プライバシーマーク・ISMSナビ

プライバシーザムライが、プライバシーマーク/個人情報保護、ISMS/情報セキュリティの最新情報をお届けします。

タグ:2022

ISO27001:2022
(画像はISO27001:2022の表紙です)

皆さんこんにちは。
プライバシーザムライ中康二です。

ISMS認証の審査基準となっているISO27001が改訂され、「ISO27001:2022」として、10月25日に正式発表されました(まだ英語版だけです)。本記事では、これに関する最新情報をまとめて、皆様にお知らせします。

なお、正式名称は
------------------------------------------------------------
ISO/IEC 27001:2022
情報セキュリティ,サイバーセキュリティ,プライバシー保護−情報セキュリティマネジメントシステム−要求事項
Information security, cybersecurity and privacy protection - Information security management systems - Requirements
------------------------------------------------------------
となりました。今回から、「情報セキュリティ」「サイバーセキュリティ」「プライバシー保護」が目指すものの3本柱となるようです。

(1)今回の改訂は、附属書Aの全面書き換えです。

今回の改訂は、最近の動向を反映させて、附属書Aを全面的に書き換えることを目的として行われたようです。

管理策(セキュリティ対策の項目)が、「組織的」「人的」「物理的」「技術的」の4つに再構成されました。

また、それぞれの管理策も似たような内容のものが集約/統合され、「クラウドサービス」「データマスキング(匿名化/仮名化)」「ウェブフィルタリング」「セキュアコーディング」など、最新の情報セキュリティの動向や各国の個人情報保護法制などを反映したものが新たに追加されました。

結果として管理策の総数は114個から93個に減少しました。

(2)規格本文はほとんど変わりません。

まだよく精査できていませんが、ISO27001の規格本文はほとんど変更なしです。

というのも、現在のISO27001は、ISO9001(品質)やISO14001(環境)など、同様のマネジメントシステム規格と共通の構造をもつ「共通テキスト」が採用されているため、ISO27001単独で変更できなくなっているからです。

(3)猶予期間は3年間あります。急いで対応する必要はありません。
ISMS審査移行計画
(画像はISMS-ACの公式Webサイトより)

移行計画について、日本のISMS認証制度を運用しているISMS-ACから正式発表されました。

新しいISO27001:2022に基づく審査は、認証取得審査/移行審査の双方について、正式発表された10月25日から(制度上は)開始されているとのことです。

そして、古いISO27001:2013に基づく認証取得審査は10月25日の月末を起点として1年間続けられるとのことです(2023年10月31日が最後)。

認証取得済みの組織に対しては、3年間の移行期間が設けられ、10月25日の月末を起点として3年間のうちに移行審査を受ける必要があるとのことです(2025年10月31日が最後)。

日本語版(JIS Q 27001:2022?)が出てないじゃないかと思われると思いますが、ISMSの審査基準は正式には英語版のISO27001なので、そういうもののようです。

ISO/IEC 27001:2022(日本での販売サイト)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=ISO%2FIEC+27001%3A2022
(対訳版は11月中に出るそうです)

ISMS-ACによる移行計画の説明
https://isms.jp/topics/news/20221025.html

(私のコメント)
結論として、今回は、附属書Aが全面改訂されましたので、適用宣言書も全面改訂が必須になりますが、御社の情報セキュリティ規程を全面的に書き換えなければならないという性格の改訂ではありません。また、急いで新規格に対応しないと、自社が情報セキュリティに関してやるべきことをやっていないと指摘されるというような性格のものではありません。ご安心ください。

ですから、すでにISMS取得済みの組織の方は、次回審査で対応しなくても、一回見送ってその次の審査で対応しても問題なさそうです。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

(追記)2022年10月25日にISO27001:2022が正式発表されました。
最新情報は下記をご参照ください。
https://www.pmarknews.info/isms/52164620.html

ISO27001:2022附属書A予想版
(画像はISO27001:附属書A予想版より)

皆さんこんにちは。
プライバシーザムライ中康二です。

ISMS認証の審査基準となっているISO27001の改訂作業が進んでおり、まもなくISO27001:2022年版として(10月にも)正式に発表される予定となっております。このことについて、皆様に情報をまとめてお知らせしたいと思います。

(1)改訂されるのは、ほぼ附属書Aのみです。

今回の改訂は、附属書AのもとになっているISO27002の改訂に基づくもので、ISO27002:2022は既に2月に正式発表されたものです。この改訂に合わせて、ISO27001の附属書Aが改訂されるということです。ですから、改訂されるのはほぼ附属書Aのみであり、既にほとんど内容は確定しています。

なお、規格本文は、ISO9001などと同じフォーマットになっており、勝手に変更することもできないようで、わずかな修正となるようです。

(2)附属書Aの管理策が「組織的」「人的」「物理的」「技術的」の区分に再構成されます。

詳細は、ISO27001:附属書A(予想版)を見ていただきたいのですが、今回の改訂では、附属書Aの管理策(セキュリティ対策の項目)が、おなじみの「組織的」「人的」「物理的」「技術的」の区分に再構成され、大変分かりやすく整理されました。

内容的には、前回の改訂時には盛り込まれていなかった「クラウドサービス」という言葉が盛り込まれたり、各国の個人情報保護法制に対応するべく「データマスキング(匿名化/仮名化)」という概念を含めたり、また「テレワーク」が「リモートワーク」になるなど、現在の情報セキュリティを取り巻く変化に対応するものとなっています。

また、以前からある管理策も、似たような内容のものは統合/集約されており、最終的に管理策の総数は114個から93個に減少しました。

(3)猶予期間は3年間あります。急いで対応する必要はありません。

ISO27001:2022の正式発表は、10月になる見込みで、(ISMSの前例に基づくと)理論上はその日から対応した審査が開始されることになると思われます。

いや、日本語版(JIS Q 27001:2022?)が出てないじゃないかと思われると思いますが、ISMSの審査基準は正式には英語版のISO27001なので、そういうもののようです。

ただし、猶予期間が3年間設定されることになりそうです。つまり、2022年10月に新規格が出たとして、2025年10月の審査までに対応できればいいということになります。

また、今回は、附属書Aが改訂されるということですから、適用宣言書の全面改訂が必須になりますが、御社の情報セキュリティ規程を全面的に書き換えなければならないという性格の改訂ではありません。また、急いで新規格に対応しないと、自社が情報セキュリティに関してやるべきことをやっていないと指摘されるというような性格のものではありません。ご安心ください。

ISO/IEC 27002:2022
https://www.iso.org/standard/75652.html

ISO/IEC 27002:2022(日本での販売サイト)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=ISO%2FIEC+27002%3A2022

(私のコメント)
最後にも書きましたが、すでにISMS取得済みの事業者の方は、次回審査で対応しなくても、一回見送ってその次の審査で対応しても問題なさそうです。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

↑このページのトップヘ