前回は、ISMSの基本的な考え方と、それを支えるPDCAサイクルの4段階を確認した。
今回は、ISMSを実際に運用・認証していくうえでの拠りどころとなる2つの規格、「JIS Q 27001」と「JIS Q 27002」を取り上げる。
JISとISO/IEC
JIS（日本産業規格）は、日本国内の産業製品やサービスに関する標準規格である。情報セキュリティマネジメントの分野では、国際規格であるISO/IEC 27001・ISO/IEC 27002の内容を日本語化・整合させる形で、JIS Q 27001・JIS Q 27002として制定されている。そのため、両者は実質的に同じ内容を扱う規格であり、「国際標準にのっとった規格が日本語の規格としても整備されている」という関係にある。
JIS Q 27001：ISMSの要求事項
JIS Q 27001は、組織がISMSを構築・運用するにあたって「満たすべき要求事項」を定めた規格である。ISMS認証（第三者機関による認証取得）を目指す組織は、この規格が定める要求事項を満たしていることを審査される。
JIS Q 27001が定める要求事項には、組織の状況の把握、リーダーシップ（経営陣の関与）、情報セキュリティに関する計画の策定、資源の確保、運用、パフォーマンス評価（内部監査やマネジメントレビュー）、改善といった項目が含まれる。これらは、前回確認したPDCAサイクルの各段階に対応する内容になっている。
また、JIS Q 27001には「附属書A」として、組織が実施すべき情報セキュリティ管理策の一覧が示されている。ただし、附属書A自体は管理策の名称を列挙したものにとどまり、それぞれの管理策を具体的にどう実施すればよいかという詳細な手引きまでは記載されていない。
その詳細を補うのが、次に説明するJIS Q 27002である。
JIS Q 27002：管理策の実践のための規範
JIS Q 27002は、JIS Q 27001の附属書Aに示された情報セキュリティ管理策について、それぞれをどのように実施すればよいかという具体的な手引き（実践規範）を示した規格である。「何をすべきか」を定めるJIS Q 27001に対して、JIS Q 27002は「どのように実施するか」を補足する、という役割分担になっている。
近年の改正では、JIS Q 27002が定める管理策の数や分類の見直しが行われた。改正前は114の管理策が14分類に整理されていたが、改正後は93の管理策が、次の4分類に再整理されている。
- 組織的管理策：情報セキュリティポリシーの策定、委託先管理など、組織運営に関わる管理策
- 人的管理策：雇用時の取り決め、教育・訓練など、人に関わる管理策
- 物理的管理策：入退室管理、設備の保護など、物理的な環境に関わる管理策
- 技術的管理策：アクセス制御、暗号化など、技術的な仕組みに関わる管理策
これまでのシリーズで扱ってきた「人的セキュリティ対策」「物理的セキュリティ対策」「技術的セキュリティ対策」という3分類（第30〜32回）は、この4分類のうち人的・物理的・技術的の3つに相当する。JIS Q 27002では、これに加えて「組織的管理策」が独立した区分として設けられている点に注意したい。
2つの規格の関係性
JIS Q 27001とJIS Q 27002の関係は、次のように整理できる。
- JIS Q 27001：ISMSとして満たすべき要求事項を定める規格。ISMS認証の審査基準となる
- JIS Q 27002：JIS Q 27001の附属書Aに示された管理策について、実施方法の手引きを示す規格。認証の直接的な審査基準ではなく、実施の参考として使われる
つまり、認証を取得するために「満たすべきかどうか」を審査されるのはJIS Q 27001であり、JIS Q 27002はその管理策を「どう実施すればよいか」を考えるための実務的な参考資料という位置づけになる。
試験対策のポイント
- JIS Q 27001は「要求事項（満たすべき基準）」、JIS Q 27002は「実践のための手引き（実施方法の規範）」という役割の違いを明確に区別できるようにしておく
- ISMS認証の審査対象となるのはJIS Q 27001である、という点を押さえておく
- JIS Q 27002の管理策が「組織的・人的・物理的・技術的」の4分類で整理されている点、特に「組織的管理策」が独立した区分である点を押さえておく
- 両規格がISO/IEC規格と整合した国際標準にのっとったものであることを理解しておく
まとめ
今回は、ISMSシリーズの第2回として、要求事項を定めるJIS Q 27001と、管理策の実践規範を示すJIS Q 27002の役割の違いと関係性を確認した。
次回は、これらの規格に基づいて実際に運用される「ISMS認証制度」と、その運用のポイントについて取り上げ、シリーズを締めくくろう。
コメント