概要

ISO/IEC 27017の成立背景から条文・認証実務まで一貫して理解する

想定読者

ISMSクラウドセキュリティ認証の取得・維持を担当するセキュリティ担当者、クラウドサービス提供事業者のコンプライアンス責任者、および規格条文を実務に落とし込む必要がある情報セキュリティ管理職

こんな人には向いていない

• 情報セキュリティ規格の基礎概念(ISO/IEC 27001・ISMS)を学んだことがない初学者には条文解説の文脈が追いにくい
• クラウド技術の理解よりも認証取得の手続き面だけを知りたい担当者には、技術的な章(第3章)の比重が大きく感じられる
• 既にISMSクラウドセキュリティ認証を複数サイクル運用している経験者には、規格成立経緯の記述が冗長に映ることがある

読了後にできるようになること

• ISO/IEC 27017がISO/IEC 27001・27002とどのような位置関係にあるかを正確に説明できる
• JIS Q 27017制定の国際標準作成過程における議論の背景と規格の策定意図を理解できる
• クラウドサービス固有のリスク(責任分界・マルチテナント・仮想化)とそれに対応する管理策の選択根拠を説明できる
• ISO/IEC 27017の箇条5〜18の規程項目をクラウドサービス提供者・利用者それぞれの立場から解釈・適用できる
• ISMSクラウドセキュリティ認証制度の枠組みと審査対象範囲を把握し、アドオン認証取得の実務手順を理解できる

本書のキー概念(章解説)

• 第 1 章 ISO/IEC 27017／JIS Q 27017制定の背景及び経緯 — 規格の成立経緯を把握することで、以降の条文解説の読み解き精度が上がる。まず通読すること
• 第 2 章 ISO/IEC 27017の位置づけと概要及び用語の定義 — ISO/IEC 27001・27002との関係を整理する章。既存ISMSとの差分を把握したい場合に参照
• 第 3 章 クラウドサービスの特性とクラウド固有のセキュリティの必要性 — 責任分界・仮想化・マルチテナントなどクラウド技術側の前提知識を整理する章。技術バックグラウンドが薄い担当者はここを重点的に読む
• 第 4 章 ISO/IEC 27017／JIS Q 27017規程項目解説 — 本書の中核。条文(箇条5〜18)と附属書Aを実務適用視点で解説。辞書的に引く使い方も有効
• 第 5 章 ISMSクラウドセキュリティ認証とその実務 — 認証取得に直結する章。審査対象・アドオン認証の枠組みを確認したい担当者はここから先に読んでもよい

ハイライト

• ISO/IEC JTC 1/SC 27におけるISO/IEC 27017の国際標準作成過程の議論をもとに、規格が策定された狙いとその理解・対応の仕方について、原文だけでは読み取れない規格成立の背景を含めて解説しています。(本書の最大の独自価値である『規格成立の背景』記述の所在が明示されている箇所)
• 国際標準の専門家・ISMSのプロフェッショナル・クラウドセキュリティの専門家による徹底解説。クラウドセキュリティ特有の技術的な側面やISMSクラウドセキュリティ認証制度についても解説しています。(著者構成の多様性が編集の強みであることを示す記述)

外部からの言及

• ISO/IEC 27017は国内SaaSやクラウドサービス事業者が取得を目指す認証として複数の技術記事で言及されており、ISMS(27001)に上乗せするアドオン認証という位置付けで実務担当者に認知されている。本書のような条文ベースの解説書は、規格原文だけでは掴みにくい策定意図を補完するリソースとして機能する(qiita)
• セキュリティチェックシート対応の現場では、ISO27001・27017といった規格への準拠を問われる場面が増えている。規格の適用範囲と責任境界を正確に把握していないと回答精度が下がるという課題が複数の実務レポート記事で共通して指摘されており、規格の背景を解説した文献への需要が読み取れる(qiita)

編集メモ

Qiita上でISBN直接引用のある記事は確認できず、Qiita article count=0・qiita_total_likes=0。Rakutenランキング情報も入力になし。2017年刊行の規格解説書として一定の参照需要は見込まれるが、シグナル数値が乏しいためsupplementaryと判定

読む前に押さえておきたいこと

• ISO/IEC 27001(ISMS要求事項)の基本概念と構成要素の把握
• クラウドサービスの利用形態(IaaS/PaaS/SaaS)とオンプレミスとの責任分界の概念的理解
• 情報セキュリティリスクアセスメントの実務経験、または管理職として内部監査に関わった経験

学習のコツ

• 第4章(規程項目解説)は通読ではなく辞書的な使い方が実務に合う。認証審査や内部監査の際に関連箇条を引く習慣をつけると長期的に活用しやすい
• 第2章でISO/IEC 27001・27002との差分マッピングを確認してから第4章に進むと、クラウド固有の管理策がどこに追加されているかが明確になる
• 第5章(認証実務)は認証取得プロジェクトの開始前に通読することで、審査スコープ設定の判断材料として機能する。プロジェクト後半で読むと実施済み判断の修正コストが生じる
• 第3章のクラウド技術解説(責任分界・仮想化)は、規格の解釈文脈として必要なので省略せず読むこと。システム担当者向けではなく規格適用の根拠として機能する