ISO/IEC 27001は、ISMSの要求事項を定めた国際規格で、認定を受けた認証機関の審査に合格すると認証を取得できます。Drataでは、ISO 27001の箇条4〜10の要求事項と附属書Aの管理策が要求事項として用意され、DCFのコントロールにあらかじめマッピングされています。このページでは、DrataでISO 27001の認証取得を進める手順として、ISMSの範囲の決め方、適用宣言書の作り方、附属書Aの管理策とコントロールの対応、第1段階と第2段階の審査への備えを説明します。
対象の版
Drataには、ISO 27001:2013とISO 27001:2022の2つのフレームワークがあります。これから取り組む場合は、2022年版を使います。2013年版から2022年版への移行期間は2025年10月30日に終わり、2013年版の認証は失効または取り消されています。
2022年版での主な変更は、附属書Aの見直しです。2013年版では14の分野に114の管理策がありましたが、2022年版では4つの分野に93の管理策になりました。このほか、箇条6.3（変更の計画）が加わり、箇条9.2と9.3が細かい項目に分かれています。
Drataでは、2022年版は2013年版とは別のフレームワークとして扱われます。2013年版に結び付いたDCFのコントロールとポリシーは、2022年版にもそのまま反映されます。2022年版に合わせて、新しい箇条6.3と、附属書Aに新しく加わった11の管理策に対応するDCFのコントロールが追加されています。2013年版の要素は全て2022年版に含まれているため、2013年版で進めた作業は2022年版でも生かせます。
Drataで進める順序
ヘルプセンターでは、ISO 27001の1年目の認証に向けて、次の順に進めることを勧めています。
| 順序 | 作業 | 内容 |
|---|---|---|
| 1 | ポリシーの管理 | ISO 27001:2022に必要なポリシーを、GovernanceのPoliciesで作成、確認、承認する。ISMS計画（Information Security Management System (ISMS) Plan）もここにある |
| 2 | モニタリングテスト | モニタリングテストの完了率100％を目指す |
| 3 | 自動で確かめられないコントロールの証跡 | モニタリングで自動で確かめられないコントロールに、証跡を登録する |
| 4 | 要員の招待 | 要員をDrataに招待し、ポリシーへの同意や研修を進める |
| 5 | ISMS計画の記入 | 箇条4〜10の各節と、適用宣言書を記入する |
| 6 | ISMSのチームの任命 | セキュリティーのエンジニア、コンプライアンスの担当者、経営層などでチームを作り、役割と、ISMSの範囲、計画、責任を共有する |
| 7 | ISMSの構築 | ISMSの範囲を決め、作業、日程、担当を示す計画を作る |
| 8 | リスクアセスメントとリスク対応 | 情報資産、システム、サービスのリスクを洗い出し、評価して順位を付け、対応の計画を決める |
| 9 | 適用宣言書の完成 | 附属書Aの93の管理策を検討し、含めるか除外するかと、その理由を書く |
| 10 | 内部監査 | 内部監査を行い、報告書をDCF-165の証跡として登録する |
| 11 | マネージメントレビュー | 内部監査の結果を経営層が正式に確認し、不適合には是正処置の計画を立てる。記録をDCF-164の証跡として登録する |
| 12 | 認証機関の選定と日程の決定 | 認定を受けた認証機関と契約し、第1段階審査と第2段階審査の日程を決める |
| 13 | 第1段階審査 | 文書、範囲、準備状況の審査を受け、指摘された点を直す |
| 14 | 第2段階審査 | ISMSの実施とコントロールの有効性の審査を受け、不適合と改善の機会への対応を決める |
ISMS計画は、要員の確認や同意を必要としない管理用の文書です。ヘルプセンターには、記入済みのISMS計画の例として「ISO 27001:2022 Example ISMS Plan」が公開されています。ポリシーの扱いは、ポリシー管理の全体像で説明します。
ISMSの範囲の決め方
ISMSの範囲は、組織が自ら決めます。審査員は範囲が適切かどうかを確かめますが、範囲を決めはしません。決めた範囲は認証書に明記されるため、何を含め、何を除くかを、はっきり書く必要があります。
ヘルプセンターのISMS計画の例では、組織の内外の課題、法令、規制、契約上の要求、利害関係者の期待などを考慮したうえで、範囲を次の分類で書きます。
| 分類 | 書く内容 | 例 |
|---|---|---|
| 適用する規格 | 範囲に含める規格 | ISO/IEC 27001:2022、ISO/IEC 27017:2015、ISO/IEC 27018:2019のうち当てはまるもの |
| 組織の単位、部署 | 範囲に含める部署 | 製品、エンジニアリング、セキュリティー、IT、人事 |
| システム、アプリケーション、基盤 | 範囲に含めるシステム | クラウド基盤、ソースコードの管理、IDプロバイダー、業務のツール |
| 業務の流れ、製品、サービス | 範囲に含める製品やサービス | ウェブアプリケーション、モバイルアプリケーション、提供しているサービス |
| 拠点 | 範囲に含める拠点と所在地 | 本社。全員がリモートで働いていて、範囲に含める拠点がない場合はその旨を書く |
| ほかの組織との接点と依存関係 | 外部の組織が担う活動との接点 | 継続的なコントロールの監視に使うクラウドのサービス、ISMSの導入を支援する事業者 |
| 除外 | 範囲から明示的に除くもの | 顧客のデータを扱わず、ISMSに関係する活動に関わらない部署。重要な資産のない共用のオフィス |
除外する部署、業務、システム、拠点は、個々に挙げて理由を添えます。2013年版から2022年版に移行する場合は、差分の確認（ギャップアセスメント）を行い、変わった管理策と要求事項を洗い出してから範囲と計画を見直します。範囲の決め方の全体の考え方は、フレームワークと適用範囲の決め方で説明しています。
適用宣言書の作り方
適用宣言書は、リスクアセスメントとリスク対応の結果と、ISMSでの管理策の実施を結び付ける文書です。適用宣言書は認証機関に提出する必要があり、次の条件を満たす必要があります。
- 附属書Aの93の管理策を全て挙げる
- 管理策ごとに、適用するかしないかを明記する
- 除外する管理策には、その理由を書く
- 適用する管理策には、実施の状況を書く
適用宣言書は、ISMS計画の付録に含めても、独立した文書として管理しても構いません。独立した文書にする場合は、DrataのEvidenceページに登録しておくこともできます。改訂したときは、改訂の履歴を残します。
ヘルプセンターのISMS計画の例では、適用宣言書について次の考え方を示しています。
| 観点 | 考え方 |
|---|---|
| 適用する理由 | 適用宣言書に含める管理策は、リスクアセスメントで必要と判断したものに限る。適用する理由は、「リスクアセスメントで、1つ以上のリスクを許容できる水準まで下げるために必要と判断した」と全ての管理策で共通にしていい |
| 除外する理由 | 曖昧な表現を避け、自社の環境に結び付けた、リスクに基づく具体的な理由を書く |
| 附属書A以外の管理策 | 附属書Aの管理策は網羅的なものではなく、必要に応じてほかのフレームワークの管理策や独自の管理策を加えられる |
| 実施の状況 | 適用する管理策ごとに実施の状況を書き、裏付けとなるポリシーや手順を示す |
【注意】 内部監査では、適用宣言書で適用するとした管理策が、リスク登録簿のリスクに結び付いていないことが不適合として指摘されることがあります。適用宣言書とリスク登録簿の対応を確かめてから審査に臨んでください。リスク登録簿の作り方は、リスク登録簿の作り方で説明します。
附属書Aの管理策とコントロールの対応
DrataのISO 27001:2022のフレームワークでは、箇条4〜10の要求事項と附属書Aの93の管理策が、要求事項として並びます。附属書Aの4つの分野は、フレームワークの画面で分類のフィルターとして使えます。
| 分野 | 内容 |
|---|---|
| A.5 | 組織的管理策 |
| A.6 | 人的管理策 |
| A.7 | 物理的管理策 |
| A.8 | 技術的管理策 |
それぞれの要求事項には、DCFのコントロールがマッピングされています。例えば、箇条6.1.2（情報セキュリティーリスクアセスメント）には、リスクアセスメントの方針、定期的なリスクアセスメント、リスク対応計画、取締役会への報告のコントロールがマッピングされています。マッピングの考え方は、要求事項とコントロールの関係で説明します。
適用宣言書で除外した管理策は、Drataでも対象外（Out of Scope）にし、理由を記録します。準備状況の計算に入るのは、対象の要求事項だけです。手順は対象と対象外の管理で説明します。
【運用のポイント】 審査員に、管理策とコントロールの対応を示すよう求められたときは、フレームワークの詳細の画面の
Downloadから、要求事項とコントロールの対応をCSVファイルに書き出して渡せます。書き出されるのは対象のコントロールだけです。
第1段階と第2段階の審査への備え
ISO 27001の認証審査は、2つの段階で行われます。
| 段階 | 審査の内容 |
|---|---|
| 第1段階審査 | 文書、範囲、準備状況を確かめる |
| 第2段階審査 | ISMSの実施とコントロールの有効性を詳しく評価する |
審査の前に済ませること
| 作業 | 内容 |
|---|---|
| 内部監査 | 社内の人が内部監査を行う場合は、独立性（ISMSの構築に関わっておらず、附属書Aの管理策の責任者でもないこと）と、監査の力量を持つ人を選ぶ。結果をISMS計画に記録し、報告書をDCF-165（定期的な独立した評価）の証跡として登録する |
| マネージメントレビュー | 内部監査の報告書を経営層が正式に確認し、内部監査で見つかった不適合について是正処置の計画を記録する。記録をDCF-164の証跡として登録する（箇条9.3） |
| 証跡とテスト | モニタリングテストと、自動で確かめられないコントロールの証跡をそろえ、コントロールの準備がほぼ全て整った状態にする |
ヘルプセンターのISMS計画の例では、内部監査で見つかった軽微な不適合を、第1段階審査の前に直すよう勧める内部監査の報告の例が示されています。内部監査の進め方は、内部監査で説明します。
認証機関の選定で確認すること
認証機関は、ISO 27001の認定を受けた機関から選びます。選定のときは、次のことを確かめます。
| 観点 | 確かめること |
|---|---|
| 認定 | どの認定機関から認定を受けているか |
| 範囲 | 自社のような会社では、附属書Aのどの管理策が範囲外や適用外になりそうか |
| 作業の分担 | Drataのダッシュボードの作業のほかに、何を済ませる必要があるか。コントロールのうち、どのくらいをDrataで確かめられ、どのくらいの証跡を手作業で集める必要があるか |
| 進め方 | 計画から報告書と認証書の受け取りまで、どのような流れで、どのくらいの期間がかかるか。審査の間、どのくらいの頻度で連絡があるか。第1段階審査と第2段階審査の間は、通常どのくらい空くか |
| 不適合の扱い | 不適合を見つけたときに、どのように知らされるか。最終的な報告書と認証書を出す前に、結果について話し合う機会はあるか |
| 現地の審査 | 現地に来る必要があるか。全ての拠点に行く必要があるか |
| 技術の構成 | 自社の技術の構成をどう審査するか（例えば、Amazon S3やKubernetesで重要なコントロールは何か） |
審査の後
第1段階審査で指摘された不備や懸念、不適合になりそうな点は、第2段階審査の前に直します。第2段階審査で指摘された不適合と改善の機会は、是正の方法と継続的な改善の進め方を決めて対応します。
ISO 27001の認証の有効期間は、通常3年です。認証の後も、認証機関による定期の審査（サーベイランス審査）を受けながら、ISMSを運用します。Drataで監査を作成して審査員を招待する方法は、監査を作成して監査人を招待するで説明します。