ISO27017認証サービス
ISO27017とは
ISO/IEC 27017は、クラウドサービスの提供や利用における情報セキュリティの管理策に関する国際規格です。ISO/IEC 27001に基づく情報セキュリティマネジメントシステム（ISMS）を補完し、クラウドサービスに特化した情報セキュリティのガイドラインを提供します。
この規格は、クラウドサービスプロバイダ（CSP）とクラウドサービスカスタマー（CSC）の双方に適用され、クラウドサービスのセキュリティを強化し、信頼性の高いサービス提供を目指すための指針となります。
ISO27001で整えた情報セキュリティの仕組みに、クラウド固有の対策を追加します。
クラウドの提供・利用まで、
管理策を具体化
ISMSクラウドセキュリティ認証は、ISO27001認証を前提とする追加の認証です。その認証範囲に含まれるクラウドサービスの提供・利用について、ISO27017に基づく管理策を審査します。
例えば、提供者と利用者の責任分担や、クラウド環境の設定・運用に関する対策を明確にします。
土台となるISO27001認証サービスを見る認証の取得にはISO27001認証が必要です。未取得の場合も、ISO27001との同時取得についてご相談いただけます。
プロバイダ（提供者）
クラウドサービスを提供
サービスの運用・情報提供など、自社が担う管理策を実施
責任・役割の明確化
誰が、何を管理するか
契約・設定・運用について、双方の分担を確認
カスタマー（利用者）
クラウドサービスを利用
サービスの選定・設定など、自社の利用に伴うリスクを管理
具体的な分担は、サービスの種類や契約内容によって異なります。
規格改訂（2026年版）で変わったこと
ISO/IEC 27017は、2015年版から2026年版へ改訂されました。主な変更点と、移行準備で確認したい内容をご案内します。
| 何が変わったか | 企業側で見直すこと |
|---|---|
管理策の構成を再整理ISO27002:2022に合わせ、「組織的・人的・物理的・技術的」の4分野に整理。管理策の統合・削除・追加も行われました。 | 旧版との対応関係を確認し、適用宣言書や関連文書の項番・内容を更新します。番号の置き換えに加え、対策の差分を確認します。 |
パートナーとの責任を明確化 5.39クラウドサービスパートナーとの役割・責任について合意する管理策が追加されました。 | サービスの提供・利用を支える関係者を洗い出し、担当する業務とセキュリティ上の責任が契約や運用に反映されているかを確認します。 |
認可されていない利用への対策 8.36認可されていないクラウドサービスの利用を検出・防止する管理策が追加されました。 | クラウドの利用状況を把握し、申請・承認の手順、利用の監視、問題を検出した際の対応を確認します。 |
国内の認証基準も更新JIP-ISMS517-1.0から2.0へ改訂され、2026年10月14日に発行されました。 | 新版の認証基準に沿って、認証範囲、リスク評価、適用宣言書、関連手順と実際の運用の整合を確認します。 |
規格名と適用範囲の説明も見直され、プライベートクラウドを含む各種のクラウド形態への適用が明記されました。上表は主な変更点と対応の例です。実際に必要な対策は、自社の役割・サービス・リスクに応じて確認します。
旧認証基準で認証を取得している組織は、期間内に改訂版への移行が必要です。
次回の審査予定に合わせ、準備を進めましょう
まず現状との差分を整理し、必要な対策と文書・運用の見直しを計画します。ISCの移行審査の開始時期、お申し込み方法、提出資料は、詳細が整い次第ご案内します。
ISCの移行に関するお知らせを見る参照資料：ISO（規格の概要） ／ 規格の公開プレビュー（PDF・iTeh掲載） ／ JIPDEC（認証基準・PDF） ／ ISMS-AC（移行期間）
2026年10月27日時点の公開情報に基づき作成。
ISO27017の活用と認証取得のメリット
- ① 信頼性向上： ISO27017の認証を取得することで、組織のクラウドサービスに対する情報セキュリティへの取り組みやリスク管理の姿勢が明確化され、ステークホルダーや顧客からの信頼性が向上します。
- ② セキュリティ強化：ISO27017のガイドラインに基づいて、クラウドサービスの情報セキュリティ管理策を実施することで、情報漏えいや不正アクセスなどのリスクを軽減し、組織のセキュリティを強化することができます。
- ③ 法的要件への適合支援：クラウドサービスの提供・利用に関わる法的要求事項を把握し、対応状況を管理する取り組みに役立ちます。認証は、法令遵守そのものを保証するものではありません。
- ④ 競争力の向上：ISO27017の認証を取得することで、組織のブランド力やイメージが向上し、顧客やパートナーからの信頼を得ることができます。これにより、競争力を高め、市場での地位を強化することが可能です。
- ⑤ 継続的改善の促進：管理策の実施状況を点検し、必要な是正処置や見直しを行うことで、クラウドサービスの情報セキュリティを継続的に改善します。
ISサーティフィケーション株式会社は、米国のサイバーセキュリティ団体との連携を通じて、知識と技術の向上に取り組んでいます。サイバーセキュリティのコンサルティングやエンジニアリングの経験を持つ審査員が、規格への適合性とお客様の情報セキュリティの取り組みを、客観的かつ専門的な視点で評価します。
ISO27017認証審査機関の選定ポイントは？
ISO27017の認証機関を選ぶ際は、審査員の専門性、審査の進め方、費用などを確認し、組織の目的に合う機関を比較・検討してください。主な確認項目は次のとおりです。
1. 評判と信頼性
- 他の組織や業界内での評判・信頼性を確認します。
- 過去の実績や顧客の声、評価などを参考にします。
2. 認証審査員の経験と専門知識
- 審査員が対象業務に関する経験と専門知識を持っているかを確認します。
- サイバーセキュリティや情報セキュリティに関する実務経験も確認します。
3. 国内・国際的な認知度と規模
- 認証機関の対応体制や国際的なネットワークを確認します。
4. 審査の進め方と対応範囲
- 審査の対象範囲、実施方法、必要な準備を確認します。
- 組織の業務や拠点に応じた審査に対応できるかを確認します。
5. 審査料金とコスト効率
- 審査料金に含まれる項目と、別途発生する費用を確認します。
- 初回審査に加え、維持・更新に必要な費用も比較・検討します。
6. 関連サービスと説明体制
- 審査に関する質問への対応や、手続きの説明が分かりやすいかを確認します。
- 関連する教育・研修などを検討する場合は、その内容と認証審査との役割の違いを確認します。
これらのポイントを考慮しながら、組織の要件や目標に合致し、信頼性の高いISO27017認証審査機関を選定することが重要です。
審査と認証プロセス
以下は基本的な流れです。すでにISO27001認証を取得している場合は、既存の審査予定や認証範囲を確認し、実施方法・日程を個別にご案内します。
- 1. お問い合わせ：お問い合わせフォームまたはお電話で、認証審査に関するご相談を承ります。
- 2. お見積もり：事業内容、対象人数・拠点、認証を希望する範囲、ISMSの複雑さなどを伺い、審査条件と費用をご案内します。
- 3. お申し込み：お見積もりと審査条件に合意いただいた後、契約とお申し込みの手続きを行い、審査日程や必要な資料を確認します。
- 4. 第1段階審査：適用範囲、方針・手順、リスク評価などの文書と組織の状況を確認し、第2段階審査に進むための準備状況を評価します。
- 5. 第2段階審査：担当者へのヒアリングや運用記録の確認を通じて、ISMSが認証基準に適合し、有効に運用されているかを評価します。
- 6. 認証決定・認証書の発行：不適合がある場合は、必要な是正処置への対応を確認します。審査結果に基づいて認証の可否を決定し、認証を決定した場合に認証書を発行します。
- 7. 維持・更新審査：認証取得後もISMSを継続的に運用・改善し、定期的な維持審査と、有効期間の満了前に行う再認証審査を受けます。これらの審査で、認証基準への適合性と運用の有効性を確認します。
ご相談前によくある質問
ご相談の際にお聞かせいただきたいこと
- クラウドに関わる立場サービス提供者・利用者、またはその両方
- 対象のサービスと業務サービス名、対象業務・拠点、取り扱う情報
- ISO27001の認証状況現在の認証範囲、次回の審査予定、希望時期
取得をご検討中の場合も、現状と分かる範囲の情報をお聞かせください。
クラウドサービスを利用する会社も対象ですか？
ISO27001認証を取得していない場合も相談できますか？
利用先が認証済みなら、自社も認証済みになりますか？
費用と審査日程は、どのように決まりますか？
制度の参考情報：ISO：ISO/IEC 27017 ／ JIPDEC：認証基準（JIP-ISMS517-2.0・PDF）
ISO27017に関するご質問・ご意見などがございましたら、お気軽にお問い合わせください。
お申し込みから審査、認証までの流れと、当社の審査の特徴をご説明し、ご質問にお答えします。
ISMSの複雑さや対象人数などを踏まえ、お見積もり書をご提示します。