ISO/IEC 27017とは？ISMSクラウドセキュリティ認証や27001との違いを解説

ISO/IEC 27017はどのような規格か

最初に、この規格が情報セキュリティ関連の規格群のなかでどこに位置するのかを確認します。認証規格と混同されやすい部分なので、土台となる規格との関係から見ていきましょう。

ISO/IEC 27002に対する追加ガイダンスという位置づけ

ISO/IEC 27017は、クラウドサービス向けの情報セキュリティ管理策を示した規格です。2015年に初版が発行され、2026年7月に改訂されました。正式な名称にも示されているとおり、ISO/IEC 27002を土台として、クラウドサービスの提供と利用に関わる管理策をまとめています。

2015年版の構成は大きく二つに分かれます。ひとつは、ISO/IEC 27002の各管理策について、提供側と利用側がそれぞれ何をすべきかを補足する実施の手引です。もうひとつは、既存の管理策では扱いきれない項目を「CLD」という記号付きで追加した、クラウド固有の管理策です。

クラウド事業者と利用企業の双方を読者として想定している

この規格の特徴は、サービスを提供する側と利用する側の両方を対象にしている点です。多くの管理策で、クラウドサービスプロバイダ向けの記述とクラウドサービスカスタマ向けの記述が並べて書かれています。自社がどちらの立場で規格を読むのかを最初に決めておくと、内容の理解が進みます。

同じ企業が両方の立場を持つ場合もあります。一例が、外部のクラウド基盤を借りて自社サービスを構築し、それを顧客に提供している事業者です。この場合は、基盤の提供元に対しては利用企業として、自社の顧客に対しては提供者として、それぞれの管理策を検討します。役割を整理しないまま読み進めると、対応すべき範囲を取り違えやすくなります。

ISO/IEC 27001やISO/IEC 27018とのつながり

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた規格です。組織が備えるべき仕組みを規定し、第三者認証の対象になります。一方のISO/IEC 27017は管理策のガイドラインであり、それだけで認証を取得する規格ではありません。両者は土台と上乗せの関係にあります。

ISO/IEC 27018は、パブリッククラウドで個人を識別できる情報を預かって処理する事業者に向けた実践規範です。守る対象が個人情報に絞られている点が、クラウド全般を扱うISO/IEC 27017との違いといえます。サービス全体のセキュリティを整えたいなら前者、預かった個人情報の取り扱いを明確にしたいなら後者、と考えると整理しやすくなります。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

クラウド固有の管理策として何が求められるか

ISO/IEC 27017が追加した7つの管理策は、クラウドという提供形態でこそ問題になる論点を扱っています。ここでは、実務で検討が必要になる代表的な三つの観点に分けて説明します。

提供者と利用者の責任分担を文書で明確にする

追加された管理策のひとつは、提供者と利用者の間で役割と責任をどう分け合うかを定めることを求めています。クラウドでは、設備の運用は提供者が担い、その上に載せるデータや設定は利用者が担うのが一般的です。この境目があいまいだと、双方が相手の作業だと考えて誰も手を付けない領域が生まれます。

境目はサービスの形態によって変わります。基盤だけを借りる形態ではOSの更新やアカウント管理が利用者の仕事になりますが、完成したアプリケーションを利用する形態では提供者が担う範囲が広がります。契約書やサービス仕様書のどこに分担が書かれているかを確認し、自社が担う作業を一覧にしておくことが出発点です。

仮想環境の分離と仮想マシンの要塞化

クラウドでは、複数の利用者が同じ物理的な基盤を共有します。そのため、ある利用者の仮想環境から別の利用者の情報へ到達できない状態を保つことが管理策として示されています。提供者は分離の仕組みを設計し、その有効性を確かめる責任を負います。利用者側も、自社の環境が他社と分けられているかを確認しておきましょう。

あわせて、仮想マシンを堅牢な状態に整えることも求められます。使わないサービスや通信経路を止める、初期設定のままの資格情報を変更する、複製のもとになるテンプレートを最新に保つ、といった作業が該当します。仮想マシンは短時間で大量に複製できるため、もとになる設定の不備がそのまま広がる点に注意が必要です。

運用の監視と、利用終了時のデータの扱い

管理者権限を伴う作業の手順や記録の残し方、サービスの稼働状況を利用者が把握できる仕組み、仮想ネットワークと物理ネットワークの設定を食い違わせないこと。これらもクラウド固有の管理策として挙げられています。いずれも、利用者からは中身が見えにくい部分をどう可視化するかという論点です。

見落とされやすいのが、契約終了時の取り扱いです。追加された管理策には、利用者の資産をサービスから確実に取り除くことが含まれます。解約時にデータをどの形式で持ち出せるのか、残ったデータはいつまでに消去されるのか、その記録を受け取れるのかを、契約前の段階で確かめておきましょう。

ISMSクラウドセキュリティ認証とは何か

ISO/IEC 27017はガイドラインであるため、「規格を取得した」という言い方は正確ではありません。日本で認証として運用されている枠組みと、その前提条件を確認します。

管理策の実施状況を第三者が確認する枠組み

日本では、一般社団法人情報マネジメントシステム認定センター（ISMS-AC）が運営するISMS適合性評価制度のなかに、ISMSクラウドセキュリティ認証が用意されています。ISO/IEC 27017に示された管理策が実施されているかどうかを、ISMS-ACの認定を受けた認証機関が確認する仕組みです。取引先が求める「ISO27017の取得」も、多くはこの認証を指すとみられます。

この認証は、クラウドサービスを提供する立場でも、業務で利用する立場でも受けられます。どちらの立場で取得したかによって、確認される管理策は変わります。取引先に説明するときは、認証の範囲とあわせて、どちらの立場での認証なのかを示すと誤解を招きません。

ISMS認証の取得が前提になる理由

ISMSクラウドセキュリティ認証は、単独では取得できません。ISO/IEC 27001に基づくISMS認証を取得していること、あるいは同時に取得することが前提です。ISO/IEC 27017はISO/IEC 27002への追加ガイダンスであるため、土台となる仕組みがなければ上乗せ部分だけを評価できないという考え方です。

そのため、認証の範囲にも制約があります。クラウドセキュリティ認証の対象となるサービスは、ISMS認証の適用範囲に含まれている必要があります。すでにISMS認証を運用している組織であれば、対象サービスがその範囲に入っているかを最初に確認してください。範囲外であれば、ISMS側の拡大から検討することになります。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

認証取得までの流れと準備すべきこと

前提条件を確認できたら、実際の準備に進みます。既存のISMSの運用にクラウド向けの管理策を組み込む作業が中心になり、手順そのものはISMS認証と大きく変わりません。

対象範囲の決定と適用宣言書への反映

最初の作業は、どのサービスを認証の対象にするかを決めることです。ISMS認証が組織や拠点を単位として考えやすいのに対し、こちらはサービスを単位として考えます。複数のサービスを運営しているなら、取引先から求められているものや、預かる情報の重要度が高いものから定めるとよいでしょう。

範囲が決まったら、適用宣言書にクラウド向けの管理策を追加します。採用する管理策と、採用しない場合はその理由を記載する点は、ISMS認証と同じ進め方です。提供者と利用者で適用される記述が異なるため、自社の立場に沿って一つずつ判断し、対応する手順書や記録と結び付けておきます。

審査の進み方と取得後の維持

審査は、文書や記録を確認する段階と、現場で運用状況を確かめる段階に分かれるのが一般的です。ISMS認証と同時に申請する場合は、まとめて実施されることが多くあります。すでにISMS認証を運用しているなら、更新や維持の審査にあわせて受けられるかを認証機関に相談してみてください。

認証は取得して終わりではありません。有効期間の間は定期的な維持審査を受け、期間が満了する前に更新審査を受ける運用が続きます。審査の周期や費用の考え方は認証機関によって異なります。申し込み前に複数の機関へ問い合わせ、見積もりを比べておくとよいでしょう。

関連する規格との使い分けと運用上の注意点

最後に、どの規格まで取り組むべきかという判断軸と、認証を取得したあとに陥りやすい状態について整理します。自社の情報の性質と運用体制から考えるのが基本です。

個人情報を多く預かるならISO/IEC 27018もあわせて検討する

顧客の氏名や連絡先を預かるサービスを提供しているなら、ISO/IEC 27018も確認しておきたいところです。この規範は、預かった個人情報を本来の目的以外に使わないこと、再委託先を明らかにすること、預かった情報の返却や安全な廃棄に応じられるようにすることなどを扱っています。

どちらを先に進めるかは、扱う情報の性質で決めるとよいでしょう。基盤やアプリケーションの安全性を広く示したい場合はISO/IEC 27017が軸になります。個人情報を預かる立場としての姿勢を明確にしたい場合は、ISO/IEC 27018の管理策を加える形が適しており、両方の組み合わせも可能です。

取得を目的にしないための運用設計

認証を取ること自体が目的になると、審査の前だけ記録を整える運用に陥りがちです。特に責任分担の整理は、情報システム部門だけで完結しません。サービスを実際に使う部署が、自社側で担う設定や権限管理の作業を理解していなければ、文書と実態が離れていきます。担当者が交代したときの引き継ぎまで含めて決めておきましょう。

規格や管理策の体系が改訂される点にも留意が必要です。土台となるISO/IEC 27002は2022年に改訂され、管理策の並びが大きく再編されました。ISO/IEC 27017も2026年7月に改訂され、認証基準のJIP-ISMS517は改訂中と公表されています。移行期間は改訂版の発行後3年の予定です。最新の状況は制度の公表情報で確認してください。

「自社に合うクラウドセキュリティを診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。

利用企業側の管理策を支えるクラウドセキュリティ製品

アカウント管理や設定の点検など、利用企業側が担う管理策を支える観点で選んだ製品です。

GMOトラスト・ログイン

GMOグローバルサイン株式会社

資料請求リストに追加

製品詳細ページへ ＞

《GMOトラスト・ログイン》のPOINT

1. 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
2. シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
3. 迅速に多要素認証を導入し、セキュリティを強化

まとめ

ISO/IEC 27017は、ISO/IEC 27002を土台にクラウド向けの手引と7つの固有管理策を加えたガイドラインです。責任分担の明確化や仮想環境の分離など、クラウドならではの論点が示されています。日本ではISMSクラウドセキュリティ認証として第三者の確認を受けられますが、ISO/IEC 27001のISMS認証が前提です。自社が提供者と利用者のどちらの立場かを整理したうえで、対象範囲の決定から進めていきましょう。