用語集
ISO/IEC 27001（ISMS）とは
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格で、セキュリティリスクを特定し統制を適用するための文書化された枠組みです。SOC 2と異なり、認定を受けた審査機関が発行する認証書が交付され、有効期間が定められ、期間中は定期的な維持審査を受けます。
最終更新:
ISO 27001の中核は統制のチェックリストではなくプロセスです。資産とリスクを特定し、各リスクへの対応方針を決め、それに応じて統制を選択し、監視して改善する。附属書Aは参照用の管理策集を提供しますが、規格は組織自身がどの管理策を適用するかを正当化することを求めます。
その正当化は適用宣言書（SoA）に記載され、これこそ読む価値のある文書です。認証は「ISMSが存在し審査を受けた」ことを買い手に伝えます。実際に何が対象なのかを伝えるのは、SoAと認証書に記載された適用範囲です。特定の製品ラインや一拠点のみを範囲とする認証は珍しくなく、全社を対象とするものとは実質的に異なります。
日本では、この規格に基づくISMS認証は企業の購買審査で広く認知されており、買い手が最初に求める資格であることが多くあります。米国市場で確立しているSOC 2よりも日本の買い手には理解されやすく、両市場に販売するベンダーが結果として両方を維持することになる一因です。
どちらの資格もチェックシートをなくしはしません。認証は「マネジメントシステムが規格を満たす」ことを述べますが、買い手は依然として自社固有の懸念——データの所在、再委託先、侵害時の対応——を尋ねます。その回答の裏付けとなる証拠は安定しているのに、各買い手の形式へ毎回手作業で書き写されています。
出典: [1]
よくある質問
- ISO 27001と日本のISMS認証は同じものですか？
- 実務上、日本の買い手が「ISMS認証」と言う場合、認定機関が発行するISO/IEC 27001に基づく認証を指します。購買の文脈では同義に使われますが、認証書自体には規格名と認定制度が明記されます。
- ISO 27001とSOC 2、どちらを求めるべきですか？
- 本当に確認したいことから決めてください。マネジメントシステムが存在し外部監査を受けている保証が必要ならISO 27001が答えます。特定の統制が一定期間運用されていた証拠が必要ならSOC 2 Type IIのほうが適します。両方を要求するのは一般的ですがベンダー側の負担は倍増し、小規模なベンダーは応じない場合があります。
初回商談は、もう不要に。
必要な条件を伝えるだけで、AgentDoorのエージェントがあなたに代わってベンダーのエージェントと「面談」します。6回の商談ではなく、意思決定に使えるショートリストが届きます。
ローンチ時にご案内します。スパムは送りません。