セキュリティ統制・法務・基準重要度:★★★出題: AM2・PM1

ISMS (JIS Q 27001 / ISO/IEC 27001・27002・27017)

あいえすえむえす / Information Security Management System (ISO/IEC 27001 / 27017)

組織の情報資産の機密性（C）・完全性（I）・可用性（A）をバランスよく維持・改善するための情報セキュリティマネジメントシステム国際規格。

3行速習ポイント

リスクアセスメントの手順：①リスクの特定 ➔ ②リスクの分析（発生可能性×影響度） ➔ ③リスクの評価（受容基準との比較） ➔ リスク対応（低減・保有・回避・移転/共有）
ISO/IEC 27001（2022年改訂版）では管理策が「組織的・人的・物理的・技術的」の4カテゴリ（計93項目）に再編され、「脅威インテリジェンス」「クラウドサービス利用」「ICTの事業継続」等が新設
ISO/IEC 27017はクラウドサービスプロバイダ（CSP）とカスタマ（CSC）双方の責任分界に基づくクラウドセキュリティ管理策を規定

図ISMS (JIS Q 27001) リスクアセスメント手順と4つのリスク対応選択肢

11. リスクの特定

Step 1

情報資産・脅威・脆弱性を洗い出しリスク源を特定

業務プロセスと情報資産台帳に基づき、機密性（C）・完全性（I）・可用性（A）の喪失につながる脅威と脆弱性を網羅的に特定

22. リスクの分析

Step 2

発生可能性 × 顕在化時の影響度からリスクレベルを算出

特定された各リスクについて、事業への影響の大きさと起こりやすさを定性的または定量的に組み合わせてリスク値を算定

33. リスクの評価

Step 3

リスク受容基準と比較し対応の要否と優先順位を決定

算出したリスクレベルを組織が定めた受容基準と照らし合わせ、対策を講じるべきリスクの優先順位を決定

44. リスク対応と適用宣言書 (SoA)

Step 4

低減・回避・移転（共有）・保有の4択と管理策選定

対策導入（低減）、業務中止（回避）、保険・委託（移転/共有）、残留リスク承認（保有）を選択し、適用宣言書（SoA）に採否理由を明文化

💡 2022年改訂で管理策は「組織的・人的・物理的・技術的」の4分類（93項目）に再編され、脅威インテリジェンス・クラウド利用・ICT事業継続等が新設

技術的な対策だけでなく、経営陣のコミットメントのもとで規程策定・従業員教育・内部監査・マネジメントレビューのPDCAサイクルを回す統制枠組みです。適用宣言書（SoA：Statement of Applicability）において、選択した管理策と除外した管理策の理由を明文化します。

リスク対応の4選択肢：リスク低減（対策導入）、リスク回避（当該業務やデータ保有自体の中止）、リスク移転/共有（サイバー保険加入や専門事業者への委託）、リスク保有（受容基準以下の残留リスクの承認）
2022年改訂の新規管理策（11項目）：脅威インテリジェンス、クラウドサービス利用のための情報セキュリティ、事業継続のためのICT準備、物理的セキュリティ監視、構成管理、情報の削除、データマスキング、データ漏洩防止（DLP）、監視活動、Webフィルタリング、セキュアコーディング
ISO/IEC 27018：パブリッククラウドにおける個人情報（PII）保護に特化した管理策ガイドライン