はじめに
情報セキュリティは「エンジニアが対応すること」から「組織全体で管理すること」へとシフトしています。セキュリティインシデントが連日報道される昨今、ISMS（情報セキュリティマネジメントシステム）の国際規格であるISO/IEC 27001の重要性がますます高まっています。
本記事では、Mastering Information Security Compliance Management を通じて学んだISO/IEC 27001の全体像をまとめます。ISO 27001の認証取得を検討している方、セキュリティ設計・監査に関心のあるエンジニアの方に向けた内容です。
本書の構成
本書は3部構成になっています。
| パート | テーマ | 対象章 |
|---|---|---|
| パート1 | 準備 – 定義・概念・原則・標準・認証 | 第1〜2章 |
| パート2 | 保護戦略 – ISO/IEC 27001/02の設計と実装 | 第3〜7章 |
| パート3 | 持続する方法 – 監視と測定 | 第8〜12章 |
パート1：情報セキュリティの基礎とISO 27001の概要
CIAの三位一体
情報セキュリティの根幹をなす3要素がCIAです。
- Confidentiality（機密性）：許可された者だけが情報にアクセスできる状態を保つ
- Integrity（完全性）：情報が正確かつ改ざんされていない状態を維持する
- Availability（可用性）：必要なときに情報やシステムを利用できる状態を確保する
この3つのバランスを取ることがセキュリティ設計の出発点です。
主要な情報セキュリティ規格
ISO/IEC 27000ファミリー以外にも、実務では以下の規格が登場します。
- PCI DSS：クレジットカード情報を扱うシステム向けのデータセキュリティ標準
- FISMA：米国連邦政府の情報セキュリティ管理法
- HIPAA：医療情報の保護に関する米国の法律
- NIST CSF：NISTが策定したサイバーセキュリティフレームワーク
- SOCレポート：サービス組織のコントロールに関する報告書
これらを横断的に理解することで、業界や規模に応じた適切な対応が可能になります。
ISO 27000シリーズの全体像
ISO/IEC 27001が認証の中核ですが、他にも多くの関連規格があります。
ISO/IEC 27001 → ISMSの要件（認証対象）
ISO/IEC 27002 → 情報セキュリティコントロールのガイダンス
ISO/IEC 27005 → 情報セキュリティリスク管理
ISO/IEC 27006 → 認定・認証機関の要件
ISO/IEC 27017 → クラウドサービスのセキュリティ管理
ISO/IEC 27018 → クラウドにおける個人情報保護
ISO 27001の構造とPDCAサイクル
ISO 27001はPDCA（Plan-Do-Check-Act）モデルに基づいています。
Plan（計画） → リスク評価・ISMS設計
Do（実行） → コントロールの実装・運用
Check（確認） → 内部監査・パフォーマンス測定
Act（改善） → 是正措置・継続的改善
ISMS導入時にはSWOT分析も有効です。強みを活かしつつ、弱点や脅威に対応するコントロールを選定する際の指針になります。
パート2：ISMSの設計と実装
ISO 27001/27002のコントロール体系
ISO 27001の附属書Aには93のコントロールがあり、4つのカテゴリに分類されています。
| カテゴリ | 内容の例 |
|---|---|
| A.5 組織的統制 | 情報セキュリティポリシー、責任の割り当て、サプライチェーン管理 |
| A.6 人事管理 | 雇用前の審査、セキュリティ教育、退職時の対応 |
| A.7 物理的コントロール | 入退室管理、クリアデスク・クリアスクリーン |
| A.8 技術的制御 | アクセス制御、暗号化、マルウェア対策、ログ管理 |
コントロールはビジネスの状況に合わせて選択・適用します。適用する全コントロールとその理由をまとめた**SoA（適用性に関する声明）**の作成が認証取得の必須条件です。
リスク管理：ISO 31000とISO 27005
リスク管理はISMSの核心です。ISO 31000:2018が提供するリスク管理フレームワークは以下の流れで進みます。
1. コンテキストの確立
2. リスクアセスメント（特定→分析→評価）
3. リスク対応（回避・低減・移転・受容）
4. モニタリングとレビュー
5. コミュニケーションと協議
ISO 27005:2022は情報セキュリティに特化したリスク管理の詳細ガイドラインです。リスクレジスター（リスク登録簿）を活用することで、特定・対応・残留リスクを一元管理できます。
ISMSの実装フェーズ（16ステップ）
ISMS認証取得までの実装は段階的に進めます。
実装のステップ（概要）
- 経営サポートの確保
- プロジェクトの立ち上げ
- スコープの定義
- 情報セキュリティポリシーの策定
- リスク評価手法の決定
- リスク評価とリスク対応
- SoA（適用性に関する声明）の作成
- リスク対応計画の策定
- セキュリティ管理の実装
- 研修・啓発プログラムの実施
- ISMSの運用開始
- ISMSの監視と測定
- 内部監査の実施
- 経営レビュー
- 是正措置と継続的改善
- ISMS認証審査
経営陣のコミットメントがなければISMSは形骸化します。最初に経営サポートを確保することが最重要事項です。
インシデント管理
セキュリティインシデントは「いつか起きる」ものとして備える必要があります。インシデント管理プロセスは以下の流れです。
検出・報告 → 分析・分類 → 対応・処理 → 事後活動（レビュー・改善）
ISO 27001附属書Aの関連管理策は以下の通りです。
- A.5.24：インシデント管理の計画と準備
- A.5.25：情報セキュリティイベントの評価と決定
- A.5.26：インシデントへの対応
- A.5.27：インシデントからの学び
- A.5.28：証拠収集
「インシデントからの学び」を組織に定着させることで、PDCAサイクルが実質的に回り始めます。
パート3：監査による継続的改善
監査の種類
ISO審査は3種類あります。
| 種類 | 内容 |
|---|---|
| ファーストパーティ監査 | 内部監査（自社による自己評価） |
| セカンドパーティ監査 | 取引先・サプライヤーへの監査 |
| サードパーティ監査 | 認証機関による外部審査（ISO認証） |
監査の7原則（ISO 19011準拠）
高品質な監査を実施するために、以下の7原則が規定されています。
- 誠実さ：プロフェッショナリズムの基盤
- 公正なプレゼンテーション：真実かつ正確に報告する責任
- 適切な専門的注意：監査における注意と判断の適用
- 機密保持：情報のセキュリティ確保
- 独立性：監査の公平性と客観性の基礎
- 証拠に基づくアプローチ：信頼性・再現性のある結果を得る合理的方法
- リスクベースのアプローチ：リスクと機会の考慮
監査の実施フロー
監査の開始
↓
監査活動の準備（計画・スケジュール・チェックリスト作成）
↓
監査活動の実施（インタビュー・観察・文書レビュー）
↓
監査結果の記録（発見事項・不適合）
↓
監査報告書の作成・配布
↓
フォローアップ（是正措置の確認）
↓
継続的改善
不適合報告と継続的改善
監査で発見された不適合は**NCR（不適合報告書）**として記録します。不適合の分類は以下の通りです。
- Major NC（重大な不適合）：ISMSの有効性に直接影響するもの
- Minor NC（軽微な不適合）：要件への一部不適合
- 観察事項：将来的に問題となりうる懸念点
是正措置の実施状況をフォローアップし、同様の問題が再発しないよう根本原因分析を行うことが重要です。
監査人に求められる能力
効果的な監査を行うために、監査人には以下が求められます。
- 個人的な行動：倫理的であること、公正さ、観察力、適応力
- 一般的な知識とスキル：ISO規格の理解、リスク評価手法、法令知識
- 分野・セクター固有のスキル：監査対象の業界・技術への理解
監査人の能力は定期的に評価され、継続的な専門能力開発（CPD）によって維持・向上させる必要があります。
まとめ
本書を通じて、ISO/IEC 27001に基づくISMSの体系的な理解を深めることができました。
- CIAの三位一体がセキュリティ設計の基盤であること
- PDCAサイクルがISMS全体の継続的改善を支えること
- リスク管理がISMS実装の核心であり、SoAとセットで考えること
- 監査はISMSの実効性を担保する仕組みであり、原則・計画・実施・報告のサイクルで回すこと
セキュリティの仕組みは一度構築すれば終わりではありません。インシデントから学び、監査で検証し、改善し続けるサイクルこそがISMSの本質です。SC試験の学習や、組織のセキュリティ体制を見直すきっかけとしてぜひ活用いただければと思います。