリティの脆弱性を減少。
エスカレートするセキュリティ脅威に対応するため、以前に ISO 27001:2013 版の認証を取得した組織は、2025年10月31日までに移
行を完了する必要があります。
ISO 27001 認証の取得方法
ISO 27001 認証を取得する前に、企業は以下の4つの段階を経ます：
- リスク評価と処理：リスクの識別と対応。企業は包括的なリスク評価を実施し、どのデジタル資産が潜在的なリスクに直面しているかを特定し、事前に対策を講じる必要があります。
- ISMSの実施：情報セキュリティポリシーを制定し、セキュリティ制御措置を確立し、すべての従業員がこれらの規範を理解し遵守することを保証します。
- 内部監査：企業は定期的に内部監査を実施し、ISMSの有効性とコンプライアンスを継続的にチェックする必要があります。
- 認証監査：認証機関による外部監査を受け、コンプライアンスを検証します。これには、ISMSドキュメントの初期レビューと、ビジネスプロセスと制御の第二段階のレビューが含まれます。
ISO 27001 認証を実際に取得する過程は以下のステップに分けられます：
- 経営層のサポート：ISO 27001 を成功裏に実施するための鍵は、経営層の支持とリソース投入にあります。
- 責任者の指定とプロジェクトチームの編成：ISMS を担当する責任者を指名し、実施作業を推進・管理するためのプロジェクトチームを編成します。
- 範囲の確認：どの資産、プロセス、システムを ISMS の範囲に含めるかを確定します。
- セキュリティ基準の策定：リスク評価の結果に基づいて、情報セキュリティポリシー、プロセス、および関連ドキュメントを策定します。
- リスク評価の実施：情報セキュリティに影響を与える可能性のあるリスクや脆弱性を識別、評価、処理します。
- 制御措置の選択：リスク評価の結果に基づいて、リスクを軽減するための適切な制御措置を選択します。
- 文書化されたプロセスの確立：すべての ISMS 関連活動を文書化されたプロセスとして確立します。
- 実施、運用、および監視：ISMS を実施し、その有効性を確保するために継続的に運用および監視します。
- 内部監査：定期的に内部監査を実施し、ISMS のコンプライアンスと有効性をチェックします。
- 外部監査と認証：認証機関を選択して外部監査を受け、通過後に ISO 27001 認証を取得します。
AuthmeのデジタルIDソリューションはISO認証に準拠
Authme のソリューションは、ISO 27701 および ISO 27001 をカバーする国際的に認められた標準に準拠しています。ISO 27701 はプライバシー情報管理に重点を置き、個人情報の安全を確保し、ISO 27001 はセキュリティ管理システムのフレームワークとして機密情報が適切に処理されることを保証します。詳細については、Authme の専門チームにお問い合わせください。
