ISMS新規格対応講座

本講座では、お客様の各組織のご状況を踏まえた個別の質問対応はお受けできません。よくあるご質問に関しては、FAQとして公開しておりますのでご参照ください。

情報セキュリティ俱楽部ご契約中の企業様は、専用フォームより新規格対応に関するご質問も可能です。

基本的には新規で作成が必要な記録、文書等はありません。ただし、新規管理策に対応するためのルール追加や当該ルール運用のために、新たな記録・様式等を作成する必要がでてくる可能性はあります。

今回の規格改訂では、適用宣言書に対応する附属書Aの構成が全面変更となったため、必ず全面的な修正が必要となります。

既存要求事項や既存管理策に対する内部監査等をすでに実施している場合には、新規格の差分のみの内部監査実施で問題ありません。マネジメントレビューも同様に、定期計画上のレビューを実施済みの場合は、リスクや監査など、規格改訂対応で見直した差分のレビューで問題ありません。

2022年版ISO27001は、現在の社会情勢を反映し、クラウドリスクが従来より考慮された規格になっていることは確かですが、ISO27001とISO27017は前提として以下の違いがあります。

ISO27001

適用範囲における業務全般を対象としたセキュリティ認証（固有名詞を含むような特定のサービスに対するセキュリティ認証ではない）

ISO27017

特定のクラウドサービスの利用もしくは提供に関するセキュリティ認証（例えば「AWSの利用」や「セキュリオの提供」など、対象サービスが明確化されます）

上記のように、ISO27001のみでは特定のクラウドサービスの利用や提供に関するセキュリティ要求事項を満たすことはできません。特定のクラウドサービスの利用や提供に対するセキュリティ認証が必要な場合には、引き続き新規取得・運用が求められます。また、ISO27017についても、ISO27001の改訂に伴い、将来的な改訂が予定されています（現在は草案調査段階）。