ISMS規格改訂でよく出る指摘
2013年10月の発表から約2年の移行期間を経て、2015年10月よりISMSの規格が「ISO/IEC27001:2005(JIS Q 27001:2006)」から「ISO/IEC27001:2013(JIS Q 27001:2014)」にアップデートされました。ここでは改定のポイントや変更後の注意点を整理してみましょう。
改定前と改定後を比較
「ISO/IEC27001:2005(JIS Q 27001:2006)」と「ISO/IEC27001:2013(JIS Q 27001:2014)」の箇条を比較すると次のようになります。
JIS Q 27001:2006
- 0 序文
- 1 適用範囲
- 2 引用規格
- 3 用語及び定義
- 4 組織の状況
- 5 リーダーシップ
- 6 計画
- 7 支援
- 8 運用
- 9 パフォーマンス評価
- 10 改善
- 附属書A(規定)管理目的及び管理策
- 参考文献
JIS Q 27001:2014
- 0 序文
- 1 適用範囲
- 2 引用規格
- 3 用語及び定義
- 4 情報セキュリティマネジメントシステム
- 5 経営陣の責任
- 6 ISMS内部審査
- 7 ISMSのマネジメントレビュー
- 8 ISMSの改善
- 附属書A(規定)管理目的及び管理策
- 附属書B(参考)OECD原則及びこの規格
- 附属書C(参考)規格の比較
- 参考文献
改定のポイント
MSSの適用
JIS Q 27001:2014では、ISOマネジメントシステム規格が増加したことにより、マネジメントシステム規格(MSS)間の整合化が求められたことから、新たな規格が提案され、改定後はすべてのMSSにその提案を適用することになりました。
そのうえで、ISMSに固有の要求事項が新たに規定されています。組織のISMS体制の内容そのものを大きく変える必要はありませんが、「附属書SL(規定)」に規定されているMSS共通要素を確認し、文書内に記載している企画内容がこれと適合するよう、見直しが必要とされます。
適用範囲
JIS Q 27001:2014のISMSの適応範囲の決定事項では、「その境界及び適用可能性を決定し、適応範囲を決定するとき、外部及び外部の課題、利害関係者のニーズ及び要求事項、インターフェース及び依存関係を考慮しなければならない」としています。
これによって改定後は、これまでよりも広く、組織外部のさまざまな要因を検討したうえで、ISMSの適用範囲及び境界を定めることが求められるようになりました。
より広い視点での情報リスク対応
変更点の多くは外部・内部のより広い視点でのリスク管理が求められる内容となっているとともに、組織幹部による経営的な視点での見直しを求める内容になっています。
ISMS認証コンサル
ISMS認証コンサルを選ぶ際、選ぶポイントは大きく「費用」「対応業種」の2つに分かれます。無駄なコストをかけないためにも、自社の目的に応じたISMSを得意とするコンサルティング会社を選ぶようにしましょう。ここでは2024年1月24日に「ISMS認証コンサル」で検索し表示されたコンサルティング会社のうち、ISMS認証取得のコンサルティングを主業務とする企業の中から、ISMS(ISO27001)の審査通過率が100%で、支援実績数が1,000件以上(調査時点)ある2社をご紹介します。
で選ぶなら

- 業界最安値※13.3万円/月
- 実働不要フルアウトソーシング
- 取得後も負担がない運⽤サポート
で選ぶなら

- 幅広い業種への対応実績
- 企業実態に合わせたISO取得
- 顧客の工数を約80%カット
ISOサポート | ISOプロ | |
---|---|---|
費用 | 月額3.3万円 (税込) |
月額4.4万円 (税込) |
期間 | 通常6か月 | 通常6~7か月 |
支援実績 | 1,450社 | 1,500件超 |
継続率 | 97% | 90.8% |
【選定基準】
※2024年1月24時点、Google検索において「ISMS認証コンサル」と検索して検索結果100位までに表示された企業のうち、ISMS(ISO27001)認証取得コンサルティング業務を行っている会社の中から、ISMS(ISO27001)の審査通過率が100%で、今回の調査時点で支援実績数が1,000以上であることが記載されている企業。