ISO/IEC 27002改正 （ISMS 附属書A追補発行）をきっかけに、ISMSの見直し
マネジメントシステムによるビジネス貢献とともに管理者負担軽減を目指し
本年もISMS（情報セキュリティマネジメントシステム）の健全な普及促進に邁進します。

特に、昨今依頼が急増しているISO/IEC 27017に基づくクラウドセキュリティ構築
NIST CSFに基づくISMSによるサイバーセキュリティレジリエンスの強化
全社的リスクマネジメントを効率的に実施するためのSMARTサービスのリリース
さらに、QMS（品質マネジメントシステム）との統合運用などを重視します。

もっとも重要なテーマである『意識向上・教育訓練』をさらにブラッシュアップ
全社員・階層毎の教育プログラムの全面改正とともにより実践的な教育研修を提供します。

一般社団法人マネジメントシステム品質協会

 2022年1月吉日

ISO/IEC 27002改正 （ISMS 附属書A追補発行）をきっかけに、ISMSの見直し
マネジメントシステムによるビジネス貢献とともに管理者負担軽減を目指し
本年もISMS（情報セキュリティマネジメントシステム）の健全な普及促進に邁進します。

特に、昨今依頼が急増しているISO/IEC 27017に基づくクラウドセキュリティ構築
NIST CSFに基づくISMSによるサイバーセキュリティレジリエンスの強化
全社的リスクマネジメントを効率的に実施するためのSMARTサービスのリリース
さらに、QMS（品質マネジメントシステム）との統合運用などを重視します。

もっとも重要なテーマである『意識向上・教育訓練』をさらにブラッシュアップ
全社員・階層毎の教育プログラムの全面改正とともにより実践的な教育研修を提供します。

ご期待ください

一般社団法人マネジメントシステム品質協会

 2022年1月吉日



2022年はさらに効率的で効果的なマネジメントシステム運用をサポートします

27002の改定審議がDIS（10月1日時点ではFDIS）となったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて、検討された結果、3段階に分けて国際規格を改訂することになった。第一段階では、27001,27009,27017が改訂される予定。

[ZOOM] ISO/IEC 27002 改正内容がわかる（60分）ー受講無料 

※27009:セクター規格への27001適用　ー　要求事項
※27017:ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範

2021年4月のISOにおけるWeb会議にて、ISO/IEC 27002改訂版に整合させるために限定的な改訂を実施し、Amendment（追補）を作成することとなった。並行してPWIを設置し、27001前面改訂を検討することになった。

27002の改定審議がDIS段階（10月1日時点ではFDIS）となったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて検討された。その結果、27001については附属書AをSO/IEC 27002第３版に整合させるために限定的な改訂を実施し、Amendment(追補）を作成することになった。なお、Amendmentは限定的（部分的）な改訂であり、ISO/IEC 27002第３版に整合させるための改定以外は変更しない予定。また、Amendment作成と並行してPWIを設置し、27001全体の改定検討を開始することになった。

2021年4月のISOにおけるWeb会議にて、ISO/IEC 27002の改定審議がDISとなったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて検討した。その結果、27017改訂検討のためのPWIを設置することになった。

参考）PWI（Preliminary Work Item）とは
ISOにおける規格作成段階のうち、提案段階（NP審議）の一つ前の段階である予備段階で検討するために登録される審議案件。NPに進めるには次期尚早な事項や、規格の追補・改訂プロジェクト開始前の予備的な審議事項などが、PWIとして登録される。 

出典：ISMS-AC『ISO/IEC 27000ファミリーについて』〜SO/IEC JTC1/WS27/WG1における検討状況〜
2021.06.07発行 


変化（CHANGE）はチャンス（CHANCE）

社会環境やビジネス環境・IcT技術の急速な変化は新型コロナ感染症により加速しています。
急速な変化をリスクと捉えるか機会とするか

クラウド利用におけるリスク対策
サイバーセキュリティ対策

プロセスや技術の変化を捉えて機会を得るためにリスクを管理する
ISO/IEC 27002 改正により多くを学び管理策の見直しが可能です

JRCA登録審査員のためのCPDコース開講決定

『情報セキュリティ最新動向（27002改正対応）』

(1) 27002改正の理由（外部状況と脅威の変化）
(2) 27002改正概要（93種中11種の新たな管理策）
(3) 新旧対応と引き継がれる管理策について
(4) サーバーセキュリティ対策を含む新たな11種の解説
(5) 適用宣言書の改正対応プロセスとその手法

コース教材について
(1) 改正27002概要プレゼン資料（pdf版）
(2) 改正27002ガイドブック（pdf版）
(3) 改正27002管理策新旧対比マップ（Excel版）
(4) 新旧対比適用宣言書（Excel版）
(5) SMARTリスクマネジメントβ（Cloud版）

受講申し込みについて
受講予約をいただいた皆様にはMSQAより受講手続きについてご案内させていただきます。

請求書決済による受講予約窓口：MSQA（アイ・エヌ・ジーシステム株式会社）
クレジットカード決済による受講予約はこちらから 

主催：JRCA承認研修機関『なかつ情報通信開発センター 』

本件についてのお問い合わせはこちらから 

MSQA（一般社団法人マネジメントシステム品質協会）

ISMS-AC『ISO/IEC 27000ファミリーについて』〜SO/IEC JTC1/WS27/WG1における検討状況〜

[ZOOM] ISO/IEC 27002 改正内容がわかる（60分）ー受講無料

MSQA（アイ・エヌ・ジーシステム株式会社）

クレジットカード決済による受講予約はこちらから

なかつ情報通信開発センター

ISO/IEC 27002改定
27002の改定審議がDIS（10月1日時点ではFDIS）となったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて、検討された結果、3段階に分けて国際規格を改訂することになった。第一段階では、27001,27009,27017が改訂される予定。
[ZOOM] ISO/IEC 27002 改正内容がわかる（60分）ー受講無料 
※27009:セクター規格への27001適用　ー　要求事項
※27017:ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範



ISO/IEC 27001:2013は？
2021年4月のISOにおけるWeb会議にて、ISO/IEC 27002改訂版に整合させるために限定的な改訂を実施し、Amendment（追補）を作成することとなった。並行してPWIを設置し、27001前面改訂を検討することになった。
27002の改定審議がDIS段階（10月1日時点ではFDIS）となったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて検討された。その結果、27001については附属書AをSO/IEC 27002第３版に整合させるために限定的な改訂を実施し、Amendment(追補）を作成することになった。なお、Amendmentは限定的（部分的）な改訂であり、ISO/IEC 27002第３版に整合させるための改定以外は変更しない予定。また、Amendment作成と並行してPWIを設置し、27001全体の改定検討を開始することになった。
ISO/IEC 27017:2015は？
2021年4月のISOにおけるWeb会議にて、ISO/IEC 27002の改定審議がDISとなったことを受けて、27002改定の影響を受ける27000ファミリー規格全体の改訂スケジュールについて検討した。その結果、27017改訂検討のためのPWIを設置することになった。
参考）PWI（Preliminary Work Item）とは
ISOにおける規格作成段階のうち、提案段階（NP審議）の一つ前の段階である予備段階で検討するために登録される審議案件。NPに進めるには次期尚早な事項や、規格の追補・改訂プロジェクト開始前の予備的な審議事項などが、PWIとして登録される。 
出典：ISMS-AC『ISO/IEC 27000ファミリーについて』〜SO/IEC JTC1/WS27/WG1における検討状況〜
2021.06.07発行 


変化（CHANGE）はチャンス（CHANCE）
社会環境やビジネス環境・IcT技術の急速な変化は新型コロナ感染症により加速しています。
急速な変化をリスクと捉えるか機会とするか
クラウド利用におけるリスク対策
サイバーセキュリティ対策
プロセスや技術の変化を捉えて機会を得るためにリスクを管理する
ISO/IEC 27002 改正により多くを学び管理策の見直しが可能です
[ZOOM] ISO/IEC 27002 改正内容がわかる（60分）ー受講無料 


JRCA登録審査員のためのCPDコース開講決定
『情報セキュリティ最新動向（27002改正対応）』
(1) 27002改正の理由（外部状況と脅威の変化）
(2) 27002改正概要（93種中11種の新たな管理策）
(3) 新旧対応と引き継がれる管理策について
(4) サーバーセキュリティ対策を含む新たな11種の解説
(5) 適用宣言書の改正対応プロセスとその手法
コース教材について
(1) 改正27002概要プレゼン資料（pdf版）
(2) 改正27002ガイドブック（pdf版）
(3) 改正27002管理策新旧対比マップ（Excel版）
(4) 新旧対比適用宣言書（Excel版）
(5) SMARTリスクマネジメントβ（Cloud版）
受講申し込みについて
受講予約をいただいた皆様にはMSQAより受講手続きについてご案内させていただきます。

請求書決済による受講予約窓口：MSQA（アイ・エヌ・ジーシステム株式会社）
クレジットカード決済による受講予約はこちらから 
主催：JRCA承認研修機関『なかつ情報通信開発センター 』
本件についてのお問い合わせはこちらから 
MSQA（一般社団法人マネジメントシステム品質協会）

ISO/IEC 27002が改定されますが、ISO/IEC 27001（ISMS）はどぉなる？

フルリモートによるCPD5時間コース開催決定

必要な継続的専門能力開発(CPD)実績について
JRCA登録の審査員補、審査員、主任審査員及びエキスパート審査員は、前回の資格維持申請受付日（前
年が資格更新の場合は、資格更新申請受付日）を起点として、今回の資格維持申請日までの
期間を対象とする継続的専門能力開発(CPD)の実績を提出することが必要です。
必要な CPD 実績時間は、審査員補は５時間、審査員及び主任審査員は１５時間とされており、専門能力開発の対象となる活動は以下の通りです。

専門能力開発の対象となる活動
継続的専門能力開発(CPD)は、情報セキュリティマネジメントシステム審査員としての能力維持・向上に直接的又は間接的に寄与する活動であって、以下の事項が対象となります。
①ISMS関連規格の理解に関するもの
②情報技術、情報セキュリティに関するもの
③リスクアセスメント、リスク対応、管理策に関するもの
④ISMSに関連する法規制に関するもの
⑤ISMSの審査技術の向上に関するもの
⑥審査員指導に関する知識及び技能の習得（エキスパート審査員に限る）

専門能力開発の方法
継続的専門能力開発(CPD)の方法には、以下の種類があります。
(1)研修コース等への参加
　①JRCA 登録 CPD 研修コース 
　②MS 認証機関で行われる所属／契約審査員を対象とした研修会
　③一般参加が可能な研修会、公開講座、講演会
(2)自己学習等
　①書籍、専門誌、インターネット等を利用した個人学習
　②所属組織等におけるグループ学習
(3)ISMS 審査（監査）の実施（審査員補の場合）

MSQAにおけるCPD支援
JRCA承認研修機関：なかつ情報通信開発センター主催のCPDコース開催を支援しています。
開催日程と内容につきましてはコース一覧 をご覧ください。

2021年度開催テーマ
1.クラウド固有のリスクと管理策（ISO/IEC 27017とクラウド認証制度の理解）　5時間コース
2.改正ISO/IEC 27001から管理策実装方法（適用宣言書の新旧対応方法の理解）　5時間コース
3.全社的リスクマネジメント推進手法・実践事例から学ぶ（ツール技法理解）   　5時間コース

お問い合わせ先：MSQA（ISMS Society）事務局 

フルリモートによるCPD5時間コース開催決定

必要な継続的専門能力開発(CPD)実績について
JRCA登録の審査員補、審査員、主任審査員及びエキスパート審査員は、前回の資格維持申請受付日（前
年が資格更新の場合は、資格更新申請受付日）を起点として、今回の資格維持申請日までの
期間を対象とする継続的専門能力開発(CPD)の実績を提出することが必要です。
必要な CPD 実績時間は、審査員補は５時間、審査員及び主任審査員は１５時間とされており、専門能力開発の対象となる活動は以下の通りです。
専門能力開発の対象となる活動
継続的専門能力開発(CPD)は、情報セキュリティマネジメントシステム審査員としての能力維持・向上に直接的又は間接的に寄与する活動であって、以下の事項が対象となります。
①ISMS関連規格の理解に関するもの
②情報技術、情報セキュリティに関するもの
③リスクアセスメント、リスク対応、管理策に関するもの
④ISMSに関連する法規制に関するもの
⑤ISMSの審査技術の向上に関するもの
⑥審査員指導に関する知識及び技能の習得（エキスパート審査員に限る）

専門能力開発の方法
継続的専門能力開発(CPD)の方法には、以下の種類があります。
(1)研修コース等への参加
　①JRCA 登録 CPD 研修コース 
　②MS 認証機関で行われる所属／契約審査員を対象とした研修会
　③一般参加が可能な研修会、公開講座、講演会
(2)自己学習等
　①書籍、専門誌、インターネット等を利用した個人学習
　②所属組織等におけるグループ学習
(3)ISMS 審査（監査）の実施（審査員補の場合）
MSQAにおけるCPD支援
JRCA承認研修機関：なかつ情報通信開発センター主催のCPDコース開催を支援しています。
開催日程と内容につきましてはコース一覧 をご覧ください。
2021年度開催テーマ
1.クラウド固有のリスクと管理策（ISO/IEC 27017とクラウド認証制度の理解）　5時間コース
2.改正ISO/IEC 27001から管理策実装方法（適用宣言書の新旧対応方法の理解）　5時間コース
3.全社的リスクマネジメント推進手法・実践事例から学ぶ（ツール技法理解）   　5時間コース
お問い合わせ先：MSQA（ISMS Society）事務局 

継続的専門能力開発（CPD）コース開催

SMARTリスクマネジメント
MSQAが企画開発を進めているクラウドサービスです

全社的リスクマネジメントを効率的にそして効果的に実施
β版を無料セミナーでご紹介

[ZOOM] 情報セキュリティリスクアセスメントを驚くほど効率的かつ効果的なテクニック 
ー受講無料（90分）https://coubic.com/msqa/492492#pageContent

タイムリーなリスク特定
クラウドシステムで全社員からリスクを取集し分析する
教育研修（演習）教材として利用することでリスク感性を磨き実践する
ISMS管理者（推進担当者）の管理負担を激減させる

情報セキュリティ定期研修で変化する脅威と脆弱性を学び全員でリスクを特定することにより、全従業員のリスク感性を磨きます。さらにSMARTリスクマネジメントでは、部門長やマネージャーのリスク管理を無理なく支援します。

セキュリティ責任者や担当者のリスク管理における文書管理の負担を無くし効果的な全社的リスク管理を実現します。

SMARTリスクマネジメントはリスクアセスメントを自動化することを目的としたベータ版から運用を開始し、リスク対応計画管理機能や適用管理機能（適用宣言書管理）、パフォーマンス評価（監査）管理機能などの実装を計画し、マネジメントシステムの効率的で効果的な運用管理システムとして改善し続けます。

MSQA法人会員様よりリスクアセスメントを効率化することを目的にベータ版の提供を開始するとともに、ISMS審査員研修受講者や実践編受講者にベータ版アカウントを提供しします。

SMARTリスクマネジメントは以下のセミナーで使い方と運用方法をご紹介（解説）しています。
[ZOOM] 情報セキュリティリスクアセスメントを驚くほど効率的かつ効果的なテクニック 
ー受講無料（90分）https://coubic.com/msqa/492492#pageContent

お問い合わせ先：https://isms-society.jp/contact.html

https://coubic.com/msqa/492492#pageContent

SMARTリスクマネジメント
MSQAが企画開発を進めているクラウドサービスです
全社的リスクマネジメントを効率的にそして効果的に実施
β版を無料セミナーでご紹介
[ZOOM] 情報セキュリティリスクアセスメントを驚くほど効率的かつ効果的なテクニック 
ー受講無料（90分）https://coubic.com/msqa/492492#pageContent
タイムリーなリスク特定
クラウドシステムで全社員からリスクを取集し分析する
教育研修（演習）教材として利用することでリスク感性を磨き実践する
ISMS管理者（推進担当者）の管理負担を激減させる
情報セキュリティ定期研修で変化する脅威と脆弱性を学び全員でリスクを特定することにより、全従業員のリスク感性を磨きます。さらにSMARTリスクマネジメントでは、部門長やマネージャーのリスク管理を無理なく支援します。
セキュリティ責任者や担当者のリスク管理における文書管理の負担を無くし効果的な全社的リスク管理を実現します。
SMARTリスクマネジメントはリスクアセスメントを自動化することを目的としたベータ版から運用を開始し、リスク対応計画管理機能や適用管理機能（適用宣言書管理）、パフォーマンス評価（監査）管理機能などの実装を計画し、マネジメントシステムの効率的で効果的な運用管理システムとして改善し続けます。
MSQA法人会員様よりリスクアセスメントを効率化することを目的にベータ版の提供を開始するとともに、ISMS審査員研修受講者や実践編受講者にベータ版アカウントを提供しします。
SMARTリスクマネジメントは以下のセミナーで使い方と運用方法をご紹介（解説）しています。
[ZOOM] 情報セキュリティリスクアセスメントを驚くほど効率的かつ効果的なテクニック 
ー受講無料（90分）https://coubic.com/msqa/492492#pageContent
お問い合わせ先：https://isms-society.jp/contact.html

リスクマネジメントを驚くほど効率的かつ効果的に実施するために

Password付きzipファイルを送ります、
Passwordを送ります、Aん号化（暗号化）
Protocol（プロトコル）の略語です。

メールで添付ファイルを送る方法として、「パスワード付きZIPファイルと、そのパスワードを別送する」日本において多く見られるセキュリティ対策の慣行となっています。
2020 年 10 月に開始したデジタル化推進に関する国民の意見募集サイト 「デジタル改革アイデアボックス」で PPAP に関して懐疑的な意見が多数寄せられました。これを受けて、内閣府の全職員に対し、外部へのファイル送信時に PPAP 方式を行わないことを通知すると発表しました。政府機関や大企業も PPAP 脱却へ動き出しており、現在 PPAP 方式でメールを送っている場合は、今後見直す必要がありそうです。

PPAPについては、既に以下の問題が明らかになっています。

◆ファイルの盗聴・誤送信対策として効果が見込めない
◆暗号化されたファイルを受け取る側が危険にさらされる
◆送信側にも受信側にも手間がかかる

今、考えるべきは、誤送信や盗聴を防ぎつつ、安全にファイルを相手に届ける仕組みを用意することです。

PPAP は、
Password付きzipファイルを送ります、
Passwordを送ります、Aん号化（暗号化）
Protocol（プロトコル）の略語です。

メールで添付ファイルを送る方法として、「パスワード付きZIPファイルと、そのパスワードを別送する」日本において多く見られるセキュリティ対策の慣行となっています。
2020 年 10 月に開始したデジタル化推進に関する国民の意見募集サイト 「デジタル改革アイデアボックス」で PPAP に関して懐疑的な意見が多数寄せられました。これを受けて、内閣府の全職員に対し、外部へのファイル送信時に PPAP 方式を行わないことを通知すると発表しました。政府機関や大企業も PPAP 脱却へ動き出しており、現在 PPAP 方式でメールを送っている場合は、今後見直す必要がありそうです。
PPAPについては、既に以下の問題が明らかになっています。
◆ファイルの盗聴・誤送信対策として効果が見込めない
◆暗号化されたファイルを受け取る側が危険にさらされる
◆送信側にも受信側にも手間がかかる

今、考えるべきは、誤送信や盗聴を防ぎつつ、安全にファイルを相手に届ける仕組みを用意することです。
http://msqa.jp

脱PPAPについて

プロセスや技術の変化を捉えて機会を得るためにリスクを管理する

ISO/IEC 27002 改正により多くを学び管理策の見直しが可能です

https://coubic.com/msqa/977548#pageContent 

変化（CHANGE）はチャンス（CHANCE）
社会環境やビジネス環境・IcT技術の急速な変化は新型コロナ感染症により加速しています。
急速な変化をリスクと捉えるか機会とするか
クラウド利用におけるリスク対策
サイバーセキュリティ対策
プロセスや技術の変化を捉えて機会を得るためにリスクを管理する
ISO/IEC 27002 改正により多くを学び管理策の見直しが可能です
[ZOOM] ISO/IEC 27002 改正内容がわかる（60分）ー受講無料 
https://coubic.com/msqa/977548#pageContent 

発行：MSQA info@msqa.jp



ISO/IEC 27002:2013『情報セキュリティ管理策の実践のための規範』は改正されます。

2021年4月22日に投票の終了したISO/IEC DIS 27002によると表題が、『 Information security,cybersecurity and privacyprotection — Information security controls 』（情報セキュリティ,サイバーセキュリティ,プライバシー保護ー情報セキュリティ管理策）となります。

2013年版（現行）では、A.5からA.18の14カテゴリーで構成されていましたが、以下の４つのテーマに分類されます。

5.組織的管理策（37種）
6.人的管理策（8種）
7.物理的管理策（14種）
8.技術的管理策（34種）

2013年版では114種の管理策が掲載されていましたが、今回統廃合されるとともにDX、クラウド利用、サイバーセキュリティなど昨今の急速なビジネス環境の変化と脅威の変化に対応するために11種の新たな管理策が追加されています。

MSQAでは、安心安全なビジネス環境を維持するために必要なリスク対策（管理策）のスマートな実装と運用を目指し、27002改正に注目してきました。2021年9月より改正概要セミナー開催をスタートに、現在の適用宣言書に追加された管理策を拡張するためのテクニックを紹介する実践セミナー及び改正された管理策の全貌をご理解いただくための研修（改正実践ガイド付き）を順次開催します。

まずは[ZOOM] 改正概要セミナー（60分）無料にご参加ください。

https://coubic.com/msqa/977548#pageContent

お問い合わせ：MSQA（一般社団法人マネジメントシステム品質協会） 

ISO/IEC 27002:2013『情報セキュリティ管理策の実践のための規範』は改正されます。
2021年4月22日に投票の終了したISO/IEC DIS 27002によると表題が、『 Information security,cybersecurity and privacyprotection — Information security controls 』（情報セキュリティ,サイバーセキュリティ,プライバシー保護ー情報セキュリティ管理策）となります。
2013年版（現行）では、A.5からA.18の14カテゴリーで構成されていましたが、以下の４つのテーマに分類されます。
5.組織的管理策（37種）
6.人的管理策（8種）
7.物理的管理策（14種）
8.技術的管理策（34種）
2013年版では114種の管理策が掲載されていましたが、今回統廃合されるとともにDX、クラウド利用、サイバーセキュリティなど昨今の急速なビジネス環境の変化と脅威の変化に対応するために11種の新たな管理策が追加されています。
MSQAでは、安心安全なビジネス環境を維持するために必要なリスク対策（管理策）のスマートな実装と運用を目指し、27002改正に注目してきました。2021年9月より改正概要セミナー開催をスタートに、現在の適用宣言書に追加された管理策を拡張するためのテクニックを紹介する実践セミナー及び改正された管理策の全貌をご理解いただくための研修（改正実践ガイド付き）を順次開催します。
まずは[ZOOM] 改正概要セミナー（60分）無料にご参加ください。
https://coubic.com/msqa/977548#pageContent
お問い合わせ：MSQA（一般社団法人マネジメントシステム品質協会） 

ISO//IEC 27002 改正内容がわかる

内部監査を外部委託するという選択

 多くの企業・組織が内部監査は自組織で実施しなければならないと考えられていますが ---  実は

改正JIS Q 19011:2019 『マネジメントシステム監査のための指針』3.1 監査定義 注記1『内部監査は，第一者監査と呼ばれることもあり，その組織自体又は代理人によって行われる』とされています。

審査員資格を有する経験豊富な監査チームがマネジメントシステムを支えます

監査プロセス全てお任せください
一般社団法人マネジメントシステム品質協会の会員で、現場での運用経験を有し、審査員資格を有するスペシャリストで監査チームを編成して派遣します。もちろん計画作成や実行管理・報告書の作成から是正指導は主任審査員資格を有するリーダーが実施します。

監査負担を低減しマネジメントシステムの維持・改善を支える

内部監査員は専任ですか？兼務ですか？

驚くほど効果的に内部監査における課題を解決します

多くの企業組織が兼務で監査を実施されています。育成のための研修コストもさることながら、業務負担（監査期間中は担当業務を中断）が大きく、時短、生産性向上という経営課題に対してリスク（阻害要因）になりかねません。とはいえ、監査業務はマネジメントシステムにとって重要なプロセスです。昨今内部監査員のスキルアップ、監査員研修の依頼が急増し講師派遣を実施していますが、適正な監査を実施できるようになるまでには多大のコストがかかります。内部監査コストを低減し監査品質の向上を目的に監査チームを派遣しています。

リモート監査でさらに効率的に

Cloud for LMSで文書レビューも遠隔監査を実現

多拠点の監査やテレワークにも効果的な監査を実現します

テレワークが拡大するとともにクラウド利用により拠点内に『ヒト』と『モノ（サーバーなどの機器）』がなくなりつつあります。効率的で効果的な監査を実施するためには従来型の訪問による監査に限界があり、コストも肥大化します。私たちは、リモート監査（遠隔監査）でこれらの課題を解決します。さらに、Cloud for LMSによる文書管理をご利用いただくことで文書レビューの遠隔監査を実現しています。
 

マネジメントシステムとISMS管理策を５段階で評価します

組織の状況及びそのリスクによって格付けすることが可能である。 この格付けは，定量的なもの（例えば，1 から5）も定性的なもの（例えば，軽微，重大）もあり得る。（出典：JIS Q 19011:2019 所見の作成）

どこが不足・冗長化しているのか？何を見直す必要があるのか？を明確にしてマネジメントシステムのパフォーマンスを評価します。内部監査によって、監査結果を分析して『見える化』することで、是正改善のポイントが明確になります。さらに、評価結果をKPIとして定量的な管理目標としてご活用いただいています。

事前相談リモートによる事前相談1時間以内（無料）

presended by 一般社団法人マネジメントシステム品質協会（MSQA）


内部監査を外部委託するという選択
 多くの企業・組織が内部監査は自組織で実施しなければならないと考えられていますが ---  実は

改正JIS Q 19011:2019 『マネジメントシステム監査のための指針』3.1 監査定義 注記1『内部監査は，第一者監査と呼ばれることもあり，その組織自体又は代理人によって行われる』とされています。
監査チームを派遣します
審査員資格を有する経験豊富な監査チームがマネジメントシステムを支えます
監査プロセス全てお任せください
一般社団法人マネジメントシステム品質協会の会員で、現場での運用経験を有し、審査員資格を有するスペシャリストで監査チームを編成して派遣します。もちろん計画作成や実行管理・報告書の作成から是正指導は主任審査員資格を有するリーダーが実施します。
監査負担を低減しマネジメントシステムの維持・改善を支える
内部監査員は専任ですか？兼務ですか？
驚くほど効果的に内部監査における課題を解決します
多くの企業組織が兼務で監査を実施されています。育成のための研修コストもさることながら、業務負担（監査期間中は担当業務を中断）が大きく、時短、生産性向上という経営課題に対してリスク（阻害要因）になりかねません。とはいえ、監査業務はマネジメントシステムにとって重要なプロセスです。昨今内部監査員のスキルアップ、監査員研修の依頼が急増し講師派遣を実施していますが、適正な監査を実施できるようになるまでには多大のコストがかかります。内部監査コストを低減し監査品質の向上を目的に監査チームを派遣しています。

リモート監査でさらに効率的に
Cloud for LMSで文書レビューも遠隔監査を実現
多拠点の監査やテレワークにも効果的な監査を実現します
テレワークが拡大するとともにクラウド利用により拠点内に『ヒト』と『モノ（サーバーなどの機器）』がなくなりつつあります。効率的で効果的な監査を実施するためには従来型の訪問による監査に限界があり、コストも肥大化します。私たちは、リモート監査（遠隔監査）でこれらの課題を解決します。さらに、Cloud for LMSによる文書管理をご利用いただくことで文書レビューの遠隔監査を実現しています。
 
監査結果を見える化します
マネジメントシステムとISMS管理策を５段階で評価します
組織の状況及びそのリスクによって格付けすることが可能である。 この格付けは，定量的なもの（例えば，1 から5）も定性的なもの（例えば，軽微，重大）もあり得る。（出典：JIS Q 19011:2019 所見の作成）
どこが不足・冗長化しているのか？何を見直す必要があるのか？を明確にしてマネジメントシステムのパフォーマンスを評価します。内部監査によって、監査結果を分析して『見える化』することで、是正改善のポイントが明確になります。さらに、評価結果をKPIとして定量的な管理目標としてご活用いただいています。
定量的なパフォーマンス評価


事前相談リモートによる事前相談1時間以内（無料）
👉お問合わせフォーム 
presended by 一般社団法人マネジメントシステム品質協会（MSQA）



内部監査を驚くほど効果的かつ効率的に実施する

アメリカ最大級のパイプラインが外部からサイバー攻撃を受けガソリンなどの供給を一時的に停止したと明らかにし、運営会社はシステムを外部と遮断し復旧を急いでいいるというニュースが報じられましたが、日本でも東芝子会社などへの攻撃が報じられるなど、多くのセキュリティ関係者の多大な努力にも関わらずサイバー攻撃はその姿、形を変えながら増え続けています。

サイバー攻撃に対してどのような対策が必要なのでしょうか？
サイバー攻撃に対してどの管理策を見直す必要があるのでしょうか？

◉NIST CSF「サーバーセキュリティフレームワークコア」
フレームワークコアを構成する5つの機能の定義 
1.識別 
システム、人、資産、データ、機能に対するサイバーセキュリティリスクの管理に必要な理解を深める。「識別」機能における対策は、フレームワークを効果的に使用する上で基本となります。組織はビジネスを取り巻く状況、重要な機能を支えるリソース、関連するサイバーセキュリティリスクを理解することで、組織のリスクマネジメント戦略とビジネスニーズに適合するように取り組みの対象を絞って、優先順位付けを行うことが可能になります。

2.防御
重要サービスの提供を確実にするための適切な保護対策を検討し、実施する。 「防御」機能は、発生する可能性のあるサイバーセキュリティイベントがもたらす影響を抑制するのを支援する。 

3.検知
サイバーセキュリティイベントの発生を識別するのに適した対策を検討し、実施する。「検知」機能はサイバーセキュリティイベントのタイムリーな発見を可能にする。  

4.対応
検知されたサイバーセキュリティインシデントに対処するための適切な対策を検討し、
実施する。「対応」機能は、発生する可能性のあるサイバーセキュリティインシデントがもたらす影響を封じ込めるのを支援する 

5.復旧
レジリエンスを実現するための計画を策定・維持し、サイバーセキュリティインシデントによって阻害されたあらゆる機能やサービスを元に戻すための適切な対策を検討し、実施する。「復旧」機能は、サイバーセキュリティインシデントがもたらす影響を軽減するために、通常の運用状態へタイムリーに復旧するのを支援する。 

上記の５つの機能の中でも『検知』機能が大切だと言われています。
電子書籍『サイバーセキュリティ入門』をご覧ください 

◉ISMSにおける『検知』への対応
対象となる管理策の例

A.12.1.1/A.12.1.2/A.12.4.1/A.12.4.3A.12.5.1
A.12.6.1/A.12.6.2/A.13.1.1

などの管理策を見直す必要がありそうです（NIST-CSFより）

◉NIST-CSFを監査基準にサイバーセキュリティレジリエンス（耐性）を評価する

リモートカンファレンス第2回開催
『マネジメントシステムと管理策 のパフォーマンスを評価する 』
-------------------------------------------------------------------------
1.マネジメントシステム品質を高めるために
2.セキュリティ品質向上のために有効性を評価する
3.定量的な評価指標（NIST CSFティアなど）で評価する
4.内部監査様式を定型化して継続的に評価する
5.管理策の評価結果で有効性を評価しリスク分析に活用する
6.ディスカッション

◉監査チームを派遣してサイバーセキュリティレジリエンス（耐性）を評価する

2019年より監査業務を支援し、マネジメントシステム及び管理策の定量的な評価
さらにサイバーセキュリティレジリエンス（耐性）を評価して見える化しています
詳しくはこちら をご覧ください

サイバーセキュリティ入門

アメリカ最大級のパイプラインが外部からサイバー攻撃を受けガソリンなどの供給を一時的に停止したと明らかにし、運営会社はシステムを外部と遮断し復旧を急いでいいるというニュースが報じられましたが、日本でも東芝子会社などへの攻撃が報じられるなど、多くのセキュリティ関係者の多大な努力にも関わらずサイバー攻撃はその姿、形を変えながら増え続けています。
サイバー攻撃に対してどのような対策が必要なのでしょうか？
サイバー攻撃に対してどの管理策を見直す必要があるのでしょうか？
◉NIST CSF「サーバーセキュリティフレームワークコア」
フレームワークコアを構成する5つの機能の定義 
1.識別 
システム、人、資産、データ、機能に対するサイバーセキュリティリスクの管理に必要な理解を深める。「識別」機能における対策は、フレームワークを効果的に使用する上で基本となります。組織はビジネスを取り巻く状況、重要な機能を支えるリソース、関連するサイバーセキュリティリスクを理解することで、組織のリスクマネジメント戦略とビジネスニーズに適合するように取り組みの対象を絞って、優先順位付けを行うことが可能になります。
2.防御
重要サービスの提供を確実にするための適切な保護対策を検討し、実施する。 「防御」機能は、発生する可能性のあるサイバーセキュリティイベントがもたらす影響を抑制するのを支援する。 
3.検知
サイバーセキュリティイベントの発生を識別するのに適した対策を検討し、実施する。「検知」機能はサイバーセキュリティイベントのタイムリーな発見を可能にする。  
4.対応
検知されたサイバーセキュリティインシデントに対処するための適切な対策を検討し、
実施する。「対応」機能は、発生する可能性のあるサイバーセキュリティインシデントがもたらす影響を封じ込めるのを支援する 
5.復旧
レジリエンスを実現するための計画を策定・維持し、サイバーセキュリティインシデントによって阻害されたあらゆる機能やサービスを元に戻すための適切な対策を検討し、実施する。「復旧」機能は、サイバーセキュリティインシデントがもたらす影響を軽減するために、通常の運用状態へタイムリーに復旧するのを支援する。 
上記の５つの機能の中でも『検知』機能が大切だと言われています。
電子書籍『サイバーセキュリティ入門』をご覧ください 
◉ISMSにおける『検知』への対応
対象となる管理策の例
A.12.1.1/A.12.1.2/A.12.4.1/A.12.4.3A.12.5.1
A.12.6.1/A.12.6.2/A.13.1.1
などの管理策を見直す必要がありそうです（NIST-CSFより）
◉NIST-CSFを監査基準にサイバーセキュリティレジリエンス（耐性）を評価する
リモートカンファレンス第2回開催
『マネジメントシステムと管理策 のパフォーマンスを評価する 』
-------------------------------------------------------------------------
1.マネジメントシステム品質を高めるために
2.セキュリティ品質向上のために有効性を評価する
3.定量的な評価指標（NIST CSFティアなど）で評価する
4.内部監査様式を定型化して継続的に評価する
5.管理策の評価結果で有効性を評価しリスク分析に活用する
6.ディスカッション
◉監査チームを派遣してサイバーセキュリティレジリエンス（耐性）を評価する
2019年より監査業務を支援し、マネジメントシステム及び管理策の定量的な評価
さらにサイバーセキュリティレジリエンス（耐性）を評価して見える化しています
詳しくはこちら をご覧ください
お問い合わせ先：info@msqa.jp

サイバーセキュリティーISMSでセキュリティ対策を考える

ISO//IEC 27002 『情報セキュリティ管理策の実践のための規範}は2018年より改正が開始されています。
『情報セキュリティ管理策の実践のための規範』という名称も『セキュリティ管理策（Security Controls）とシンプルに改正され、その内容は変化するリスク（脅威）に対応した内容に改正される予定です。
（2021年5月1日現在）

MSQAでは、昨年より改正動向をウォッチしカンファレンスで情報公開やディスカッションを実施していますが、本年度（2021年度）では、[R]セミナー『ISO/IEC 27002改正動向からセキュリティ品質を考える』ー受講無料 より管理策の見直しや実装の手法についての解説を開始します。

2013年版：114個  次期改訂版：93個になる見込み　

新規管理策が11個  
次期ISO/IEC 27002 で実装される予定のセキュリティ管理策  
1.脅威インテリジェンス  
2.クラウドサービス利用のセキュリティ     
3.ビジネス継続のためのICT準備態勢     
4.物理的セキュリティ監視     
5.設定管理     
6.情報削除     
7.データマスキング     
8.データ漏洩防御     
9.監視活動     
10.ウェブフィルタリング     
11.セキュアコーディング原則  

管理策内訳(見込み)  
組織的管理策：37個 
人的管理策　：  8個 
物理的管理策：14個 
技術的管理策：34個  

MSQAでは引き続き改正動向を注視しリスクレベルに応じた管理策実装技術について考察します。


[R]セミナー『ISO/IEC 27002改正動向からセキュリティ品質を考える』ー受講無料　5月14日開催

🖊ISO/IEC 27002:2013（現在）　管理策ガイド2021年版をご覧ください（電子書籍） 
JIS Q 27002：2014 (ISO/IEC 27002：2013) 

情報技術−セキュリティ技術− 情報セキュリティ管理策の実践のための規範 
Information technology-Security techniques- Code of practice for information security controls
この規格は，組織がJIS Q 27001に基づく情報セキュリティマネジメントシステム（ISMS）を実施するプロセスにおいて，管理策を選定するための参考として用います。

ISMS（JIS Q 27001）では、附属書Aに『管理目的』及び『管理策』が掲載されています。
附属書Aの表A.1に規定した管理目的及び管理策は，JIS Q 27002:2014の箇条5〜箇条18に規定したものをそのまま取り入れており，両者の整合が保たれています。これらの管理目的及び管理策は，ISMSの6.1.3（リスク対応）において用います。 

5 情報セキュリティのための方針群
　5.1 情報セキュリティのための経営陣の方向性 

6 情報セキュリティのための組織 
　6.1 内部組織 
　6.2 モバイル機器及びテレワーキング 

7 人的資源のセキュリティ 
　7.1 雇用前 
　7.2 雇用期間中 
　7.3 雇用の終了及び変更 

8 資産の管理 
　8.1 資産に対する責任 
　8.2 情報分類 
　8.3 媒体の取扱い 

9 アクセス制御 
　9.1 アクセス制御に対する業務上の要求事項
　9.2 利用者アクセスの管理 
　9.3 利用者の責任 
　9.4 システム及びアプリケーションのアクセス制御 

10 暗号 
　10.1 暗号による管理策 

11 物理的及び環境的セキュリティ 
 11.1 セキュリティを保つべき領域 
 11.2 装置 

12 運用のセキュリティ  
 12.1 運用の手順及び責任 
 12.2 マルウェアからの保護 
 12.3 バックアップ 
 12.4 ログ取得及び監視 
 12.5 運用ソフトウェアの管理 
 12.6 技術的ぜい弱性管理 
 12.7 情報システムの監査に対する考慮事項 

13 通信のセキュリティ 
 13.1 ネットワークセキュリティ管理 
 13.2 情報の転送 

14 システムの取得，開発及び保守 
 14.1 情報システムのセキュリティ要求事項 
 14.2 開発及びサポートプロセスにおけるセキュリティ 
 14.3 試験データ 

15 供給者関係 
 15.1 供給者関係における情報セキュリティ 
 15.2 供給者のサービス提供の管理 

16 情報セキュリティインシデント管理 
 16.1 情報セキュリティインシデントの管理及びその改善 

17 事業継続マネジメントにおける情報セキュリティの側面 
 17.1 情報セキュリティ継続 
 17.2 冗長性 

18 順守 
 18.1 法的及び契約上の要求事項の順守 
 18.2 情報セキュリティのレビュー 

管理策ガイド2021年版を発行しました

『ISO/IEC 27002改正動向からセキュリティ品質を考える』

ISO//IEC 27002 『情報セキュリティ管理策の実践のための規範}は2018年より改正が開始されています。
『情報セキュリティ管理策の実践のための規範』という名称も『セキュリティ管理策（Security Controls）とシンプルに改正され、その内容は変化するリスク（脅威）に対応した内容に改正される予定です。
（2021年5月1日現在）
MSQAでは、昨年より改正動向をウォッチしカンファレンスで情報公開やディスカッションを実施していますが、本年度（2021年度）では、[R]セミナー『ISO/IEC 27002改正動向からセキュリティ品質を考える』ー受講無料 より管理策の見直しや実装の手法についての解説を開始します。
🖊ISO//IEC 27002改正動向
2013年版：114個  次期改訂版：93個になる見込み　
新規管理策が11個  
次期ISO/IEC 27002 で実装される予定のセキュリティ管理策  
1.脅威インテリジェンス  
2.クラウドサービス利用のセキュリティ     
3.ビジネス継続のためのICT準備態勢     
4.物理的セキュリティ監視     
5.設定管理     
6.情報削除     
7.データマスキング     
8.データ漏洩防御     
9.監視活動     
10.ウェブフィルタリング     
11.セキュアコーディング原則  
管理策内訳(見込み)  
組織的管理策：37個 
人的管理策　：  8個 
物理的管理策：14個 
技術的管理策：34個  
MSQAでは引き続き改正動向を注視しリスクレベルに応じた管理策実装技術について考察します。

[R]セミナー『ISO/IEC 27002改正動向からセキュリティ品質を考える』ー受講無料　5月14日開催

🖊ISO/IEC 27002:2013（現在）　管理策ガイド2021年版をご覧ください（電子書籍） 
JIS Q 27002：2014 (ISO/IEC 27002：2013) 
情報技術−セキュリティ技術− 情報セキュリティ管理策の実践のための規範 
Information technology-Security techniques- Code of practice for information security controls
この規格は，組織がJIS Q 27001に基づく情報セキュリティマネジメントシステム（ISMS）を実施するプロセスにおいて，管理策を選定するための参考として用います。
ISMS（JIS Q 27001）では、附属書Aに『管理目的』及び『管理策』が掲載されています。
附属書Aの表A.1に規定した管理目的及び管理策は，JIS Q 27002:2014の箇条5〜箇条18に規定したものをそのまま取り入れており，両者の整合が保たれています。これらの管理目的及び管理策は，ISMSの6.1.3（リスク対応）において用います。 
5 情報セキュリティのための方針群
　5.1 情報セキュリティのための経営陣の方向性 
6 情報セキュリティのための組織 
　6.1 内部組織 
　6.2 モバイル機器及びテレワーキング 
7 人的資源のセキュリティ 
　7.1 雇用前 
　7.2 雇用期間中 
　7.3 雇用の終了及び変更 
8 資産の管理 
　8.1 資産に対する責任 
　8.2 情報分類 
　8.3 媒体の取扱い 
9 アクセス制御 
　9.1 アクセス制御に対する業務上の要求事項
　9.2 利用者アクセスの管理 
　9.3 利用者の責任 
　9.4 システム及びアプリケーションのアクセス制御 
10 暗号 
　10.1 暗号による管理策 
11 物理的及び環境的セキュリティ 
 11.1 セキュリティを保つべき領域 
 11.2 装置 
12 運用のセキュリティ  
 12.1 運用の手順及び責任 
 12.2 マルウェアからの保護 
 12.3 バックアップ 
 12.4 ログ取得及び監視 
 12.5 運用ソフトウェアの管理 
 12.6 技術的ぜい弱性管理 
 12.7 情報システムの監査に対する考慮事項 
13 通信のセキュリティ 
 13.1 ネットワークセキュリティ管理 
 13.2 情報の転送 
14 システムの取得，開発及び保守 
 14.1 情報システムのセキュリティ要求事項 
 14.2 開発及びサポートプロセスにおけるセキュリティ 
 14.3 試験データ 
15 供給者関係 
 15.1 供給者関係における情報セキュリティ 
 15.2 供給者のサービス提供の管理 
16 情報セキュリティインシデント管理 
 16.1 情報セキュリティインシデントの管理及びその改善 
17 事業継続マネジメントにおける情報セキュリティの側面 
 17.1 情報セキュリティ継続 
 17.2 冗長性 
18 順守 
 18.1 法的及び契約上の要求事項の順守 
 18.2 情報セキュリティのレビュー 
管理策ガイド2021年版を発行しました


ISO//IEC 27002 『情報セキュリティ管理策の実践のための規範』の改正発行の動向からセキュリティ対策（管理策）の見直しや再構築について考察

一般社団法人マネジメントシステム品質協会（MSQA）及びパートナーが主催するセミナー・研修コースです。

オープンコース：東京秋葉原開催他全国各地のパートナー主催で開催します
リモートコース：本サイトより受講予約いただくことが可能です

リモートカンファレンスでは、最新規格や改正規格・ISMAPやNIST CSFなどに代表される関連基準/ガイドについての解説など毎月定期的に開催しています。

ISMSやクラウドセキュリティ審査員研修コースなど複数日程にまたがる研修コースは、開催初日が表示されていますので、受講日程をご確認ください。

MSQAへのお問い合わせ先；　info@msqa.jp
支援内容については公式ホームページをご覧ください：https://msqa.jp


一般社団法人マネジメントシステム品質協会

List of blogs

一般社団法人マネジメントシステム品質協会's Information