ISO/IEC 27001とは
ISO/IEC 27001とは、情報セキュリティマネジメントシステム（ISMS）の構築や運用に関する具体的な要件を定めた、国際的な標準規格です。スイスに本部を置くISO（国際標準化機構）とIEC（国際電気標準会議）が共同で作成しました。企業がこの規格に従って正しいセキュリティ管理体制を築いていると認められると、第三者の審査機関から「ISMS認証」を取得することができます。認証を得ることで、取引先や顧客に対して「私たちは情報の安全管理を徹底している信頼できる会社です」と客観的に証明できます。
具体例
あるクラウドサービスを開発するIT企業が、他社と新規取引を行うケースを考えてみましょう。
取引先の企業から「セキュリティ対策は十分ですか？」と問われた際、社内のルール説明やチェックシートへの回答だけでは信頼しきれない場合があります。しかし、このIT企業が「ISO/IEC 27001の認証を取得しています」と伝えることで、取引先は以下のように安心できます。
- 国際基準を満たした外部のプロによる厳しい審査をクリアしていること。
- セキュリティに関するPDCAサイクルが正常に回っており、トラブル防止体制ができていること。
もう少し詳しく
ISO/IEC 27001は、世界的に統一された情報セキュリティマネジメントシステム（ISMS）の仕様書であり、企業が構築すべきセキュリティ体制の「ものさし」となる規格です。この規格は、大きく分けて「ISMSの本文要件（組織の状況、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善など）」と、具体的なセキュリティ管理策を並べた「附属書A」の2部構成になっています。企業は自社の業務特性や情報資産のリスクに応じて、附属書Aに記載された管理策（例えば、物理的なアクセス制限、ネットワークセキュリティ、サプライヤーとの関係など）の中から、必要なものを選択して適用します。この国際規格に基づいて外部の独立した「認証機関」が実施する適合性審査をクリアし、認証を取得・維持するためには、年1回の維持審査（サーベイランス審査）と、3年に1回の更新審査をクリアする必要があり、組織がセキュリティレベルを常に維持していることを外部へアピールする強力な武器となります。
試験でのポイント
試験では、ISO/IEC 27001が「情報セキュリティマネジメントシステム（ISMS）の適合評価のための国際規格である」という定義がストレートに問われます。また、タイムリーな国内対応規格として「JIS Q 27001」があることも知識として重要です（JIS Q 27001は、ISO/IEC 27001の翻訳版にあたります）。試験では、規格そのものの細かい条文を暗記するよりは、「第三者機関による適合性評価制度（認証制度）に使われる規格である」という点や、「組織のビジネス上の要求事項やリスクに基づいて、適切な管理策を選択して適用する」という柔軟な運用の考え方について理解しているかどうかが重視されます。
関連する用語
ISO/IEC 27001に関連する用語には、この規格に基づいて実際に構築する組織的な枠組みである「ISMS」、セキュリティ体制を評価するための「内部監査」、そして組織全体のセキュリティポリシーの基本となる「情報セキュリティポリシー」があります。