ISO 27001

ISO 27001（ISMS）とは？～概要と認証取得までのプロセスを解説

情報化社会の進展に伴い、組織の「情報」は、経営のための資産の一つとして認識されるようになりました。 しかし、情報管理が適切に実施されなかった場合、組織のイメージや存続が危ぶまれます。

組織の重要な情報に、脅威および 脅威を誘引する情報管理の脆弱性により発生するリスクは、完全に排除することは、極めて困難です。しかし、重要な情報に リスクが発生した場合、処置が遅れることで、問題はさらに深刻なものになります。

• 脅威：例．漏えい、改ざん、利用停止等
• 脆弱性：例．アクセス制御の設定ミス、鍵の未施錠、ルールの認識不足等
• リスク：脆弱性により、脅威が発生し、情報に及ぼす影響が発生する現実的な可能性のこと

情報に関するリスクの発生は、組織のイメージが失墜する場合もある、深刻な問題です。このようなリスク は、組織の規模、業種、または企業風土に関わらず潜在しています。 組織の外部と接点があり、情報管理の脆弱性を有する組織では、このようなリスクを引起す可能性が高くなります。 

上記のようなリスクから情報資産を保護し、情報資産の価値を高めることを目的として、ISO 27001は開発されました。ISO 27001の概要と認証取得までのプロセスは以下の通りです。

ISO 27001（ISMS）とは

ISO 27001（ISMS）とは、組織の情報セキュリティ管理のための国際規格の一つです。

組織の情報セキュリティを維持するための仕組みとして、情報セキュリティマネジメントシステム（ISMS）がまとめられ、品質マネジメントシステムや環境マネジメントシステムの仕組みと整合性がとられた後、 2005年に「ISO/IEC27001:2005」という国際規格になり、現在はISO/IEC27001:2013が最新規格です。

ISO/IEC 27001:2013について

まず「情報セキュリティ」とは、情報を以下の３つの側面で保護することをいいます。

•機密性 ：例．重要な情報等がアクセス権のない人物によって閲覧されることがないこと。

•完全性： 例．アクセスし、利用する情報が完全であること。また、処理した情報が正確であること。

•可用性 ：例．必要な時に情報にアクセス及び利用できること。

情報セキュリティマネジメントシステム（ISMS）は、組織の情報セキュリティを維持するための仕組みとして、1995年に英国規格BS7799としてまとめられました。この規格は、2002年に品質マネジメントシステムや環境マネジメントシステムの仕組みと整合性がとられた後（BS7799-2:2002）、2005年10月に「ISO/IEC27001:2005」という国際規格になり、現在はISO/IEC27001:2013が最新規格です。

情報は、事業を運営するために必須の資産であり、ツールでもあります。しかし、組織の情報に、脅威および脅威を誘引する情報管理の脆弱性からリスクが発生した場合、顧客情報の漏えいや不正アクセスにより、組織のみならず、株主や顧客、取引先などにも影響を与えてしまいます。組織の一部分だけに頼らず、組織全体で情報セキュリティを維持することは、非常に重要な経営課題です。

「ISO/IEC 27001:2013」の認証を取得することによりこのような経営課題を解決していくことができます。

ISO 27001（ISMS）構築に必要な事項

ISO 27001(ISMS) 認証取得までのプロセス

認証申請をされてから、次のような段階を経て「ISO/IEC 27001:2013」の認証を取得することができます。