ISO/IEC 27001とISO/IEC 27002とは？ISMS・附属書Aとの違いを解説

ISO/IEC 27001とは

ISO/IEC 27001は、組織が情報セキュリティを継続的に管理するための仕組みであるISMS（Information Security Management System：情報セキュリティマネジメントシステム） の要求事項を定めた国際規格です。組織の規模や業種を問わず利用できます。

単にセキュリティ製品を導入するのではなく、情報資産とリスクを把握し、適切な対策を選択して、運用・評価・改善する体制を構築します。

正式な規格番号は「ISO/IEC 27001」です。ISO（国際標準化機構） とIEC（国際電気標準会議） が共同で策定しているためです。「ISO 27001」という略記も広く使われます。日本語では「アイエスオー・アイイーシー・にまんななせんいち」などと読みます。

2026年10月時点の基礎となる版はISO/IEC 27001:2022で、ISO/IEC 27001:2022/Amd 1:2024という追補もあります。追補では、組織の状況の分析において気候変動が関連する課題かどうかを判断することが求められます。気候変動対策を一律に導入する要求ではありません。

ISO/IEC 27002とは

ISO/IEC 27002は、情報セキュリティの管理策（controls）とその実施に関する指針を示す国際規格です。

ISO/IEC 27001が「どのようにISMSを確立・運用・改善するべきか」という要求事項を示すのに対し、ISO/IEC 27002は、リスクに対応する管理策を検討・実装する際の参考となります。

例えばアクセス制御では、27001に基づいてリスクと必要な管理策を検討し、27002を参照してアクセス権の付与・見直し・削除などの実施方法を具体化できます。ただし、27002はそのまま導入する必須手順書ではなく、組織のリスクや環境に合わせて適用する指針です。

ISO/IEC 27001とISO/IEC 27002の違い

比較項目	ISO/IEC 27001	ISO/IEC 27002
役割	ISMSの要求事項	情報セキュリティ管理策の指針
主な目的	情報セキュリティを組織的・継続的に管理する	管理策を選択・実装するための参考を提供する
主な内容	組織の状況、リーダーシップ、計画、支援、運用、評価、改善、附属書A	管理策の目的、内容、実施上のガイダンスなど
第三者認証	規格への適合性について認証を取得できる	通常、27002単独のISMS認証はない
利用者	経営層、ISMS担当者、監査担当者など	セキュリティ担当者、システム設計・運用担当者など

要点：27001はISMSに求められる要件、27002はセキュリティ管理策の実践ガイドです。

ISO/IEC 27001とISMSの違い

ISMSは組織が運用する管理の仕組み、ISO/IEC 27001はその仕組みが満たすべき要求事項を定めた規格です。

ISMS：リスク評価、ルール、責任分担、教育、監視、監査、改善などを含む仕組み
ISO/IEC 27001：ISMSを構築・運用・改善するための要求事項
ISMS認証：第三者の認証機関による審査を受け、定められた適用範囲がISO/IEC 27001に適合していることを示す認証

ISMSを運用すること自体に認証取得は必須ではありません。また、認証は組織のすべてのシステムや活動が完全に安全であることを保証するものではありません。認証の適用範囲と有効期間を確認する必要があります。

ISO/IEC 27001の要求事項

要求事項の中心は、規格本文の箇条4〜10です。

箇条	項目	組織が行うことの例
4	組織の状況（Context of the organization）	内外の課題、利害関係者、ISMSの適用範囲を明確にする
5	リーダーシップ（Leadership）	方針、役割、責任、経営層のコミットメントを定める
6	計画（Planning）	リスクアセスメント、リスク対応、目標設定を行う
7	支援（Support）	必要な資源、力量、認識、コミュニケーション、文書化した情報を整える
8	運用（Operation）	計画した管理とリスクアセスメント・対応を実施する
9	パフォーマンス評価（Performance evaluation）	監視・測定、内部監査、マネジメントレビューを行う
10	改善（Improvement）	不適合への是正処置と継続的改善を行う

これらはISMSの要求事項です。一方、附属書Aの管理策はリスクに基づいて適用を判断します。

附属書A（Annex A）とは

附属書Aは、ISO/IEC 27001の末尾に収録されている情報セキュリティ管理策の参照一覧です。2022年版では、ISO/IEC 27002:2022の93の管理策と対応しています。

附属書Aは「93項目をすべて無条件に実装するチェックリスト」ではありません。組織はリスクアセスメントとリスク対応に基づいて必要な管理策を決め、附属書Aと照合して必要な管理策の漏れを確認します。附属書Aにない独自の管理策を採用することもできます。

93の管理策の分類

区分	英語名	管理策数	例
組織的管理策	Organizational controls	37	情報セキュリティ方針、資産管理、サプライヤー管理、インシデント管理
人的管理策	People controls	8	従業員の教育、守秘義務、退職・異動時の対応
物理的管理策	Physical controls	14	入退室管理、設備保護、媒体の取扱い
技術的管理策	Technological controls	34	アクセス制御、マルウェア対策、ログ、暗号化、バックアップ
合計		93

2013年版では114の管理策が14の区分に整理されていましたが、2022年版では統合・再編され、93の管理策が4区分になりました。単純に21の対策が不要になったという意味ではありません。

ISO/IEC 27001附属書AとISO/IEC 27002の違い

両者は対応する管理策を扱いますが、記載の深さと役割が違います。

比較項目	27001の附属書A	27002
位置付け	管理策を照合するための参照一覧	管理策のガイドライン
管理策の対応	93の管理策	対応する93の管理策
記載内容	管理策の識別番号、名称、管理策の記述	管理策の説明、目的、実施のためのガイダンスなど
使い方	必要な管理策に漏れがないか照合する	必要と判断した管理策の設計・運用に活用する

具体例：アクセス権の管理

例えば、従業員が退職した後も業務システムにアクセスできるリスクがあるとします。

リスクを評価する：退職者のアカウントが残存すると不正アクセスにつながる。
27001に従ってリスク対応を決める：アカウント削除やアクセス権の見直しを管理策として選択する。
附属書Aと照合する：アクセス権などの関連管理策（例：A.5.18 Access rights）に漏れがないかを確認する。
27002を参考に具体化する：権限の承認、定期レビュー、異動・退職に伴うアクセス権の変更・削除の手続きを定める。
運用結果を確認する：退職者アカウントの無効化記録やアクセス権レビューの証跡を点検する。

適用宣言書（Statement of Applicability：SoA）とは

適用宣言書（SoA） は、組織にとって必要な情報セキュリティ管理策とその適用状況を示す文書です。ISO/IEC 27001のリスク対応プロセスにおける重要な成果物です。

SoAには、少なくとも必要な管理策とその採用理由、実装状況、附属書Aの管理策を除外する場合の理由を示します。

項目	記載例（説明用）
管理策	A.5.18 アクセス権
適用	適用する
理由	退職者・異動者の不要なアクセス権を防ぐため
実施状況	運用中。四半期ごとに権限レビューを実施
証跡	アカウント管理台帳、レビュー記録、退職処理チケット

附属書Aの管理策を除外できることと、27001本文の要求事項を任意に除外できることは異なります。 SoAで除外理由を説明する必要があるのは管理策についてです。

ISMSを導入する基本的な流れ

適用範囲を決める：対象組織、業務、拠点、システム、情報を明確にする。
情報資産とリスクを把握する：重要な情報と脅威・脆弱性・影響を整理する。
リスクを評価する：組織の基準でリスクの大きさと受容可否を判断する。
リスク対応を決める：軽減、回避、共有、受容などの対応と必要な管理策を選ぶ。
附属書Aと照合しSoAを作成する：必要な管理策の漏れを確認し、採用・除外の理由を記録する。
27002を参考に管理策を実装する：規程、業務手順、技術的対策、教育を整備する。
運用・評価・改善する：記録の確認、内部監査、マネジメントレビュー、是正を行う。
必要に応じて第三者認証を取得する：適用範囲を定めて認証審査を受け、認証取得後も運用を継続する。

認証取得が最終目的ではありません。継続的に情報セキュリティリスクを管理し、事業を守ることが本来の目的です。

日本のJIS規格との関係

日本では国際規格に対応する日本産業規格（JIS）も使われます。

国際規格	日本の対応規格
ISO/IEC 27001:2022	JIS Q 27001:2023
ISO/IEC 27001:2022/Amd 1:2024	JIS Q 27001:2025（追補1による改正）
ISO/IEC 27002:2022	JIS Q 27002:2024

JIS Q 27001:2025の追補だけで27001の要求事項全体が読めるわけではないため、規格本文と追補を併せて確認します。

まとめ

ISO/IEC 27001はISMSを構築・運用・改善するための要求事項、ISO/IEC 27002は情報セキュリティ管理策を実装するためのガイドです。27001の附属書Aは93の管理策を確認するための参照一覧であり、組織はリスクに基づいて必要な管理策を選び、その判断をSoAに記録します。

システム開発・運用では、27002の具体的な管理策を設計に取り入れつつ、27001に基づく組織的なリスク管理や継続的改善と結び付けることが重要です。

参考資料

※この記事は規格の概要を説明するものであり、規格本文の代わりにはなりません。認証審査や正式な適合性判断には、該当する規格本文をご確認ください。