【図解】ISMS認証取得に必要なISO 27001:2022要求事項
ISMS（情報セキュリティマネジメントシステム）認証の基準規格である「ISO/IEC 27001」は、2022年10月25日に大幅な改正が行われました。これに伴い、日本国内の標準規格である「JIS Q 27001:2023」も2023年9月20日に発行され、現在は新規格での運用が完全に定着しています。
本記事では、改正された「ISO/IEC 27001:2022（JIS Q 27001:2023）」の要求事項を構造的に理解できるよう、各項の関連性を示した「要求事項体系図」を公開しています。
さらに、この改正の経緯や、規格要求事項がどのように変更されたのかの重要ポイントを絞って解説します。図解とあわせて、新規格の全体像と要求事項の核心を一覧で把握するのにお役立てください。
この記事で解決できること
- ISO/IEC 27001:2022（JIS Q 27001:2023）の全体構造（体系図）を一覧で把握できる
- 共通指針「附属書SL」の改訂に伴う、ISMS本文の要求事項の変更点がわかる
- 4つの区分に集約された「附属書A」の構成と、新設された11の管理策を整理できる
目次
※画像クリックでPDFが表示されます
1. 改正の経緯と各規格の発行スケジュール
前規格である「ISO/IEC 27001:2013（旧規格）」は、ガイドライン規格である「ISO/IEC 27002:2013」とともに2013年10月に発行されました。
その後、ISOの規定通り発行から3年が経過した2016年に、専門委員会（ISO/IEC JTC 1/SC 27）において改正の要否が検討されました。その結果、まず「ISO/IEC 27002」の全面的な見直しが決定し、それに連動する形で「ISO/IEC 27001」の附属書A（管理策一覧）も改正されることとなりました。
なお、国際規格（ISO/IEC）の改訂時には「27002（管理策）」が先に発行され、その後に「27001（要求事項）」が発行されましたが、日本国内のJIS規格においては順番が異なり、「27001（要求事項）」が先に発行された後、翌年に「27002（管理策）」が発行されています。それぞれの正確な規格名と発行年月日のタイムラインは以下の通りです。
| 区分 | 規格番号 | 規格名称（英名） | 発行年月日 |
|---|---|---|---|
| ISO/IEC規格 （27002が先） | ISO/IEC 27002:2022 | 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策 Information security, cybersecurity and privacy protection – Information security controls | 2022年2月15日 |
| ISO/IEC 27001:2022 | 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項 Information security, cybersecurity and privacy protection – Information security management systems – Requirements | 2022年10月25日 | |
| JIS規格 （27001が先） | JIS Q 27001:2023 | 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティマネジメントシステム―要求事項 Information security, cybersecurity and privacy protection — Information security management systems — Requirements | 2023年9月20日 |
| JIS Q 27002:2024 | 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティ管理策 Information security, cybersecurity and privacy protection — Information security controls | 2024年6月20日 |
2. 共通指針「附属書SL」の改訂に伴う本文の改正（5つの重要ポイント）
ISO/IEC 27001を含むすべてのISOマネジメントシステム規格は、共通の規格構成や標準テキストを定めた「附属書SL（上位構造：HLS）」に基づき作成されています。これにより、品質（ISO 9001）や環境（ISO 14001）など、他のマネジメント規格との統合的な運用が可能になっています。
この「附属書SL」自体の文面が見直されたことに伴い、ISO/IEC 27001の本文（1項〜10項）にも変更が加えられました。要求事項の大幅な追加・拡大は限定的ですが、実務上、以下の5つのポイントを押さえておく必要があります。
- 「文書化した情報」の利用可能性（7.5）
旧規格の「文書化した情報を保持する」という表現から、新規格では「文書化した情報を利用可能な状態にする」へと変更されました。ただ保管しているだけでなく、必要な人が必要なときにアクセスできなければ要求事項を満たさないことになります。 - 目的の「監視」の追加（6.2）
「情報セキュリティ目的及びそれを達成するための計画策定」において、設定したセキュリティ目的を単に追うだけでなく、「監視（モニタリング）する」ことが明確に要求事項として列挙されました。 - 「変更の計画策定」の新設（6.3）
ISMSの体制や運用に変更を加える場合、思いつきで行うのではなく、計画的な方法でプロセスを踏んで変更を行うことが新たに求められます。 - 外部提供プロセス・製品・サービスの管理（8.1）
「運用の計画策定及び管理」における管理対象が、従来の「外部委託したプロセス」から「外部から提供されるプロセス、製品又はサービス」へと拡張されました。クラウドサービスやパッケージソフトウェアの利用なども、より明確な管理対象となります。 - マネジメントレビューへのインプット追加（9.3.2）
マネジメントレビューのインプット項目が独立した細分箇条となり、検討項目として「利害関係者のニーズ及び期待の変化」が明確に追加されました。
※注意点：
近年の改訂（2021年以降）では、さらに発展・整理された「HS（Harmonized Structure：整合構造）」という名称に引き継がれていますが、本質的な目的は同じです。
3. ISO/IEC 27001固有の本文変更（形式的な変更）
共通指針（附属書SL）の影響を受けない、ISO/IEC 27001固有の変更箇所も一部存在しますが、これらは実質的な要求事項の追加や変更ではなく、記述を整理するための形式的な変更にとどまります。
例えば、旧規格の「6.1.3 情報セキュリティリスク対応」の注記にあった「管理目的」という文言が削除されました。これは、ガイドライン規格であるISO/IEC 27002が、従来の「管理目的の下に管理策を置く構造」から「管理策ごとに目的を紐付ける構造」に変わったことに合わせた整合性のための修正です。組織が対応すべき本質的な内容に変化はありません。
参考：ISO/IEC 27001 本文の構成（要求事項一覧）
ISO/IEC 27001の本文（要求事項）全体の構成は以下の通りです。基本構造を頭に入れておくことで、今回の形式的な変更や規格の全体像がより理解しやすくなります。
| 項目 | 小項目 | 概要 |
|---|---|---|
| まえがき | ー | ー |
| 0. 序文 | 0.1 概要 0.2 他のマネジメントシステム規格との両立性 | 規格の目的や、ISMSの基本的な考え方の解説 |
| 1. 適用範囲 | ー | ISMSの対象となる組織や業務の範囲（自由に設定可能） |
| 2. 引用規格 | ー | 規格を運用する上で参照すべき関連文書の一覧 |
| 3. 用語及び定義 | ー | ー |
| 4. 組織の状況 | 4.1 組織及び状況の理解 4.2 利害関係者のニーズ及び期待の理解 4.3 情報セキュリティマネジメントシステムの適用範囲の決定 4.4 情報セキュリティマネジメントシステム | 自社の現状や課題、利害関係者の要望を整理し、ISMSの境界線を決めるステップ |
| 5. リーダーシップ | 5.1 リーダーシップ及びコミットメント 5.2 方針 5.3 組織の役割、責任及び権限 | 経営陣（トップ）が主導して方針を定め、役割や責任を割り当てるための要求事項 |
| 6. 計画策定 | 6.1 リスク及び機会に対処する活動 6.2 情報セキュリティ目的及びそれを達成するための計画策定 6.3 変更の計画策定 | セキュリティの目標を定め、リスクへの対応策を練る段階 |
| 7. 支援 | 7.1 資源 7.2 力量 7.3 認識 7.4 コミュニケーション 7.5 文書化した情報 | 従業員への教育、社内連絡、文書管理など、運用を支えるインフラを整える要求事項 |
| 8. 運用 | 8.1 運用の計画策定及び管理 8.2 情報セキュリティリスクアセスメント 8.3 情報セキュリティリスク対応 | 計画に基づいて、実際にセキュリティ対策やリスク評価を実行する段階 |
| 9. パフォーマンス評価 | 9.1 監視、測定、分析及び評価 9.2 内部監査 9.3 マネジメントレビュー | 監査や見直しを行い、ISMSが正しく機能しているかをチェックする段階 |
| 10. 改善 | 10.1 継続的改善 10.2 不適合及び是正処置 | 問題が起きたときの対処や、システムをさらに良くしていくための段階 |
| 附属書A | ー | 組織が参照すべき、具体的なセキュリティ対策（管理策）のカタログ |
※赤字は、2022/2023年版改訂にて文言の追加・変更・整理が行われた要求事項箇所。
4. 附属書A（管理策）の大幅な刷新と4つの区分
組織が情報セキュリティ対策を具体化する際に参照する「附属書A（情報セキュリティ管理策）」は、今回の改訂で最も大きく変化した部分です。ベースとなるガイドライン規格「ISO/IEC 27002:2022」の構成に合わせて完全に差し替えられました。
規格の名称自体も「情報セキュリティ管理策の実践のための規範」から「情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策」へと変更され、現代の脅威（サイバー攻撃やプライバシー保護）を強く意識した名称となっています。
管理領域の集約と管理策の統合
構成が全面的に見直され、従来の「14の管理領域」から、以下の「4つの区分」へとスマートに集約されました。
- 5. 組織的管理策（37管理策）
- 6. 人的管理策（8管理策）
- 7. 物理的管理策（14管理策）
- 8. 技術的管理策（34管理策）
管理策の総数は114から93へと減少しましたが、これは内容の近い項目が統合されたためであり、セキュリティ対策の手を抜いてよいという意味ではありません。むしろ、時代の変化（クラウド、テレワーク、高度化するサイバー攻撃）に対応するため、以下の11の管理策が新たに新設されています。
💡 新設された11の管理策一覧
- 5.7 脅威インテリジェンス（組織的）
- 5.23 クラウドサービスの利用のための情報セキュリティ（組織的）
- 5.30 事業継続のためのICTの備え（組織的）
- 7.4 物理的セキュリティの監視（物理的）
- 8.9 構成管理（技術的）
- 8.10 情報の削除（技術的）
- 8.11 データマスキング（技術的）
- 8.12 データ漏洩の防止（技術的）
- 8.16 監視活動（技術的）
- 8.23 ウェブ・フィルタリング（技術的）
- 8.28 セキュリティに配慮したコーディング（技術的）
※注意点：
管理策の「追加」「統合」「削除」といった変更が行われ、たとえ旧規格で規定していた管理策が改訂後の規格から無くなったとしても、セキュリティレベル維持のために必要であれば、自社の規程から削除せず、そのまま残して運用すべきです。また、新規格の4つのテーマ（組織的、人的、物理的、技術的）は、あくまで管理策を多角的な視点（属性）で分類したものです。これらは互いに排他的ではなく、1つの管理策が複数のテーマにまたがることもあります。そのため、社内規定を構築する際の実務的な組織・業務ごとのカテゴリ分けとは必ずしも一致しない点に留意してください。
5. まとめ：新規格の確実な運用に向けて
ISO/IEC 27001:2022（JIS Q 27001:2023）は、現代のビジネス環境に最適化されたスマートな規格へと進化しています。管理策が4つに集約されたことで全体像が見やすくなった反面、クラウド管理やデータ漏洩防止、サイバー脅威への迅速な対応など、実務における実効性がより厳しく問われるようになっています。
公開している「要求事項体系図」をご活用いただき、自社のマネジメントシステムが新しい基準に完全に適合し、有効に機能しているかを定期的にチェックしましょう。
🔗 関連資料：
JIS Q 27001およびJIS Q 27002の公式書籍・PDFは、日本規格協会（JSA）のウェブサイトにてご購入いただけます。
日本規格協会（JSA）のウェブサイト
6. よくあるご質問
- Q. ISMSの規程は、管理策の順番で作られているのか、様々な管理策をまとめているのか教えてください。
- A. 当店のISMSサンプル文書集は、「順不同で様々な管理策をまとめて各規程」としています。これは、規格の管理策の並び（管理策ベース）ではなく、組織での「利用方法」や「実務のしやすさ」を優先した結果です。
→ ISMSの規程は、管理策の順番で作られているのか、様々な管理策をまとめているのかについてはこちら - Q. 詳細管理策はどの文書に反映されているかが分かるようなものがありますか？
- A. 例えば、「適用宣言書」の記入例にあります、「A.6.1.1 情報セキュリティの役割及び責任」では、「情報セキュリティ運営管理規程」の「2.2 役割及び責任」が該当することになります。
→ 詳細管理策はどの文書に反映されているかが分かるようなものについてはこちら
自力でISMSを取得・運用したい方へ
当ストアでは、初めての挑戦でも迷わず、最短ルートで確実な認証取得を達成するための「ISMS認証取得支援パッケージ」を提供しています。数千件以上の認証取得をサポートしてきた25年以上の実績とノウハウを、コンサルティング料金の約100分の1の価格に凝縮しました。
- 審査にそのまま使えるサンプル文書集（規程・様式一式）
最新の要求事項（JIS Q 27001:2023）を完全網羅。自社に合わせて調整しやすいWord/Excel形式のテンプレートです。 - 手探り感をなくす「認証取得支援ガイド」
どの順番で書類を修正し、どう審査機関を選べばいいのか、迷わない手順を詳しく解説しています。 - 全社員向け教育教材＆理解度テスト
取得に必須となる「従業員への教育」が、これ一つですぐに実施できます。 - 安心の「無料質問サポート」
「この規格の解釈で合っている？」「審査でここを指摘されたけど、どう直せばいい？」といった、自力取得ならではの疑問や不安に、メールで丁寧にお答えします。
