ISO/IEC 27001 の2022年版が発行され、日本語版の JIS Q 27001:2023 は2023年9月20日に発行されました。2013年版からの移行期限は2025年10月31日で、既に経過しています。これから新規に認証を取得する組織にとって、対象は2022年版ひとつです。
では、なぜ今さら2013年版との差分を知る必要があるのか。理由ははっきりしています。旧版を前提に書かれた資料が、今も大量に流通しているからです。社内に残る旧版ベースの規程、書店で買える解説書、検索で上位に出てくる記事、取引先から送られてくるチェックシートの設問、他社が公開している適用宣言書の抜粋——これらは2013年版の管理策番号や14分類の用語で書かれていることが珍しくありません。
参照した資料が旧版のものだと気づかないまま自社の文書を作ると、存在しない管理策番号を引用したり、4テーマと14分類が混在した文書ができあがります。本記事は、そうした事故を避けるために、2013年版と2022年版の差分を整理したものです。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の判断はそれらに基づいて行ってください。
現在地の整理
まず、事実関係を時系列で確認します。
| 時点 | できごと |
|---|---|
| 2013年 | ISO/IEC 27001:2013 発行（日本語版は JIS Q 27001:2014） |
| 2022年 | ISO/IEC 27001:2022 発行 |
| 2023年9月20日 | JIS Q 27001:2023 発行（2022年版の日本語版） |
| 2025年10月31日 | 2013年版からの移行期限。経過済み |
| 現在 | 新規取得・更新はいずれも2022年版が対象 |
したがって、現時点で実務上必要なのは次の3つの認識です。
- 新規取得を検討している組織：最初から2022年版で構築する。2013年版を参照する場面はない
- 既に認証を維持している組織：移行は完了しているはず。維持審査・更新審査は2022年版で行われる
- どちらの場合も：手元の参考資料が旧版ベースでないかを確認する必要がある
ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは をご覧ください。
附属書Aの再編｜114から93へ
最も大きな変更は附属書Aです。2013年版の114管理策が、2022年版では93管理策に再編されました。内訳は次のように説明されます。
| 区分 | 数 | 内容 |
|---|---|---|
| 更新（内容の見直し） | 58 | 旧版の管理策を引き継ぎつつ、記述や範囲を現状に合わせて更新 |
| 統合 | 24 | 複数の旧管理策を1つにまとめたもの |
| 新規 | 11 | 2022年版で新たに追加 |
| 合計 | 93 |
減ったのは「要求が緩くなった」からではありません。 重複していた管理策が統合され、現代的な論点（クラウド、脅威インテリジェンス、データ漏えい防止など）が新規に追加された結果です。実務上の負荷は、むしろ新規11の分だけ増えていると考えるのが妥当です。
新規に追加された11管理策
| 番号 | 管理策（日本語の通称） | 実務上の意味 |
|---|---|---|
| A.5.7 | 脅威インテリジェンス | 自社に関係する脅威情報を収集・分析し、対策に反映する仕組みを持つ |
| A.5.23 | クラウドサービスの利用における情報セキュリティ | クラウドの選定・利用・解約までのプロセスとセキュリティ要件を定める |
| A.5.30 | 事業継続のためのICTの備え | BCPの中でICTの復旧目標と手段を具体化する |
| A.7.4 | 物理的セキュリティの監視 | 施設を持つ場合、監視カメラ・センサー等での継続監視を検討する |
| A.8.9 | 構成管理 | ハードウェア・ソフトウェア・サービスの構成を定義し、変更を管理する |
| A.8.10 | 情報の削除 | 不要になった情報を確実に削除する。保存期間の定義とセット |
| A.8.11 | データマスキング | 本番データを開発・検証で使う場合のマスキング・仮名化 |
| A.8.12 | データ漏えい防止 | 機微情報の外部流出を検知・防止する仕組み |
| A.8.16 | 監視活動 | ネットワーク・システム・アプリケーションの異常を検知するための監視 |
| A.8.23 | ウェブフィルタリング | 悪意あるサイトへのアクセス制限 |
| A.8.28 | セキュアコーディング | 開発を行う場合の安全なコーディング原則の適用 |
新規11のうち6つが技術的管理策（A.8）です。 開発・運用を自社で行うヘルスケアSaaS事業者にとっては、ここが実質的な追加作業になります。管理策の読み方は 附属書A 2022年版｜93管理策と4テーマの全体像、技術領域は 技術的管理策34項目の読み方 で扱っています。
14分類から4テーマへ
2013年版の附属書Aは A.5 から A.18 までの14分類でした。2022年版はこれを4テーマに再編しています。
| 2013年版の分類（A.5〜A.18） | 2022年版での主な行き先 |
|---|---|
| A.5 情報セキュリティのための方針群 | 組織的（A.5） |
| A.6 情報セキュリティのための組織 | 組織的（A.5）／人的（A.6） |
| A.7 人的資源のセキュリティ | 人的（A.6） |
| A.8 資産の管理 | 組織的（A.5）／技術的（A.8） |
| A.9 アクセス制御 | 組織的（A.5）／技術的（A.8） |
| A.10 暗号 | 技術的（A.8） |
| A.11 物理的及び環境的セキュリティ | 物理的（A.7） |
| A.12 運用のセキュリティ | 技術的（A.8） |
| A.13 通信のセキュリティ | 技術的（A.8） |
| A.14 システムの取得、開発及び保守 | 技術的（A.8） |
| A.15 供給者関係 | 組織的（A.5） |
| A.16 情報セキュリティインシデント管理 | 組織的（A.5） |
| A.17 事業継続マネジメントにおける情報セキュリティの側面 | 組織的（A.5） |
| A.18 順守 | 組織的（A.5） |
2022年版の4テーマは次の構成です。
| テーマ | 番号 | 管理策数 |
|---|---|---|
| 組織的管理策 | A.5 | 37 |
| 人的管理策 | A.6 | 8 |
| 物理的管理策 | A.7 | 14 |
| 技術的管理策 | A.8 | 34 |
ここで最も事故が起きやすいのが番号の衝突です。 2013年版の「A.8」は資産の管理でしたが、2022年版の「A.8」は技術的管理策です。「A.9 アクセス制御」という表記は2022年版には存在しません。旧版ベースの資料を読むときは、必ず版を確認してから番号を引用してください。
なお、上表はあくまで大まかな行き先の目安です。統合・分割が行われているため、1対1で対応しない管理策が多数あります。正確な対応は規格本文の対応表（附属書）を参照してください。
属性（attribute）の導入
2022年版の附属書Aでは、各管理策に属性という分類軸が付与されました。管理策を複数の切り口で横断的に見られるようにするための仕組みです。
| 属性 | 値の例 |
|---|---|
| 管理策タイプ | 予防／検知／是正 |
| 情報セキュリティ特性 | 機密性／完全性／可用性 |
| サイバーセキュリティ概念 | 特定／防御／検知／対応／復旧 |
| 運用能力 | ガバナンス、資産管理、情報保護、人的資源のセキュリティ、物理的セキュリティ、システム及びネットワークのセキュリティ、ほか |
| セキュリティドメイン | ガバナンスとエコシステム／保護／防御／レジリエンス |
重要なのは、属性の使用は任意であるという点です。 適用宣言書に属性列を設ける義務はなく、属性を使わなくても規格への適合に影響しません。
それでも活用する価値があるのは、次のような場面です。
- 検知系の薄さを可視化する：管理策タイプで分類すると、予防に偏り検知・是正が少ない実態が見える
- 経営層への説明に使う：機密性・完全性・可用性のどれをどの程度カバーしているかを示す
- 他フレームワークとの対応：サイバーセキュリティ概念（特定／防御／検知／対応／復旧）は他の枠組みとの接続に使える
初回取得で運用負荷を抑えたい場合は、属性を扱わない判断も合理的です。適用宣言書の設計は 適用宣言書（SoA）の書き方 で詳しく扱っています。
本文（箇条4〜10）の変更点
附属書Aの再編に比べると本文の変更は小さいのですが、文書やプロセスの作り直しが必要になる箇所が数点あります。
| 箇条 | 主な変更 | 実務への影響 |
|---|---|---|
| 4 組織の状況 | 利害関係者の要求事項のうち、ISMSを通じて取り組むものを決定することが明確化。ISMSに必要なプロセスとその相互作用を決めることが明示 | 利害関係者一覧に「ISMSで対応するか」の列が要る |
| 5 リーダーシップ | 大きな変更なし | — |
| 6 計画 | リスク対応で決定した管理策を附属書Aと比較して見落としがないことを検証するという記述に整理。情報セキュリティ目的について監視・伝達・文書化が明確化。6.3 変更の計画が新設 | 適用宣言書の作り方の順序が「リスク→管理策→附属書Aで検証」になる。ISMSの変更を計画的に行う手順が必要 |
| 7 支援 | 大きな変更なし（コミュニケーションの要求が整理） | — |
| 8 運用 | プロセスの基準を定め基準に従って管理すること、計画した変更の管理と意図しない変更のレビュー、外部から提供されるプロセス・製品・サービスの管理が明確化 | 変更管理の記録が必須に近い扱いになる |
| 9 パフォーマンス評価 | 9.2・9.3 が細分化。マネジメントレビューのインプットに「利害関係者のニーズ及び期待の変化」が明示 | 議事録の様式に欄を追加する |
| 10 改善 | 項番の順序が入れ替わり、10.1 継続的改善／10.2 不適合及び是正処置に | 文書内の参照番号を更新する |
各箇条の実務は 箇条4｜組織の状況、箇条5 リーダーシップ、箇条6 計画、箇条7 支援、箇条8 運用、箇条9 パフォーマンス評価、箇条10 改善 で解説しています。
旧版ベースの資料を読むときの注意
新規取得の実務で差分知識が効くのは、次のような場面です。
| 場面 | 起きること | 対処 |
|---|---|---|
| 社内に旧版ベースの規程が残っている | 「A.12 運用のセキュリティに基づき」といった参照が本文に埋まっている | 参照番号を全文検索し、2022年版の番号に置換する。テーマ名も更新する |
| 書籍・Web記事を参考にする | 14分類前提の章立て、旧番号での解説 | 発行年と対象版を確認する。2022年10月以前の資料は旧版前提と考える |
| 他社の適用宣言書を参考にする | 114行の様式、旧番号 | 構造の参考にとどめ、番号はそのまま使わない |
| 取引先のチェックシートが旧版準拠 | 「A.9のアクセス制御について」といった設問が来る | 2022年版の該当管理策に読み替えて回答し、回答書に読み替えた旨を明記する |
| 委託先の認証書を確認する | 認証書の規格表記が旧版 | 移行期限経過後も旧版表記の認証書が有効に見える場合があるため、有効期限と規格版を確認する |
| 過去のリスクアセスメント表を流用する | 管理策列が旧番号 | リスクの内容は流用してよいが、管理策の紐づけは張り直す |
とくに注意したいのが4行目です。 取引先から届くセキュリティチェックシートは、更新されずに使い回されていることがあります。旧番号のまま回答すると、自社の文書と突き合わせたときに整合が取れません。読み替えた事実を回答書に1行添えておくと、後の照会が減ります。チェックシート対応の考え方は ベンダーへのセキュリティチェックシート をご覧ください。
ヘルスケア企業にとって効く新規管理策
新規11管理策のうち、医療情報を扱う事業者にとって特に実務負荷と価値が大きいのは次の4つです。
A.5.23 クラウドサービスの利用における情報セキュリティ
医療情報をクラウドに置く場合、選定基準・契約上のセキュリティ要件・責任分界・解約時のデータ返却と削除までをプロセスとして定めることが求められます。3省2ガイドラインがクラウド利用について求める内容と重なるため、両方を1つの手順書でカバーするのが効率的です。クラウド側の論点は 医療機関のクラウドセキュリティ、責任分界は AIカルテのセキュリティ設計と責任共有モデル で扱っています。
A.8.10 情報の削除／A.8.11 データマスキング
医療情報の保存期間の定義と、期間経過後の確実な削除は、この2つの管理策と直結します。また、本番の医療データを開発・検証環境にコピーする運用は、A.8.11 の観点から見直しが必要になる典型例です。仮名化・マスキングの手順を定めておくと、開発効率を落とさずに対応できます。
A.8.16 監視活動
医療情報システムではアクセスログの取得だけでなく、異常の検知が求められます。誰がいつ何を見たかを記録するだけでなく、通常と異なるアクセスパターンを検知する仕組みがあるかが問われます。医療機関側の実務は 電子カルテのアクセスログ点検 が参考になります。
A.8.28 セキュアコーディング
自社で医療系プロダクトを開発している場合、コーディング規約、レビュー、静的解析、依存パッケージの管理までが範囲に入ります。設計段階からの考え方は 医療システムのセキュリティ・バイ・デザイン をご覧ください。
いずれも、ガイドライン対応とISMSの両方で求められる領域です。文書を分けずに統合する方針は ISMS文書と3省2ガイドライン対応文書の統合、ガイドラインの全体像は 3省2ガイドラインとは にまとめています。
まとめ
2022年版と2013年版の差分について押さえるべき点は次のとおりです。
- 移行期限（2025年10月31日）は既に経過。新規取得も更新も2022年版が対象で、移行作業という論点は残っていない
- 差分知識が今も必要なのは、旧版を前提に書かれた社内文書・書籍・Web記事・取引先チェックシートが流通しているため
- 附属書Aは 114→93。内訳は更新58・統合24・新規11。減ったのは要求が緩んだからではなく、統合の結果
- 14分類から4テーマへ（組織的37／人的8／物理14／技術34）。旧版の A.8・A.9 と新版の番号は意味が違うため、番号の引用時は必ず版を確認する
- 属性の導入は任意。適用宣言書に属性列を設ける義務はない。検知系の薄さの可視化などに使える
- 本文では 6.3 変更の計画の新設、8.1 の変更管理の明確化、9.3 インプットへの「利害関係者のニーズ及び期待の変化」の追加、箇条10の順序入替が実務に効く
- 新規11のうち6つが技術的管理策。ヘルスケアでは A.5.23 クラウド、A.8.10 削除、A.8.11 マスキング、A.8.16 監視、A.8.28 セキュアコーディングの負荷が大きい
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。2022年版に準拠した規程・台帳・教材のひな形を提供するため、旧版ベースの資料を読み替える作業から始める必要はありません。新規11管理策のうち自社に必要なものの見極めも一緒に行います。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。手元の文書が2022年版に対応しているかのご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISMS適合性評価制度 ISO/IEC 27001:2022への対応について｜ISMS-AC
- ISO/IEC 27001 Information security management systems｜ISO
- JIS Q 27001:2023｜日本産業標準調査会
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※管理策の統合・分割の正確な対応関係は、規格本文に収録された対応表をご確認ください。移行に関する制度上の取扱いは認定機関・審査機関の公表資料が正本です。