プライバシーマーク・ISMSナビ

プライバシーザムライが、プライバシーマーク/個人情報保護、ISMS/情報セキュリティの最新情報をお届けします。

タグ:ISMS

ISO27001:2022
(画像はISO27001:2022の表紙です)

皆さんこんにちは。
プライバシーザムライ中康二です。

ISMS認証の審査基準となっているISO27001が改訂され、「ISO27001:2022」として、10月25日に正式発表されました(まだ英語版だけです)。本記事では、これに関する最新情報をまとめて、皆様にお知らせします。

なお、正式名称は
------------------------------------------------------------
ISO/IEC 27001:2022
情報セキュリティ,サイバーセキュリティ,プライバシー保護−情報セキュリティマネジメントシステム−要求事項
Information security, cybersecurity and privacy protection - Information security management systems - Requirements
------------------------------------------------------------
となりました。今回から、「情報セキュリティ」「サイバーセキュリティ」「プライバシー保護」が目指すものの3本柱となるようです。

(1)今回の改訂は、附属書Aの全面書き換えです。

今回の改訂は、最近の動向を反映させて、附属書Aを全面的に書き換えることを目的として行われたようです。

管理策(セキュリティ対策の項目)が、「組織的」「人的」「物理的」「技術的」の4つに再構成されました。

また、それぞれの管理策も似たような内容のものが集約/統合され、「クラウドサービス」「データマスキング(匿名化/仮名化)」「ウェブフィルタリング」「セキュアコーディング」など、最新の情報セキュリティの動向や各国の個人情報保護法制などを反映したものが新たに追加されました。

結果として管理策の総数は114個から93個に減少しました。

(2)規格本文はほとんど変わりません。

まだよく精査できていませんが、ISO27001の規格本文はほとんど変更なしです。

というのも、現在のISO27001は、ISO9001(品質)やISO14001(環境)など、同様のマネジメントシステム規格と共通の構造をもつ「共通テキスト」が採用されているため、ISO27001単独で変更できなくなっているからです。

(3)猶予期間は3年間あります。急いで対応する必要はありません。
ISMS審査移行計画
(画像はISMS-ACの公式Webサイトより)

移行計画について、日本のISMS認証制度を運用しているISMS-ACから正式発表されました。

新しいISO27001:2022に基づく審査は、認証取得審査/移行審査の双方について、正式発表された10月25日から(制度上は)開始されているとのことです。

そして、古いISO27001:2013に基づく認証取得審査は10月25日の月末を起点として1年間続けられるとのことです(2023年10月31日が最後)。

認証取得済みの組織に対しては、3年間の移行期間が設けられ、10月25日の月末を起点として3年間のうちに移行審査を受ける必要があるとのことです(2025年10月31日が最後)。

日本語版(JIS Q 27001:2022?)が出てないじゃないかと思われると思いますが、ISMSの審査基準は正式には英語版のISO27001なので、そういうもののようです。

ISO/IEC 27001:2022(日本での販売サイト)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=ISO%2FIEC+27001%3A2022
(対訳版は11月中に出るそうです)

ISMS-ACによる移行計画の説明
https://isms.jp/topics/news/20221025.html

(私のコメント)
結論として、今回は、附属書Aが全面改訂されましたので、適用宣言書も全面改訂が必須になりますが、御社の情報セキュリティ規程を全面的に書き換えなければならないという性格の改訂ではありません。また、急いで新規格に対応しないと、自社が情報セキュリティに関してやるべきことをやっていないと指摘されるというような性格のものではありません。ご安心ください。

ですから、すでにISMS取得済みの組織の方は、次回審査で対応しなくても、一回見送ってその次の審査で対応しても問題なさそうです。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

10月18日セミナー
ISMS担当者勉強会に参加する
皆さんこんにちは。
プライバシーザムライ中康二です。
(オプティマ・ソリューションズ株式会社・代表取締役)

先日も本Blogでご案内いたしましたが、ISMS認証の審査基準となっているISO27001の改訂作業が進んでおり、まもなくISO27001:2022年版として(10月にも)正式に発表される予定となっております。

今回の改訂ポイントは下記の3点です。
(1)改訂されるのは、ほぼ附属書Aのみ
(2)附属書Aの管理策が「組織的」「人的」「物理的」「技術的」に再構成
(3)猶予期間は3年間

そこで、これに関するISMS担当者勉強会を、
10月18日(火)に新橋で開催したいと思います。

久しぶりのリアル開催です。
もちろん感染対策には十分に配慮して開催いたします。
(恐縮ですが有償セミナーとさせていただきます。
 当社サービスをご契約いただいているお客様は無償ご招待)

講師は、私プライバシーザムライと、当社コンサルタントの小田が担当します。

セミナー終了後には皆さんとフリーにやり取りできる「質疑応答+ネットワーキングタイム」を設定しております。講師にご質問いただくこともできますし、皆さん同士でも意見交換していただければと思います。

この機会に横でつながっていただき、孤独を解消!
自信を持って個人情報を取り扱っていただきたいと思います。

また、セミナーご説明資料だけではなく、新旧対応表/新しい適用宣言書など、他では入手できない資料も配布します。

ISMS担当者の皆様、どうぞご参加くださいませ!

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
講師紹介
プライバシーザムライ 中康二
プライバシーザムライ 中康二(なか こうじ)
オプティマ・ソリューションズ株式会社・代表取締役
ソニー出身
プライバシーマークとISMSの専門家
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

タイトル:「ISO27001:2022年版対応セミナー」(ISMS担当者勉強会)

日時:2022年10月18日(火)
  14:20〜16:30 第一部 セミナー
  16:30〜17:30 第二部 質疑応答&ネットワーキングタイム
場所:TKP新橋カンファレンスセンター
  東京都千代田区内幸町1丁目3-1 幸ビルディング
内容:ISMSの審査基準であるISO27001:2022年版対応を解説します。
講師:プライバシーザムライ 中 康二・コンサルタント小田一茂
参加対象者:
 ISMS取得事業者の役員、担当者の方
 または上記の認証取得を検討中の役員、担当者の方
参加費:一社10,000円(1社2名様まで)
※当社サービスをご契約いただいているお客様は無償でご招待させていただきます。

※お申込みいただいた方にお振込み先をお知らせいたします。

主催:オプティマ・ソリューションズ株式会社

※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。

参加される方は下記のボタンから登録してください。
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
ISMS担当者勉強会に参加する

皆さんと会場でお会いできるのを楽しみにしております!
プライバシーザムライ 中康二

(追記)2022年10月25日にISO27001:2022が正式発表されました。
最新情報は下記をご参照ください。
https://www.pmarknews.info/isms/52164620.html

ISO27001:2022附属書A予想版
(画像はISO27001:附属書A予想版より)

皆さんこんにちは。
プライバシーザムライ中康二です。

ISMS認証の審査基準となっているISO27001の改訂作業が進んでおり、まもなくISO27001:2022年版として(10月にも)正式に発表される予定となっております。このことについて、皆様に情報をまとめてお知らせしたいと思います。

(1)改訂されるのは、ほぼ附属書Aのみです。

今回の改訂は、附属書AのもとになっているISO27002の改訂に基づくもので、ISO27002:2022は既に2月に正式発表されたものです。この改訂に合わせて、ISO27001の附属書Aが改訂されるということです。ですから、改訂されるのはほぼ附属書Aのみであり、既にほとんど内容は確定しています。

なお、規格本文は、ISO9001などと同じフォーマットになっており、勝手に変更することもできないようで、わずかな修正となるようです。

(2)附属書Aの管理策が「組織的」「人的」「物理的」「技術的」の区分に再構成されます。

詳細は、ISO27001:附属書A(予想版)を見ていただきたいのですが、今回の改訂では、附属書Aの管理策(セキュリティ対策の項目)が、おなじみの「組織的」「人的」「物理的」「技術的」の区分に再構成され、大変分かりやすく整理されました。

内容的には、前回の改訂時には盛り込まれていなかった「クラウドサービス」という言葉が盛り込まれたり、各国の個人情報保護法制に対応するべく「データマスキング(匿名化/仮名化)」という概念を含めたり、また「テレワーク」が「リモートワーク」になるなど、現在の情報セキュリティを取り巻く変化に対応するものとなっています。

また、以前からある管理策も、似たような内容のものは統合/集約されており、最終的に管理策の総数は114個から93個に減少しました。

(3)猶予期間は3年間あります。急いで対応する必要はありません。

ISO27001:2022の正式発表は、10月になる見込みで、(ISMSの前例に基づくと)理論上はその日から対応した審査が開始されることになると思われます。

いや、日本語版(JIS Q 27001:2022?)が出てないじゃないかと思われると思いますが、ISMSの審査基準は正式には英語版のISO27001なので、そういうもののようです。

ただし、猶予期間が3年間設定されることになりそうです。つまり、2022年10月に新規格が出たとして、2025年10月の審査までに対応できればいいということになります。

また、今回は、附属書Aが改訂されるということですから、適用宣言書の全面改訂が必須になりますが、御社の情報セキュリティ規程を全面的に書き換えなければならないという性格の改訂ではありません。また、急いで新規格に対応しないと、自社が情報セキュリティに関してやるべきことをやっていないと指摘されるというような性格のものではありません。ご安心ください。

ISO/IEC 27002:2022
https://www.iso.org/standard/75652.html

ISO/IEC 27002:2022(日本での販売サイト)
https://webdesk.jsa.or.jp/books/W11M0090/index/?bunsyo_id=ISO%2FIEC+27002%3A2022

(私のコメント)
最後にも書きましたが、すでにISMS取得済みの事業者の方は、次回審査で対応しなくても、一回見送ってその次の審査で対応しても問題なさそうです。

この情報が皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

押印欄

皆さんこんにちは。
プライバシーザムライ中康二です。

リモートワークの活用が広がるにつれて、
プライバシーマークやISMSの運用記録についても、
紙を原本とするのではなく、電子ファイルを原本として
そのまま運用したいとお考えの方が多いと思います。

しかし、実際にはどのようにすればいのでしょうか?
担当者印、承認印などの「押印欄」はどうするべきなのでしょうか?
このあたり、お悩みの方が多いと思いますので、今回は当社で実践し、
お客様にもオススメしている簡便な方法をご紹介したいと思います。

答えとしては、下記のようになります。
(1)エクセルやワードなど、記録を作成するのに使用するファイル
そのものを原本とする。(別途PDFを作成したりしない)
(2)押印欄をそのまま残し、そこに氏名と日付を入力することで押印に代える。

※そうすると、上記のタイトル画像のようになります。

え?それだけでいいの?とお感じの方もおられると思いますが、
プライバシーマークやISMSの審査において、
この方法では不足すると指摘を受けたことは私の知る限りありません。
(もちろん審査員が何を言うかは分かりませんから保証はできませんけどね)

この方式の場合、押印の場合と異なり、
代理で入力することも容易になりますから、
確かに運用が形骸化するという危険性はあります。

しかし、PMS/ISMS文書は、やはり会社の公式文書ですから、
野放図な運用は許されません。
しっかりとその人にキーボード操作していただいて、
名前と日付を入力していただくことを徹底していただきたいと思います。

この情報が皆様にとって何かの参考になればと思います。

また、役立つ情報があれば、皆様にシェアいたしますね。


皆さんこんにちは。
プライバシーザムライ中康二です。
(オプティマ・ソリューションズ株式会社・代表取締役)

全国のISMS担当者の皆さま、お待たせいたしました!

昨年11月に初開催し、ご好評いただいた「ISMS担当者勉強会」の第二回目を7月30日にリモート開催することにいたしました。(パチパチ)

※第一回目の様子はこちらをご覧ください。
http://www.pmarknews.info/isms/52112824.html

今回のタイトルは
「セキュリティ博士が語る・ISMSの運用が楽になる
情報資産洗出しとリスクアセスメントの手法とは?」
です。

講師は前回に引き続き、当社の「セキュリティ博士・大塚晃司」が担当いたします。
DSC_3045

「本気のISMS」を実現するためには
・本質的に意味がある情報資産の洗い出し
が重要ですし、さらに
・セキュリティ水準アップにつながるリスクアセスメント
が必要なことは言うまでもありません。

ISMS担当者の皆さまがまさに知りたいこのポイントについて、
今回の勉強会でセキュリティ博士が切り込みます。
どうぞご期待ください。

また、一方的にお聞きいただくだけでなく、
セミナーの途中で皆さん同士で意見交換をしていただく
ブレークアウトセッションも予定しております。
ISMSの実務担当者様同士で、ぜひ懇親を深めていただきたいと思います。

リモート開催ですので、全国どこからでもお気軽にご参加いただけます。
もちろん、第一回目に参加していなくても全く問題ございません。
皆様、どうぞお越しください。

------------------------------------------------------------
講師プロフィール
セキュリティ博士・大塚晃司
セキュリティ博士(ISMSコンサルタント・大塚晃司)
会計事務所にてコンサルティング業務に従事していた際に、「同じコンサルでもこれからはセキュリティの時代だろう!と一念発起。情報セキュリティ業界に転身。その後、数多くのお客様でのSMS取得を支援しており、分かりやすい説明には定評があります。
------------------------------------------------------------

タイトル:第二回ISMS担当者勉強会「セキュリティ博士が語る・ISMSの運用が楽になる情報資産洗出しとリスクアセスメントの手法とは?」
日時:2020年7月30日(木)16時から18時まで
講師:セキュリティ博士(ISMSコンサルタント・大塚晃司)
参加対象者:ISMS・プライバシーマーク認定事業者の役員、担当者の方
(これからの取得をご検討中の方、プライバシーマーク担当者も歓迎します)
参加費:無料(1社2名様まで)
場所:リモート開催(Zoomを使用します)

主催:オプティマ・ソリューションズ株式会社
※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。


参加される方は下記のボタンから登録してください。
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
btn_semlp2

もちろん私も参加します。
皆さんとお会いできるのを楽しみにしております!
23316524_1720897361264095_2559799525389876630_n
プライバシーザムライ 中康二

プライバシーザムライ
皆さんこんにちは。
プライバシーザムライ中康二です。
(オプティマ・ソリューションズ株式会社・代表取締役)

新型コロナ対策としての在宅勤務が急速に広がっていると思いますが、
そこで気になるのが情報セキュリティ対策ですね。

先日「在宅勤務を行うための情報セキュリティ規程」を無料提供させて
いただいたところ、たくさんの方々にお申し込みをいただくと同時に、
現状の課題や問題点などのお声もたくさん寄せられました。

※「在宅勤務を行うための情報セキュリティ規程」お申し込みはこちら
https://www.optima-solutions.co.jp/archives/16637

そこで、今の新型コロナ対策のために、急遽、在宅勤務を始めることになった
プライバシーマークとISMSの担当者様にオンラインでお集まりいただき、

(1)現状の課題や問題点を整理し、少しでも解決策を見出し
(2)相互に意見交換をしていただき、助け合っていただきたい

という思いに至り、「在宅勤務に関するPマーク/ISMS担当者勉強会」緊急開催することに決定いたしました!

セミナー
(セミナーで知識を得る ※内容はイメージです)

ブレークアウトセッション
(ブレークアウトセッションで意見交換する ※今回は皆さんの側もカメラ/マイク利用で行きます!)

私プライバシーザムライが解説することはもちろん、Pマーク/ISMS担当者様様同士でブレークアウトセッションをする時間も設けたいと思います。気軽に話していく中で、現状に対する改善策も生まれてくると思います。

問題を改善しより良い在宅勤務を実現していきましょう!
皆様、どうぞお気軽にご参加ください。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
講師紹介

プライバシーザムライ 中康二
プライバシーザムライ 中康二
オプティマ・ソリューションズ株式会社・代表取締役
ソニー出身
プライバシーマークとISMSの専門家


タイトル:「在宅勤務に関するPマーク/ISMS担当者勉強会」
講師:プライバシーザムライ 中康二
参加対象者:プライバシーマーク・ISMS取得事業者の役員、担当者の方
参加費:無料(1社2名様まで)

日時:2020年5月14日(木)16時から18時まで
場所:リモート開催(Zoomを利用します)
主催:オプティマ・ソリューションズ株式会社

※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。

参加される方は下記のボタンから登録してください。
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
btn_semlp2


皆さんとオンラインにてお会いできるのを楽しみにしております!
プライバシーザムライ 中康二

セキュリティ博士登場!
皆さんこんにちは。
プライバシーザムライ中康二です。
(オプティマ・ソリューションズ株式会社・代表取締役)

当社では5年ほど前から、不定期に「プライバシーマーク担当者勉強会」を開催し、多くのプライバシーマーク担当者の皆様にお集まりいただいております。そこでいただいた声が「ISMSでも同様の勉強会をやってほしい」というものでした。

そこで!ついに初めての試みとして、ISMS担当者勉強会を開催いたします!!!(パチパチ)

タイトルはなんと「セキュリティ博士が語る・ISMS運用のコツ」です。

今回の講師は私ではなく、当社のニューキャラ「セキュリティ博士」が担当いたします。

・ISMS審査前に準備しておくべき6つのポイント
・最新のリスクアセスメントのやり方

などなど、ISMS担当者の皆様の気になる内容をお話しさせていただきます。

なお、単にお聞きいただいて帰っていただくだけではなく、セミナーの途中で皆さん同士で意見交換をしていただくグループワークや、セミナー終了後にはネットワーキングタイムも予定しております。

ISMSの実務担当者様同士でぜひ意見交換していただきたいですし、個別の質問にも講師や弊社スタッフが多少はお答えできると思います。

セミナー
(セミナー)

グループワーク
(グループワーク)

ネットワーキングタイム
(ネットワーキングタイム)

集合写真
(集合写真)

皆様、どうぞお越しください。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
講師プロフィール
セキュリティ博士(ISMSコンサルタント・大塚晃司)
otsuka
会計事務所にてコンサルティング業務に従事していた際に、「同じコンサルでもこれからはセキュリティの時代だろう!と一念発起。情報セキュリティ業界に転身。その後、数多くのお客様でのSMS取得を支援しており、分かりやすい説明には定評があります。


タイトル:第一回ISMS担当者勉強会「セキュリティ博士が語る・ISMS運用のコツ」
日時:2019年11月20日(水)16時から19時まで
 (ネットワーキングタイム含む)
講師:セキュリティ博士(ISMSコンサルタント・大塚晃司)
参加対象者:ISMS・プライバシーマーク認定事業者の役員、担当者の方
(これからの取得をご検討中の方、プライバシーマーク担当者も歓迎します)
参加費:無料(1社2名様まで)
場所:TKP新橋カンファレンスセンター
 東京都千代田区内幸町1-3-1 幸ビルディング 11F
・都営三田線 内幸町駅 A5出口 徒歩0分
・各線 新橋駅 徒歩5分
 https://www.kashikaigishitsu.net/facilitys/cc-shimbashi-uchisaiwaicho/access/


主催:オプティマ・ソリューションズ株式会社
※恐縮ですが、弊社と同業になるコンサルタントの方は参加ご遠慮ください。

参加される方は下記のボタンから登録してください。
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
      ↓↓↓↓↓↓↓↓↓↓↓↓↓
btn_semlp2

もちろん私も参加します。
皆さんとお会いできるのを楽しみにしております!
23316524_1720897361264095_2559799525389876630_n
プライバシーザムライ 中康二

↑このページのトップヘ