はじめに
本書は、情報セキュリティコンプライアンス管理の全体像を体系的に学べるOReilly刊の技術書です。
ISO/IEC 27001を中心としたISMSの設計・実装・監査を3部構成でカバーしており、
資格取得（ISO 27001主任監査員・主任実装者）や情報処理安全確保支援士試験の学習にも親和性が高い内容です。
対象読者
- ISO 27001の認証取得・維持に携わるエンジニアや担当者
- セキュリティ監査やコンプライアンス業務に関与するプロフェッショナル
- ISMS導入プロジェクトに初めて参加する方
書籍概要
| 項目 | 内容 |
|---|---|
| 著者 | Nadean H. Tanner |
| 出版社 | Packt Publishing（OReilly） |
| 章数 | 全12章 ＋ 付録 |
| 構成 | パート1（基礎・準備）/ パート2（設計・実装）/ パート3（監視・測定） |
構成と各章のポイント
パート1：準備 ― 定義・概念・原則・標準・認証
第1章 情報セキュリティの基礎、標準、原則
情報セキュリティの根幹である**CIAトライアド（機密性・完全性・可用性）**から解説を始めます。
データが現代のビジネスにおいて「石油」と同等の価値を持つという視点から、
なぜISMSが必要かを動機付けします。
主要な標準フレームワークの概観も提供されます。
- ISO/IEC 27000ファミリー：ISMS認証・実装・監査・リスク管理など目的別の関連規格群
- PCI DSS：カード会員データを扱う組織向け
- HIPAA：医療情報保護の米国法
- NIST CSF：米国発のサイバーセキュリティフレームワーク
- SOCレポート（SOC 1/2/3）：サービス組織の内部統制報告
また、ISMSを支える原則として最小権限の原則（POLP）とNeed-to-Knowの考え方が丁寧に説明されています。
「人・プロセス・テクノロジー」の三位一体でセキュリティを管理するというISMSの本質が、この章で示されます。
第2章 ISO 27001入門
ISO 27001の前身であるBS 7799（英国規格）の歴史から始まり、
現行規格の構造（条項0〜10 ＋ 附属書A）をPDCAサイクルと対応させて解説します。
| PDCAフェーズ | 対応条項 | 内容 |
|---|---|---|
| Plan | 条項4〜7 | 組織状況の把握、リーダーシップ、リスク計画、支援体制 |
| Do | 条項8 | ISMSの日常運用・リスク対応・SoA策定 |
| Check | 条項9 | パフォーマンス評価・マネジメントレビュー |
| Act | 条項10 | 不適合対処・継続的改善 |
附属書Aの93管理策が4カテゴリ（組織的・人的・物理的・技術的）に分類されている点も明快に整理されています。
ISMS導入のSWOT分析も収録されており、「全体的なセキュリティ向上・規制遵守・競争優位」という強みと、
「導入コストの大きさ・適切に設計されない場合の複雑化」という弱みがバランスよく提示されています。
パート2：保護戦略 ― ISO/IEC 27001/02の設計と実装
第3章 ISMSコントロール
附属書Aの管理策を詳細に展開します。2022年改訂版の構成に準拠し、
各カテゴリの代表的な管理策を一覧形式で確認できます。
- A.5（組織的統制）：情報セキュリティポリシー、役割・責任、脅威インテリジェンス、クラウド利用等
- A.6（人的管理）：採用時審査、情報セキュリティ意識向上、リモートワーク
- A.7（物理的管理）：入退室管理、クリアデスク・クリアスクリーン
- A.8（技術的管理）：アクセス制御、暗号化、セキュアコーディング、脆弱性管理
第4章 リスク管理
ISO 31000:2018およびISO/IEC 27005:2022を参照しながら、リスク管理の標準プロセスを解説します。
リスク特定・分析・評価・対応・モニタリングの一連のフローが、
ISMSの枠組みの中でどう機能するかを具体的に説明します。
第5章 ISMS実装のフェーズ
ISMSを実際に組織へ導入する際の16ステップが体系化されています。
- 経営サポートの確保
- プロジェクト体制構築
- スコープ定義
- 情報セキュリティポリシー策定
- リスク評価方法の確立
- リスク評価・リスク対応の実施
- SoA（適用性宣言） の作成
- リスク対応計画の策定
- セキュリティ管理策の実装
- 研修・啓発プログラムの実施
- ISMSの運用開始
- 監視・測定
- 内部監査
- マネジメントレビュー
- 是正措置・改善
- ISMS認証取得
各ステップの担当者像・必要工数も言及されており、実務的な参照価値があります。
第6章 情報セキュリティインシデント管理
ISO/IEC 27035に基づくインシデント管理プロセスを解説します。
検出・報告 → 分析・分類 → 対処 → 事後活動という流れと、
附属書AのA.5.24〜A.5.28に対応する管理策が紐付けられています。
第7章 ケーススタディ ― 認証・SoA・インシデント管理
架空組織を用いた3つのケーススタディで、理論の実装を具体的にトレースできます。
- ケース1：ISMS構築からISO 27001認証取得まで
- ケース2：管理策の選択とSoAの作成
- ケース3：インシデント発生時の対応フロー
パート3：持続する方法 ― 監視と測定
第8章 監査の原則・概念・計画
ISO 19011に基づく監査の7原則（誠実性・公正な提示・適切な注意・機密保持・独立性・証拠ベースアプローチ・リスクベースアプローチ）を定義します。
ファーストパーティ（内部）・セカンドパーティ・サードパーティという監査の種別や、
監査プログラムの構築・実施・モニタリング・改善のサイクルも体系的に整理されています。
第9章 監査の実施
監査の開始から完了までのプロセスを実務レベルで解説します。
文書レビュー、インタビュー、サンプリング、オンサイト/仮想監査の各手法が説明されます。
第10章 監査報告・フォローアップ・継続的改善
監査報告書と不適合報告書（NC報告）の構成要素を説明し、
フォローアップ実施から継続的改善戦略の立案までをカバーします。
第11章 監査人の能力と評価
優れた監査人に求められる個人的な行動特性（誠実性・客観性・柔軟性等）、
一般的なスキルと分野固有のスキル、そして監査人の能力評価・維持の方法を解説します。
第12章 ケーススタディ ― 監査計画・不適合報告・監査報告
- ケース1：監査計画の作成
- ケース2：不適合（NC）の報告プロセス
- ケース3：監査報告書の作成と配布
実際のドキュメントの構成例が示されており、初めて内部監査に関わる方に実践的なガイドとなります。
読んでみての所感
本書の強みは、規格の説明に留まらず、実装と監査の両面をカバーしている点です。
ISO 27001の条項解説だけであれば公式文書や他書籍でも可能ですが、
「どう実装するか」「どう監査するか」「ケーススタディでどう見えるか」という3層構造が揃っているのは本書の特徴です。
一方で、翻訳品質にばらつきがある部分（本書は英語原書です）や、
コード・ツールによる実践例が少ない点は補完が必要です。
試験対策（SC試験・CISA等）と並行して読む教材としての位置付けが最も効果的ではないでしょうか。
まとめ
| 評価軸 | コメント |
|---|---|
| 網羅性 | ISO 27001/27002 + ISO 19011 + ISO 31000 をカバー |
| 実践性 | ケーススタディ・実装ステップあり |
| 読みやすさ | 章末まとめが明快 |
| 対象レベル | 中級者以上推奨（ISMSの基礎知識があると効果的） |
情報セキュリティのコンプライアンス管理に携わる方、あるいはISMS認証の取得・維持を担う方にとって、
体系的な知識を整理する一冊として有益です。