ISO/IEC 27017 クラウドセキュリティ管理策と実践の徹底解説

「国際標準の専門家」「ISMS のプロフェッショナル」「クラウドセキュリティの専門家」による徹底解説!
本書は、2016 年 12 月に JIS 化された ISO/IEC 27017:2015 の内容を、規格条文に沿って解説したものです。
本書は、ISO/IEC JTC 1/SC 27 における ISO/IEC 27017 の国際標準作成過程の議論をもとに、関連規格も含め「規格が策定された狙い」「その理解・対応の仕方」について、原文だけでは読み取れない規格成立の背景を含めて解説しています。また、クラウドセキュリティ特有の技術的な側面や ISMS クラウドセキュリティ認証制度についても解説しています。
国際標準のガイドラインについて、組織のクラウドセキュリティの向上を目指し、正確で的確な理解をしたい方々に、特にお勧めしたい一冊です。
第 1 章 ISO/IEC 27017 / JIS Q 27017 制定の背景及び経緯
1.1 ISO/IEC 27017 及び JIS Q 27017 の制定
1.2 ISO/IEC 27017 に基づく「ISMS クラウドセキュリティ認証」の概要

第 2 章 ISO/IEC 27017 の位置づけと概要及び用語の定義
2.1 ISO/IEC 27000 ファミリ規格における ISO/IEC 27017 の位置づけ
2.2 ISO/IEC 27017 と ISO/IEC 27001 (ISMS 要求事項) との関係
2.3 ISO/IEC 27017 と ISO/IEC 27002 との関係
2.4 ISO/IEC 27017 の箇条の構成
2.5 ISO/IEC 27017 の用語及び定義

第 3 章 クラウドサービスの特性とクラウド固有のセキュリティの必要性
3.1 オンプレミスとクラウドサービスの利用
3.2 責任分界とリスクマネジメント
3.3 クラウドコンピューティングを支える主な技術
3.4 クラウドサービスの論理構造
3.5 クラウドシステムの構成
3.6 クラウドサービスのリスク

第 4 章 ISO/IEC 27017 / JIS Q 27017 規程項目解説
4.1 ISO/IEC 27017 / JIS Q 27017 の規程項目解説の読み方
4.2 ISO/IEC 27017 / JIS Q 27017 規格本文 (箇条 5〜箇条 18) の解説
4.3 ISO/IEC 27017 / JIS Q 27017 附属書 A の解説

第 5 章 ISMS クラウドセキュリティ認証とその実務
5.1 ISMS クラウドセキュリティ認証制度
5.2 ISO/IEC 27017 とアドオン認証
5.3 認証審査の対象
5.4 ISMS クラウドセキュリティ認証の枠組み
5.5 ISMS クラウドセキュリティ構築

クラウドサービスに固有の情報セキュリティの管理策を扱う国際規格 ISO/IEC 27017 を、条文に沿って読み解く専門書です。『ISO/IEC 27017 クラウドセキュリティ管理策と実践の徹底解説』 (羽田 卓郎 編著、中尾 康二 監修、山﨑 哲、間形 文彦 著、日科技連出版社、2017 年 2 月刊) は、2016 年 12 月に JIS 化された ISO/IEC 27017:2015 を対象に、版元の紹介では「規格が策定された狙い」と「その理解・対応の仕方」を、国際標準を作る ISO/IEC JTC1/SC 27 での議論をもとに解説しています。規格の原文だけでは読み取れない成立の背景まで踏み込む点が、本書の軸です。

全 5 章の構成、制定の経緯から認証の実務まで

目次は全 5 章です。第 1 章「ISO/IEC 27017 / JIS Q 27017 制定の背景及び経緯」で規格の成り立ちと、この規格に基づく ISMS クラウドセキュリティ認証の概要を押さえ、第 2 章「ISO/IEC 27017 の位置づけと概要及び用語の定義」で ISO/IEC 27000 ファミリの中での位置づけ、ISO/IEC 27001 や ISO/IEC 27002 との関係、箇条の構成と用語を整理します。第 3 章「クラウドサービスの特性とクラウド固有のセキュリティの必要性」は条文から離れてクラウドの技術面を扱う章で、責任分界とリスクマネジメント、クラウドを支える主な技術、サービスの論理構造やシステムの構成、クラウドサービスのリスクを扱います。中心になる第 4 章は規程項目の解説で、規格本文の箇条 5 から箇条 18 と附属書 A を読み進めます。最後の第 5 章「ISMS クラウドセキュリティ認証とその実務」は、認証制度、アドオン認証としての位置づけ、審査の対象、認証の枠組み、構築の進め方を扱います。

提供者と利用者の責任分界をどう規格に落とすか

クラウドのセキュリティが難しいのは、一つの仕組みを複数の組織で分け合っているからです。クラウドサービス では、物理的な設備や仮想化の基盤は提供者が管理し、その上に置くデータや利用者のアカウントの管理は利用者に残ります。どこまでがどちらの責任かはサービスの形態によって変わり、境目があいまいなまま運用すると、双方が相手の仕事だと考えて誰も手当てしない穴が生まれます。さらに、同じ基盤の上で多くの顧客が動く マルチテナンシー の構成では、他の顧客との分離が利用者からは見えにくくなります。責任分界とリスクマネジメントは第 3 章で扱われ、規程項目の解説は第 4 章です。管理策の条文は、この前提を共有して初めて自社の状況に当てはめられます。

規格の担当者と認証を目指す組織に向く専門書

版元は、組織のクラウドセキュリティの向上を目指し、国際標準のガイドラインを正確に理解したい読者に勧めています。クラウドサービスを提供する事業者で ISMS の運用や認証の取得を担う人、クラウドを利用する組織で委託先の評価や社内規程の整備を担う人が、規格の条文と自社の実務を突き合わせながら読む使い方に合います。取引先や顧客に向けて、規格への 準拠 を第三者の認証で示したい組織にとっては、第 5 章の認証の実務までが一冊にまとまっている点が判断材料になります。一方で、特定のクラウドサービスの設定手順や、セキュリティの製品を選ぶための比較を求める読者には向きません。本書が対象にしているのは 2015 年版の規格と 2016 年の JIS であり、2017 年の刊行時点の内容です。ISO/IEC 27017:2015 は改訂され、2026 年 7 月 27 日に ISO/IEC 27017:2026 として発行されました。審査や社内規程に条文を引くときは、規格の発行元で適用中の版を確かめたうえで、本書を規格の狙いと背景を知るための解説として使うのが確実です。規格の文面だけでは判断に迷う管理策の意図を確かめたい担当者にとって、手元に置いて条文ごとに引き直せる一冊です。