ISOコンサルタント：トップ ＞ ISO27001取得支援 ＞ ISO27017:2026改訂 変更点解説

ISO 27017:2026改訂 変更点解説

　ISO/IEC 27017:2015が約11年ぶりに改訂され、2026年7月27日に「ISO/IEC 27017:2026」が発行されました。ISO/IEC 27017は、クラウドサービスを安全に提供・利用するための情報セキュリティ管理策を示した国際規格です。クラウドサービス提供事業者だけでなく、AWS、Microsoft Azure、Google Cloud、各種SaaSなどを利用する企業も対象となります。今回の改訂では、ISO/IEC 27002の最新の管理策体系との整合が図られ、複雑化するクラウド環境への対応、提供者・利用者・委託先の責任分担、クラウド固有のリスク管理、契約や法令要求事項との関係などが見直されています。日本国内のISMSクラウドセキュリティ認証についても、今後改訂されるJIP-ISMS517への移行が必要となる予定です。

　ISO/IEC 27017:2015年版の発行以降、クラウドサービスの利用方法は大きく変化しました。

　現在では、1社のクラウドサービスだけを利用するのではなく、複数のSaaS、PaaS、IaaSを組み合わせるマルチクラウドや、社内環境とクラウド環境を組み合わせるハイブリッドクラウドが一般的になっています。また、クラウドサービス提供者自身が、別のクラウド基盤事業者のサービスを利用するなど、クラウドサービスの提供関係も複雑化しています。

　このような状況では、次のような問題が発生しやすくなります。

　◇ 提供者と利用者の責任範囲が分かりにくい
　◇ クラウドサービスの設定ミスが情報漏えいにつながる
　◇ 委託先や再委託先を含めた管理が不十分になる
　◇ サービス変更による影響を把握できない
　◇ 障害や事故発生時の連絡・対応が遅れる
　◇ 契約終了後もデータが残存する
　◇ 複数のクラウドサービスで管理方法が統一されていない

　ISO/IEC 27017:2026は、こうしたクラウド環境の変化を踏まえ、クラウドサービスに関係する複数の組織間で、責任、インフラ、運用活動が分担される場合の情報セキュリティ管理を明確にすることを重視しています。

1．ISO/IEC 27002との整合

　ISO/IEC 27017:2026は、情報セキュリティ管理策を示したISO/IEC 27002を基礎として、クラウドサービス固有の実施手引きと追加の管理策を示しています。今回の改訂では、現在のISO/IEC 27002の管理策体系との整合が図られており、ISO/IEC 27001:2022に対応したISMSを運用している企業は、既存の適用宣言書、リスクアセスメント、管理策、規程、運用記録と、ISO/IEC 27017:2026との対応関係を改めて確認する必要があります。

2．提供者と利用者の責任分担を明確化

　クラウドサービスでは、セキュリティ対策のすべてをクラウドサービス提供者が実施するわけではありません。クラウドサービス提供者、クラウドサービス利用者、クラウド基盤事業者、委託先など、それぞれが担当する管理策を明確にする必要があります。 　ISO/IEC 27017:2026では、複数の関係者の間で責任、インフラ、運用業務が分担されることを前提として、責任の空白や管理の重複を防ぐことが重視されています。

3．クラウドサービス固有のリスク管理を強化

　クラウドサービスには、一般的な情報セキュリティリスクに加えて、クラウド固有のリスクがあります。

例えば、次のようなリスクです。

　◇ アクセス権限や公開範囲の設定ミス
　◇ 特権IDの不適切な利用
　◇ 顧客データの混在
　◇ ログの不足による原因調査の困難
　◇ クラウドサービスの停止
　◇ サービス仕様の変更
　◇ 委託先・再委託先における事故
　◇ 契約終了後のデータ残存
　◇ データ移行時の漏えい・消失
　◇ サービスの所在地や法規制に関するリスク

　企業は、クラウドサービスごとにリスクを洗い出し、法令、契約、取引先からの要求事項を含めて、必要な管理策を選択することが求められます。

4．複雑化するクラウドサービス関係への対応

　現在のクラウドサービスは、提供者と利用者だけの単純な関係ではありません。例えば、SaaSを提供している企業が、そのサービス基盤としてAWSやMicrosoft Azureを利用している場合、その企業は顧客に対しては「クラウドサービス提供者」、クラウド基盤事業者に対しては「クラウドサービス利用者」となります。

　ISO/IEC 27017:2026への対応では、自社がクラウドサービスごとにどの立場にあるのかを明確にし、関係する事業者との責任分担を整理する必要があります。

5．法令・契約・顧客要求事項との関係を確認

　クラウドセキュリティ対策は、技術的な設定だけで完結するものではありません。個人情報保護法、業界ガイドライン、顧客との契約、サービスレベル合意、秘密保持契約、インシデント発生時の報告義務などを確認し、管理策へ反映する必要があります。

　ISOは、ISO/IEC 27017:2026の効果として、法令、規制および契約上のセキュリティ要求事項を、より適切に管理できることを挙げています。

6．パブリック・プライベート・ハイブリッドクラウドに対応

　ISO/IEC 27017:2026は、パブリッククラウドだけを対象とする規格ではありません。プライベートクラウドやハイブリッドクラウドにも適用されます。プライベートクラウドでは、社内部門間の関係や責任分担に応じて、管理策の適用方法を調整する必要があります。

　ISO/IEC 27017:2026は、クラウドサービス提供者だけでなく、AWS、Microsoft Azure、Google Cloud、各種SaaSなどを利用する企業も対象としています。また、パブリッククラウド、プライベートクラウド、ハイブリッドクラウドを含む、さまざまなクラウド形態に適用できます。

　※　最終的な移行対応は、JIP-ISMS517改訂版および正式な移行ルールの発行後に確定します。

　日本国内のISMSクラウドセキュリティ認証は、ISO/IEC 27001に基づくISMS認証に加えて、クラウドサービス固有の管理策が適切に導入・実施されていることを、JIP-ISMS517に基づいて認証する制度です。

　ISO/IEC 27017自体はガイドライン規格であり、単独のマネジメントシステム認証規格ではありません。そのため、日本国内ではISO/IEC 27001とJIP-ISMS517を組み合わせて認証審査が行われます。2026年10月16日現在、現行の認証基準はISO/IEC 27017:2015を基礎とする「JIP-ISMS517-1.0」です。ISO/IEC 27017:2026の発行に伴い、JIPDECが改訂版を作成しています。

　ISMS-ACの発表では、ISMSクラウドセキュリティ認証を取得している組織は、JIP-ISMS517改訂版への移行が必要になるとされています。移行期間は、JIP-ISMS517改訂版の発行後3年間となり（予定）、具体的な移行開始日、審査方法、審査工数などは、改訂版の発行後に案内される予定です。したがって、現時点で移行期限を確定的に記載することはできません。認証取得企業および新規取得を検討している企業は、JIPDEC、ISMS-AC、認証機関から発表される最新情報を確認する必要があります。

　正式な移行ルールの発表を待つだけでなく、次の準備を進めておくことで、移行時の負担を軽減できます。

　対象となる組織、拠点、業務、システム、クラウドサービス名を確認します。

　現在利用・提供しているSaaS、PaaS、IaaSと、その目的、管理部門、責任者、取扱情報を整理します。

　クラウドサービスごとに、自社が提供者、利用者、または両方の立場に該当するかを確認します。

　クラウド基盤事業者、自社、顧客、委託先、再委託先について、「誰が、何を、どこまで管理するのか」を明確にします。

　設定ミス、特権ID、ログ、サービス停止、データ移行、契約終了、委託先などのリスクが適切に評価されているかを確認します。

　ISO/IEC 27001:2022に基づく適用宣言書と、クラウド固有の管理策との対応関係を整理します。

　クラウドサービス管理規程、利用手順、委託先管理、インシデント対応、バックアップ、契約終了時のデータ処理などを見直します。

　スリープロサポート株式会社では、ISO 27017の審査員資格を保有し、クラウドセキュリティ認証に精通した講師が、ISO/IEC 27017:2026への移行を支援します。

　◇ ISO/IEC 27017:2026改訂内容の説明
　◇ JIP-ISMS517改訂版とのギャップ分析
　◇ 移行計画およびスケジュールの作成
　◇ 認証範囲・対象クラウドサービスの見直し
　◇ クラウドサービス提供者・利用者としての立場の整理
　◇ 責任分担表の見直し
　◇ クラウドリスクアセスメントの改訂
　◇ 適用宣言書との対応関係の確認
　◇ マニュアル、規程、手順書の改訂
　◇ 台帳、チェックリスト、記録様式の整備
　◇ 社員教育・内部監査員教育
　◇ 内部監査およびマネジメントレビュー支援
　◇ 移行審査前の模擬審査
　◇ 移行審査および審査後の是正処置支援

　既存のISMS文書や運用記録を最大限活用し、変更が必要な部分だけを見直します。不要な文書改訂や記録の追加を抑え、通常業務に負担をかけにくい移行を実現します。

- ISO 27017:2026への移行はTPSにお任せください -

　ISO/IEC 27017:2026への移行では、規格の変更点だけでなく、自社が提供・利用するクラウドサービス、関係事業者との責任分担、契約内容、リスク、既存のISMSとの整合性を確認する必要があります。

　TPSでは、改訂内容の説明だけで終わるのではなく、ギャップ分析から文書改訂、運用、内部監査、移行審査、是正処置まで一貫して支援します。また、ISO 27017の新規認証、ISO 27001との同時取得、既存ISMSへのISO 27017追加認証にも対応しています。

　ISO/IEC 27017:2026の改訂対応、移行スケジュール、コンサルティング費用について、スリープロサポート株式会社までお気軽にお問い合わせください。当社にはISO27001及びISO27017の審査資格を保有する講師が多数在籍し、合否判断はもとより貴社に最適なISMS-CSの構築、ISO27017認証支援コンサルティングを提供します。

　ISO27017コンサルティング実績はこちら
　ISO27017(ISMS)導入無料セミナー⇒ 申し込みはこちら
　ISO27017(ISMS)コンサルティング見積依頼⇒ 申し込みはこちら

　様々なISMSに関する悩みをお聞かせください。ベストな解答をご用意させていただきます。例えば・・・