全体像：土台と、その上に載るもの
情報セキュリティを組織として回す仕組みの要求事項。認証の中心。ここが無いと他が始まりません。
27001の管理策をどう実装するかの解説。認証の対象ではありません（「27002認証」は存在しません）。
クラウド特有の管理策。日本ではISMS認証に上乗せする「ISMSクラウドセキュリティ認証」として運用。
クラウド事業者が顧客の個人情報を預かる立場で守るべき事項の規範。
プライバシー保護のマネジメント。2025年版から単独で認証可能な独立規格に。
規格＝何をすべきかが書かれた文書。買って読むもの。
認証＝その規格に適合していることを第三者（認証機関）が証明する制度。認証制度が存在しない規格もあります。
顧客チェックシートで問われるのは通常「認証」のほうです。
2025年10月の変更（ISO/IEC 27701:2025）
| ISO/IEC 27701:2019（旧） | ISO/IEC 27701:2025（新） | |
|---|---|---|
| 位置づけ | ISO/IEC 27001 を拡張してプライバシー要求を追加する規格 | 独立したマネジメントシステム規格 |
| 認証の前提 | ISMS認証が必須（ISMS-PIMS認証というアドオン） | ISMS認証を前提としない独立したPIMS認証 |
| 発行日 | 2019年 | 2025年10月14日 |
① 既に ISMS-PIMS 認証を持っている場合：移行期限までに新版へ移行する必要があります。認証機関に移行計画を確認してください。
② これから取る場合：ISMS（27001）を先に取らなくても PIMS 単独で取得できる選択肢が生まれました。ただし実務上は 27001 を土台にしたほうが合理的な場面が多いため、どちらが自社に合うかは目的から考えます。
③ Web上の解説記事は古いものが多く残っています。「27701はISMSの拡張規格」という説明を見かけたら、2019年版の話です。
それぞれ何の規格か
ISO/IEC 27001 — ISMS
情報セキュリティを組織として継続的に回す仕組みの要求事項です。個別の技術対策そのものではなく、リスクを評価し、対策を決め、実施し、見直すサイクルを求めます。
本文にマネジメントシステムの要求事項があり、附属書Aに管理策が並びます。2022年版では管理策が組織的・人的・物理的・技術的の4テーマに整理されました。
全社なのか、一部の事業部・サービスなのか。ここで認証の価値がほぼ決まります。顧客に「取得しています」と言っても、適用範囲が自社の提供サービスを含んでいなければ意味がありません。逆に、範囲を広げすぎると運用負荷が跳ね上がります。
ISO/IEC 27002 — 管理策の実践の規範
27001附属書Aの管理策をどう実装するかを解説した手引です。認証規格ではありません。「27002認証を取得しています」という表現は誤りなので、社内資料や顧客回答で使わないよう注意してください。
ISO/IEC 27017 — クラウドサービスの情報セキュリティ
クラウド特有の論点（クラウド事業者と利用者の責任分界、仮想環境の分離、管理者権限、データの返却と削除など）に対する管理策の規範です。
クラウドサービス提供者（CSP）と利用者（CSC）の双方に向けて書かれているのが特徴で、SaaS事業者は提供者としての側面と、他社クラウドを使う利用者としての側面の両方を持ちます。
ISO/IEC 27018 — パブリッククラウドにおけるPII保護
クラウド事業者が顧客から預かった個人情報（PII）を処理する立場で守るべき事項の規範です。目的外利用の禁止、顧客への協力、開示要請への対応、データの所在の開示などが扱われます。
ISO/IEC 27701 — PIMS
プライバシー情報のマネジメントシステム。個人情報のライフサイクル全体（取得・利用・保管・共有・廃棄）でリスクを管理する枠組みです。個人情報保護法やGDPRへの対応基盤として使われます。
2025年版から独立規格となり、単独認証が可能になりました（前章）。
日本での認証制度
日本では ISMS-AC（情報マネジメントシステム認定センター）が認定制度を運用しています。
| 制度 | 規格 | ISMS認証が前提か |
|---|---|---|
| ISMS適合性評価制度 | ISO/IEC 27001 | — （これが土台） |
| ISMSクラウドセキュリティ認証 | ISO/IEC 27017 | 前提。ISMS認証へのアドオン |
| ISMS-PIMS認証 | ISO/IEC 27701:2019 | 前提（2028年10月31日で失効） |
| PIMS適合性評価制度 | ISO/IEC 27701:2025 | 不要。単独で取得可能 |
個人情報保護法との関係
| 個人情報保護法 | ISO/IEC 27001・27701 など | |
|---|---|---|
| 性質 | 法律。守らなければ違法となり得る | 任意の規格。取らなくても違法ではない |
| 強制力 | あり（委員会の指導・勧告・命令等） | なし（契約や取引条件で求められることはある） |
| 求めるもの | 個別の義務（利用目的の特定、安全管理措置、漏えい報告など） | 組織として回す仕組み |
| 関係 | 要求している中身は大きく重なります。法が求める安全管理措置は、ISMSの管理策とほぼ同じことを言っています | |
認証は仕組みが規格に適合していることの証明であって、個別の法令要件を満たしていることの証明ではありません。ISMSを取得していても、利用目的の特定が不十分なら個人情報保護法違反になり得ます。社内でも顧客にも、ここを混同して説明しないでください。
日々の相談対応（事例集）は、そのまま管理策の運用実績になります。「委託先を監督しているか」「アクセス権を最小限にしているか」「事故時の報告経路があるか」——法が求めることと、規格が求めることは同じです。相談に答える＝統制の証跡が積み上がるという設計にすると、認証が「取るための作業」から「やっていることの証明」に変わります。
業務での活用
① 顧客チェックシートの工数が下がる
認証を持っていると、個別項目の検証を省略してもらえることが多く、回答工数が実際に減ります。これが取得の最も分かりやすい実利です。
「ISMSを取得しています」だけだと全社と誤解され、後で範囲外だと分かったときに信頼を失います。登録番号・適用範囲・有効期限をセットで書くのが正しい回答です（チェックシート対応の設問13）。
② 社内の合意形成に使える
「セキュリティ担当がうるさいことを言っている」から「規格の要求事項なので必要」に変わります。担当者個人の意見ではなく、外部の基準として説明できることの価値は大きいです。
③ 取得の順序
次に、目的に応じて選ぶ。クラウド事業者としての信頼を示したいなら 27017。個人情報の取扱いを示したいなら 27701。「全部取る」を目標にしないでください。維持コスト（内部監査・マネジメントレビュー・審査費用）が毎年かかります。
顧客が何を求めているかから逆算するのが最も無駄がありません。
④ 取得前に決めるべきこと
- 適用範囲（最重要）— どの組織・どのサービス・どの拠点までか
- 目的 — 顧客要求への対応か、社内の底上げか。目的が曖昧だと形だけの取得になります
- 維持体制 — 誰が内部監査を回すか。取得より維持のほうが長く続きます
- 既存の取り組みとの対応づけ — 個人情報保護法対応、社内規程、既にやっていることを棚卸しする
事例集
1. 顧客から「ISO27001は取っていますか」と聞かれた
未取得なら「未取得です」と正直に書き、代わりに実施している統制（規程、アクセス管理、教育、脆弱性診断など）を示します。取得予定があるなら時期を書きます。取得しているように読める曖昧な書き方が最悪です。
確認項目：認証の種類／登録番号／適用範囲が自社の提供サービスを含むか／有効期限／次回審査時期
2. 「27701を取っていますか」と聞かれたが、社内の資料が古い
旧版（2019）の ISMS-PIMS 認証なのか、新版（2025）の独立した PIMS 認証なのかで説明が変わります。「27701はISMSの拡張規格です」という説明は2019年版の話なので、そのまま使うと誤りになります。移行状況を認証機関に確認してから回答してください。
確認項目：取得している版（2019/2025）／移行計画と期限（2028年10月31日）／認証機関の対応状況
3. 「27018は取っていますか」と聞かれた
ISMS-AC の認証制度一覧には 27018 単独の制度は掲載されていません。「取得しています」と安易に答えないこと。自社が何の認証を持っているかを認証機関に確認し、事実を答えます。相手が本当に知りたいのは「顧客の個人情報を預かる立場での管理ができているか」なので、27017 や 27701、あるいは個別の統制で説明するほうが実質的です。
確認項目：自社が保有する認証の正確な名称／27018に対応する管理策を実施しているか／代替として示せるもの
4. 経営層から「ISMSを取れば法令対応は完了か」と聞かれた
認証は仕組みが規格に適合していることの証明であって、個別の法令要件を満たしていることの証明ではありません。ISMSを取得していても、利用目的の特定が不十分なら個人情報保護法違反になり得ますし、チャット機能を付けて届出をしていなければ電気通信事業法の問題が残ります（電気通信事業法）。
伝え方：「認証はやっていることの証明です。何をやるべきかは法令が決めます。両方必要です」
5. 適用範囲をどこまでにするか決められない
広げれば運用負荷と審査費用が増え、狭めれば顧客の求める範囲を外して意味が薄れます。「顧客に提示するサービスを提供している組織・システム」が最小の出発点です。将来の拡張は可能なので、最初から全社を狙う必要はありません。
確認項目：顧客が求めている範囲／対象サービスと組織／拠点／委託先の扱い／将来の拡張計画／維持できる体制か
6. 取得したが、運用が回らず形骸化してきた
認証のためだけの記録を別途作っていると、必ず続きません。相談対応・アクセス権の棚卸し・教育・事故対応といった日常業務の記録が、そのまま証跡になる設計に変えます。
やること：各管理策と日常業務の対応表を作る／記録の様式を業務側に寄せる／内部監査を「粗探し」ではなく「対応表の点検」にする
関連：事例集の各項目が、そのまま管理策の運用実績になります。
調べ方と、一人でできるようになるまで
調べ方の使い分け
| 知りたいこと | 見るもの |
|---|---|
| 認証制度の枠組み・最新の改訂 | ISMS-AC（情報マネジメントシステム認定センター）の公式サイト。制度変更のお知らせが一次情報 |
| 規格の本文 | 日本規格協会などで購入。規格は有償です（Webに全文は載りません） |
| 自社の認証の詳細 | 契約している認証機関。適用範囲・移行計画はここが確実 |
| 法令との関係 | 個人情報保護委員会のガイドライン（情報ソース） |
| 他社の取得状況 | ISMS-AC の認証取得組織の検索 |
一人でできるようになる5ステップ
種類・登録番号・適用範囲・有効期限・認証機関・次回審査日。意外と誰も正確に言えません。まずここを1枚にします。
「27002認証」は存在しない、「認証＝法令遵守の証明ではない」——この2つを人に説明できれば、社内の誤解の大半は防げます。
「委託先の監督」「アクセス権の管理」「教育」「事故対応」——すでにやっていることを管理策に紐づけます。これがあると、認証準備が「新しい作業」ではなく「既存業務の証明」になります。個人情報保護法の要求とも同時に対応づけられます。
認証まわりの設問は毎回同じです。適用範囲つきの標準回答を作っておけば、以後コピーで済みます（チェックシート対応）。
制度の解釈や移行の進め方は、契約している認証機関が最も正確に答えられます。自分で解説記事を読み込むより速いです。
やらなくてよいこと
- 規格の全文を暗記する — 必要なときに引けば足ります
- すべての認証を取る — 維持コストが毎年かかります。顧客の要求から逆算してください
- 解説記事を大量に読む — 古い情報が混ざります。制度は一次情報で確認
ISMS-AC（情報マネジメントシステム認定センター）
ISMS-AC：ISO/IEC 27701:2025 発行のお知らせ