ISO 27001差距診断: 手順と成果物

ISO 27001の差距診断は、現行の統制と文書を規格の要求事項とAnnex Aの統制セットと比較し、優先順位を付けた是正計画を提示します。認証審査への準備となる一方、それ自体が証書であることはなく、どの診断も認証の獲得を約束するものではありません。

ISO 27001差距診断とは何か

ISO/IEC 27001は、情報セキュリティマネジメントシステム(ISMS)の国際規格です。方針、プロセス、統制を文書化し、リスクに基づいて組み立て、一度入れて終わりではなく維持し改善していくものです。認証は、認証機関が自らの審査を行ったあとに付与します。規格そのものはISOから購入でき、その要求事項こそ、すべての診断が照合する物差しになります。

差距診断が正直に答える問いは1つです。今日、組織はその要求事項をどこまで満たしているのか。既存のもの――文書、実際の運用、技術的な設定――を見直し、違いを指摘事項として記録します。照合先は規格の条項(マネジメントシステムの要求事項は条項4〜10)とAnnex Aの統制セットで、2022年版のAnnex Aにはテーマ別にまとめられた93の参照統制が収められています。

後から混乱を防ぐ、3つの明確化を先に置いておきます。

これは審査ではなく、準備の演習です。 アクレディテーションも、認証の判断も、認証機関の番号付きの正式な不適合もありません。生み出すのは、動く計画です。

スコープは選ぶもので、押しつけられるものではありません。 ISO 27001は組織全体の認証を要求しません。事業単位、拠点、製品ライン、システムの集合をスコープにできる条件は、境界が定義され正当化されていることです。多くの会社は最初に狭くスコープします。診断の費用も認証の費用も半減させるこの決定は、誰かが最初の文書を見る前に片付ける価値があります。

証跡に対して正直です。 文書はこう書いているのに実際の運用は違う、という状態はその通りに記録します。認証審査員が後で、より悪いタイミングで同じ違いを見つけるからです。

診断の進め方

以下は動く診断の6ステップです。表の要点は出力の列です。各ステップが残すべきは印象でなく、保管しておく成果物であるべきです。

表A: ステップ | 行われること | 出力

ステップ	行われること	出力
スコープ設定	ISMSの境界に合意。どの拠点、部門、システム、データを含め、なぜ含めるか。利害関係者とその要求を特定する	正当化を添えたスコープ文書。Stage 1審査でそのまま再利用できる形に
文書レビュー	既存の方針、手順、記録を条項4〜10とAnnex Aに照らして読む。文書が現実を記述しているか、願望を記述しているかを確認	各項目に状態(存在する/一部のみ/不在)と確認した証跡を付けた文書一覧
ヒアリング	プロセスを動かしている人――IT、人事、オペレーション、財務、経営――に聞き、役割をまたいで答えを比べる。2つの部署間の矛盾も指摘事項	プロセスごとのヒアリング記録。文書と実運用の違いを記録
技術チェック	実際の設定をサンプリング。アクセスリスト、ログ、バックアップジョブと復元の証跡、パッチ状況、物理的アクセス。サンプリングであり、ペネトレーションテストではない	統制領域ごとのチェック結果。再検証できるようサンプルと日付を添える
重要度付け	各指摘事項を重要度と工数で採点。重要度はAnnex Aにおける統制の位置ではなく、組織へのリスクに従う	差距レジスタ:条項または統制、現状、指摘、重要度、推奨する責任者
レポートとロードマップ	指摘事項をレポートにまとめ、作業を並べる。まず手軽に直せる項目、構造的な項目、Stage 1審査までに存在しなければならない文書	差距分析レポート、優先順位付きの是正ロードマップ、適用可能性宣言(SoA)草案

方法に関する注記。規格は差距診断の進め方を規定していないため、提供者によって異なります。有用な診断と高価な診断を分けるのは、証跡の規律――認証審査員が再確認できる何かに紐づいた指摘――と、その後に受け継がれるレジスタです。セキュリティ業務をめぐるガバナンスと監査の問いはIT監査とコンサルティングのページで、ISMSの背後にあるインフラを守るより広い文脈はデジタルインフラストラクチャのページで扱っています。

成果物

まともな診断を4つの成果物が定義します。提案書がこの4つすべてを名指ししていなければ、なぜかを尋ねてください。

差距分析レポート。 叙述です。レビューしたスコープ、方法、条項別・統制領域別の指摘、そして取締役が10分で読める要約。レポートは違いを説明するのであり、並べるだけではありません。

差距レジスタ。 作業用のデータベースです。各指摘に条項またはAnnex Aの参照、現状、重要度、優先順位を付けます。このあとプロジェクトが動くのはこのレジスタです。レポートを助言から、責任者のついたバックログへ変換します。

是正ロードマップ。 指摘を計画に並べ替えます。Stage 1審査までに存在しなければならないもの、ISMS初月に属するもの、待てるもの。順序は依存関係に従います。アクセスリストができていないうちは、アクセスレビューを四半期ごとには回せません。

適用可能性宣言(SoA)草案。 すべてのAnnex A統制を列挙し、自社スコープに適用されるか、なぜ適用されるか、どう実装しているかを示す文書です。診断中に用意されるSoA草案は、認証プロジェクト全体で最大の時間削減になります。そうでなければ、締め切りの中、白紙から93件の決定を書くことになるからです。

成果物は文書で届き、買い手のものになります。署名前にサンプルレポートを見せない提供者は、そのレポートについて何かをあなたに伝えています。

診断でないもの

ここを正確にしておくと、後で口論が減ります。

証書ではありません。 ISMSを認証できるのは、ISO/IEC 17021と認証機関自身のアクレディテーションの下で働く、認定された認証機関だけです。診断は助言の仕事であり、その指摘事項は認証機関に対して効力を持ちません。診断の結果が認証を保証するものでもありません。診断に通過しても、審査員が独立に立てた指摘でStage 2審査に落ちる可能性は残ります。

内部監査ではありません。 規格が求める内部監査とマネジメントレビューは、ISMSを運ぶ一部であり、システムの中の義務として後で実施されます。診断は、それらが実施できる地点まで運ぶ仕事です。

セキュリティテストではありません。 設定のサンプリングはその一部ですが、ペネトレーションテストや完全な技術監査は、スコープも深さも違う別のご依頼です。

法的見解ではありません。 ISO 27001とデータ保護法は重なりますが、異なる道具です――下のFAQを参照――。診断もそのレポートも、有資格の法律またはデータ保護の専門家の助言の代わりにはなりません。

認証の約束ではありません。 認証を保証するとの示唆、成功率の提示、独立に判断する認証機関との関係をうたう提示は、売り文句でなく警告サインとして扱うべきです。独立性こそが製品なのです。

認証審査への準備

診断の本当の価値は、その後の認証プロジェクトで表れます。両者はどうつながるのか。

Stage 1(第1段階) は文書とスコープを確認します。ISMSスコープ文書、リスクアセスメントとリスク処理、方針、適用可能性宣言、内部監査の記録、マネジメントレビューの記録。Stage 1の指摘の多くは、不在または陳腐な文書です。まさに診断の文書レビューとSoA草案が生み出すものです。

Stage 2(第2段階) は実装と運用を確認します。統制が文書どおりに機能しているかを、スコープ全体からサンプリングして。診断のヒアリングと技術チェックはこの練習になります。アクセスレビューとインシデント対応についてすでに答えを用意したチームは、審査でも落ち着いて答えるでしょう。

認証後のサーベイランスと再認証 に備え、ロードマップが作るべきは文書の束でなく運用のシステムです。繰り返されるアクセスレビュー、記録されるインシデント、記録される研修、復元・テストされるバックアップ。1回の審査に通ることだけを目的に作ったISMSは、最初のサーベイランスで崩れます。

診断がたいてい浮かび上がる、実務上の準備点。各統制領域を社内の誰が持つか、マネジメントレビューは本当の会議か署名か、内部監査員は自分が監査する対象から独立しているか、審査の間で記録をどう保管するか。初めてこの取り組みをする会社にとって、周辺のITの問い――ログ、アクセス管理、バックアップの規律――はデジタルインフラストラクチャのページで、ベンダーとデータ取扱いの義務はIT外包のページで扱っています。

よくある差距

中小企業で繰り返し現れる指摘を、出やすい順のおおまかな並びで。

資産台帳。 責任者のついたシステム、機器、データの最新一覧がない。ほぼすべての統制は「何が存在するか」を知ることに依存します。だからこれが最初のロードマップ項目になることが多いのです。

リスクアセスメントの方法。 ないか、組織の理屈なしにテンプレートから引き継がれたものか。認証審査員はリスクをどう特定しどう処理したかを尋ね、「コンサルが書いた」は通り抜ける答ではありません。

サプライヤー管理。 会社データに触れるサプライヤーの台帳がない、サプライヤー契約にセキュリティ要求がない、見直しの周期もない。開発パートナーと働く会社にとって、この差距はIT外包のページで扱う契約の問いの真上にあります。

アクセスレビュー。 入社時に付与されたまま一度も見直されないアカウント、アクセスリストに残る退職者、役割を離れた人が持つ管理者権限。紙の上だけのレビューで記録がないものは、指摘の半分です。

インシデント対応。 定義されたプロセスもなく、連絡先一覧もなく、実際に起きたインシデントの記録もない。会社が忘れているインシデントこそ、審査で指摘事項になるものです。

認知度研修。 記録を伴う反復プログラムではなく、オンボーディングの1枚のスライド。規格が問うのは、人々が自分の義務を認識しているかです。日付の入った出席名簿がその問いに答えます。

バックアップのテスト。 設定はされたが一度も復元されていないバックアップ。一度も試されていない復元は未検証の統制です。診断の技術チェックが求めるのは、予定表のスクリーンショットでなく、復元の証跡であることが多いのです。

実施者の選び方

厳密な診断と高価なレビューを分けるのが、この3つの問いです。

独立性。 評価者は認証の判断への利害を持ってはなりません。認証するのは評価者でなく認証機関であり、両方を約束する提供者はサービスではなく利益相反を語っています。また、評価者が後から売る製品を持たないこと――自社のプラットフォームを勧める診断は、指摘事項のついた販売文書です。

方法。 提案書より前に方法を求めてください。スコープをどう合意し、指摘をどう採点し、統制領域ごとにどの証跡を求め、どの成果物が届くのか。事前に文書化された方法こそが、後で指摘を認証審査員に説明可能にするものです。

サンプルレポート。 最良の単一のテストです。マスキングされた差距レジスタとレポートが、受け取るものを正確に示します。指摘が証跡付きで条項に紐づいているか、重要度に理由があるか、ロードマップが順序か単なる希望リストか。

トルコの会社への実務上の補足が2つ。顧客の要件には特定のスキームが明記されることが多いので、評価者がターゲット市場の顧客に馴染みのある規格と認証機関と働くかを確認してください。また、ヒアリングと文書の作業言語を確認してください。指摘はそれを直すチームが使える必要があります。ベンダーRFPチェックリストがこの種の調達を採点する一般的方法を示し、IT監査とコンサルティングのページがより広い助言の文脈を扱っています。

よくある質問

差距診断にはどれだけ時間がかかりますか

スコープ次第です。スコープ設定の前に期間を提示する人は、推測しています。左右する要因は、境界内の拠点・システム・プロセスの数で表すスコープの規模、文書化の状態、ヒアリングすべき人数です。既存の方針のある1部門スコープは、何もないところ始める複数拠点スコープとは別の仕事です。正直な答えは、スコープの打ち合わせのあと、文書で届きます。

売るのにISO 27001は必要ですか

多くは法的要求ではなく顧客要求です。入札、大口顧客、規制業種の買い手が、特にソフトウェアとサービスで認証を求めるようになっています。実務的な答えは自社のパイプラインを見ること。真剣な見込み客が2社尋ねていれば事業の根拠はあり、ゼロなら、その根拠は売上ではなくリスク低減にあります。規格は組織全体の認証を要求しないので、スコープを絞った認証で先に顧客と接する事業部分に応えられます。

適用可能性宣言とは何か

すべてのAnnex A統制を列挙し、自社スコープに適用されるかその理由を述べ、どう実装しているかを記述する文書です。規格が要求し、認証機関がレビューします。審査の圧力下で書くのでなく、統制の決定を一度に文書化させるため、診断の早い段階で用意するのが最も効率的な成果物です。SoA草案は前述の診断成果物4つの1つです。

差距はどう評価しますか

重要度と優先順位で評価します。重要度は規格の中での統制の位置ではなく、組織へのリスクに紐づけます。使える評価は自分自身を説明します。このまま残したら何が起きるのか、何が・誰が晒されるのか、閉じるのに何が必要か。理由のない「高/中/低」だけの評価は後で口論を生み、書かれた理屈を伴う評価は、人が従うロードマップを生みます。

差距診断は監査の代わりになりますか

なりません。内部監査とマネジメントレビューはISMSの中の義務であり、認証審査は認定認証機関に属します。差距診断はその両方の前にあり、両方の役に立ちますが、監査としての立場は持ちません。これが前述の「証書ではない」という線であり、この線を曖昧にうたう提供者には、書面で明確化を求めるべきです。

KVKKやGDPRは対象ですか

部分的に重なりますが、同じものではありません。ISO 27001は情報セキュリティのマネジメントシステム規格で、セキュリティ統制が個人データを保護する範囲でしかデータ保護に触れません。KVKKとGDPRが定めるのは法的な義務――適法性の根拠、データ主体の権限、漏えい通知、移転規則――で、ISMSはそれを支えますが、それだけでは満たしません。多くの会社は成果物を共有しながら両方のプログラムを進め、法的な問いは有資格の専門家が担います。ベンダーとホスティングをめぐるKVKK/GDPRの義務はIT外包のページで扱っています。

出典と規格

規格そのものはISOが発行するISO/IEC 27001(https://www.iso.org)です。診断する要求事項は条項4〜10とAnnex Aの統制セットで、2022年版には93の参照統制が含まれます。認証はISO/IEC 17021の下で働く認定認証機関が実施します。本ページはいかなる種類の認証の主張もしていません。
プロセス、成果物、よくある差距に関する記述は、差距診断全般に通じる実務家の実務(スコープ設定、文書レビュー、ヒアリング、技術サンプリング、重要度付き差距レジスタ、是正ロードマップ、適用可能性宣言草案)に従います。期間、費用、成功率は本ページに記載していません。
認証プロセスに関する記述(Stage 1の文書審査、Stage 2の実装審査、サーベイランス)は、規格が公表する認証フレームワークに従います。最新のルールは選んだ認証機関に確認してください。
WorldwideTradeXがISO 27001の認証または認定を受けているとの主張、認証の保証は、本ページのどこにもありません。データ保護義務は解釈せず名指ししています。適用される制度は有資格の専門家に確認してください。