ISO 27001 とは？
ISO 27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格です。
ISO 27001は、規模や業種を問わず、あらゆる組織に対して、包括的な情報およびサイバーセキュリティ戦略のための強力な基盤を提供します。この規格は、リスクの特定、分析、実行可能な管理を通じて、リスクを軽減し、ビジネス上の重要なデータを保護するための最適な情報セキュリティ管理（ISMS）フレームワークを示しています。
情報セキュリティマネジメントを実現するにあたり、下記の3つを重要視しています。
1. 機密性（confidentiality）認可された者だけが、その情報にアクセスが出来る状態。
2. 完全性（integrity）情報が破壊・改ざん・消去されていない状態。
3. 可用性（availability）必要な者が必要な時にその情報にアクセスできる状態。
ISO 27001の認証取得は、複雑化する脅威から組織の情報、そしてクライアントの情報を守るためのプロセスと統制が整備されていることを証明するものです。ISO 27001の規格とLRQAのサービスに関するよくある質問をご参照ください。
ISO 27001 認証取得の
メリット
データと信用の保護
ISO 27001 認証は、情報セキュリティに対する体系的でリスクベースのアプローチを確立し、以下のようなベストプラクティスを推進していることを証明します。
-
情報セキュリティおよびサイバーセキュリティのリスクを特定する
-
影響度と可能性に基づくリスクの分析
-
ビジネスに関する要因に基づいて、リスクを評価し、対処の優先順位をつける
-
リスク対処の選択肢を選ぶ
法律、規制、契約上の要求事項の遵守の実証
ISO 27001の認証を取得するには、EUのGDPRや米国のHIPAAなどの規制など、適用される法令を特定する必要があります。これは、リスクマネジメントとコーポレートガバナンスにプラスの影響を与え、コンプライアンスの実証と契約上の要件の充足に貢献します。
競争力の強化
LRQAの認証は、IT、人材、環境、事業継続に関連するセキュリティリスクが、情報を保護するために適切に対処されているという確信を、顧客や利害関係者に与えます。
ISO 27001の認証は、クライアントの能力を明確に示し、国際的に認められたベストプラクティスに沿って活動していることを証明するもので、新しいビジネスの獲得に貢献します。
LRQAのISO 27001サービス
LRQAの認証および教育研修は、オンサイト、リモート、または組み合わせた方法で提供することが可能です。
教育研修
ISO 27001に関する知識を深めるために、様々な学習スタイルで提供される各種コースを経験レベルに合わせて設計しています。
ギャップ分析
貴組織の審査の準備を支援するため、準備状況とISO 27001の要求事項の差異を
明確にするギャップ分析サービスを提供しています。
ギャップ分析の終了後、ISO 27001の要求事項と乖離した部分を記載したレポートが
提出されます。
認定された認証
独立した2段階のプロセスにより、貴社の能力を明確に証明し、新規ビジネスの
獲得と利害関係者との信頼関係を構築するのに役立ちます。
統合審査
品質、環境、労働安全衛生、事業継続マネジメントを含む複数のマネジメントシステムを運用している組織は、統合審査により、コスト削減のための重複した
作業を避け、組織的な評価と監視プログラムの恩恵を受けることができます。
情報セキュリティとサイバーセキュリティへの包括的なアプローチ
LRQAの技術的な深い洞察力と専門知識は、広範なサイバーセキュリティのポートフォリオに支えられており、クライアントのビジネスと協力して、クライアントが直面する特定の脅威を特定し、それを軽減するためのソリューションを提供することが可能です。LRQAは、クライアントのシステムを認証し、脆弱性を特定し、クライアントのブランドの信頼性、財務、業務に影響を与える可能性のある攻撃やインシデントの防止を支援することができます。
ISO 27001認証にLRQAを選ぶ理由
グローバルな専門知識
世界各地に300人以上の優秀な審査員と250人の専任のサイバーセキュリティ専門家を擁するLRQAは、グローバルに一貫した卓越した献身的なサービスを現地で提供することが可能です。LRQAの社員は、情報およびサイバーセキュリティのリスク、課題、基準、規制、フレームワークについて深い知識を持つ技術専門家です。
幅広いサービス提供
ISO 27001の研修と認証サービスは、多くの場合、安全でセキュリティの高い技術を使用して、オンサイトまたはリモートで提供することができます。リモートサービスをご利用の場合、高品質のサービスはそのままに、柔軟性、迅速な提供、グローバルな専門知識へのアクセスなど、さまざまな利点を享受することができます。
世界初のUKAS認定機関
LRQAは、UKAS（United Kingdom Accreditation Service 英国認証機関認定審議会）から認定を受けた最初の認証機関であり、豊富な審査経験と専門知識、およびプロ意識を持ってISO 27001の審査を提供しています。また現在も、さまざまな分野にわたる特定の規格やフレームワークの開発に貢献しています。
コンプライアンス重視の先にあるもの
LRQAのサイバーセキュリティビジネスNettitudeとともに、あらゆる脅威や脆弱性に対して第一線で防御・対応する高度なサービスを通じて、高度なサイバー脅威の一歩先を行く支援をします。
次のステップの準備はできていますか？
-
ISO 27001とは？
ISO 27001 は、情報セキュリティマネジメントシステム (ISMS) の要件を定義する国際規格です。この規格は、情報セキュリティ侵害の可能性を低減するために、リスクを管理および緩和するための管理策を特定、分析、および実装するためのベストプラクティスのフレームワークを提供します。規模や業種を問わず、どのような組織でもISO 27001の要求事項を活用し、効果的なISMSを実施することができ、独立した認証を受けることができます。
信頼できる独立した認証機関が提供するISO 27001認証は、情報セキュリティへのコミットメントを示し、ISMSの堅牢性と有効性に関する公平な見方を提供します。これは、契約上の義務を果たすのに役立ち、多くの場合、取引要件として機能します。
-
ISO 27001の審査はどのように行われるのですか？
ISO 27001の審査は、他の附属書SLに基づくマネジメントシステムと同じアプローチで行われます。教育研修やギャップ分析から始めることもできますが、正式なプロセスでは、ISMSの設計の審査（ステージ1審査）および運用の審査（ステージ2審査）が行われます。これらの審査の結果については、LRQAの独立した有資格者が技術的な審査を行い、ベストプラクティスとの整合性とコミットメントを確認します。
承認されるとISO 27001認証書が発行され、次の3年間を再設定する3年周期の定期審査が開始されます。定期審査により、LRQAと組織の両方が変化に対応し、審査が現在の業界のニーズに適合していることを確認することができます。
-
ISO 27001認証の有効期間は？
認証は、定期審査を通じて効果的なシステムの維持が実証されることを条件に、3年間有効です。
-
一般的なISMSの適用範囲と認証登録証には何が含まれますか？
一般的なISMSの適用範囲と認証登録証には、製品及びサービスの提供に関する活動が含まれます。内部活動やISMSプロセスを含める必要はありません。その目的は、製品やサービスを受ける際に提供される情報が保護されていることを保証することです。
適用性の記述は、選択された管理策のリストに言及しています。これらの管理策の詳細を提供するのではなく、前回のISO 27001審査の基礎として使用された管理策への追跡可能な参照を提供します。組織がISO 27001附属書Aから選択した管理策を単にリストアップした、共有可能な公開バージョンを持つこともありますが、これは必須の要件ではありません。
-
ISO 27001の認証取得には、どのくらいの費用がかかりますか。
費用は、ISMSの範囲内の従業員数に関連する審査日数に基づいています。審査日数は、ISO 27006という規格に掲載されており、どなたでも閲覧可能です。LRQAのような認定された認証機関に依頼すれば、業界のベストプラクティスに基づき、他のすべての認定された認証機関と同等の審査期間が提案されます。
例えば、フルタイム従業員（FTE）100人の組織の場合、最初の審査期間（ステージ1審査＋ステージ2審査）は、業種、作業環境の複雑さ、ソフトウェア開発に携わっているか、製品にセキュリティを組み込む必要があるか等によって、8～12日間と予想されます。その後の定期審査は3〜4日/年、更新は6〜8日となります。
-
すでにISO 9001を取得しています。ISO 27001と統合することはできますか。
可能です。ISO 9001とISO 27001はともに、マネジメントシステムに関する一般的なベストプラクティスモデル（附属書SL）に基づいているため、中核となるマネジメントプロセスを最適化し、両規格の要求事項を満たすことが可能です。実際、両方に対応するシステムを設計することで、組織ガバナンスの有効性が向上します。例えば、事業の成長などのビジネス目標には、しばしば新製品の開発が必要ですが、セキュリティは通常、市場の期待に沿った品質基準と考えられています。また、統合することで重複を最小限に抑え、審査にかかる時間を短縮し、費用対効果の高いオプションを提供することができます。
-
一般的なISO 27001の認証プロセスとは？
ISO 27001の認証を取得するために必要なプロセスは、情報セキュリティと広範なリスク管理に関するビジネスの成熟度、およびその他の要因に依存します。しかし、ISO 27001の認証を取得するための一般的なプロセスには、次の3つの主要ステップがあります。
- ステージ1 審査 - 文書のレビューと計画:
監査人は、マネジメントシステムの設計と文書化をレビューします（ほとんどの場合、これはリモートで実施されます）。
- ステージ2審査 - 実施状況の評価 :
審査員は、ISO 27001の要求事項に沿って、ISMSの実施と有効性を評価します。不適合がなければ、認証を受けることができます。この段階は、リモートまたはオンサイトで実施されます。
- ISO 27001認証取得を推進する:
国際的に認められたベストプラクティスと継続的な改善への取り組みを証明するもので、新しいビジネスの獲得と顧客要求への取り組みに貢献します。
- ステージ1 審査 - 文書のレビューと計画:
-
ISO 27002:2022とは何か、その影響は？
ISO 27002:2022の発行は、ISO 27001に存在する管理策のリストを更新するもので、前回の発行日は2013年にまでさかのぼります。今回改訂された管理項目は、脅威と現在のベストプラクティスの両方に関する開発を反映しており、ISO 27002の適用範囲の拡大により、リスク管理対策が広範囲で効果的であることが保証されます。組織は、包括的な管理策のリストを使用して、特定したリスクに対処し、潜在的なギャップを発見することができます。これは、今日組織が直面している複雑で進化する脅威の状況に対して一歩進んだ状態を維持することにつながります。
-
ISO 27001の改訂版に関しては？
ISO 27001の改訂版は、2022年10月に発行されました。この新しいISO 27001は、ISO 27002:2022で概説された新しい管理策を備え、組織はリスク評価を再検討し、新しいリスク処理を実施する必要があるかどうかを判断することが求められます。
関連認証サービス
マネジメントシステム、教育研修、ガバナンス、リスク管理など包括的なサービスを提供します。
事例紹介・認証授与式
国内外での認証取得事例
様々な分野でそれぞれのビジネスを新たなレベルに押し上げ、今までにない成果の達成をお手伝いしています。 ぜひ、LRQAにご相談ください。
INSIGHTS
LRQAの考え
LRQA の専門家が定期的に最新情報を共有します。
