ISO27017:2026 新規格移行支援
ISO/IEC 27017:2015から2026年版への移行を支援
既存のISMSとクラウド運用を生かし、
新規格への移行を着実に進めます。
インフォセックアドバイザリーは、ISO27017認証を取得済みのお客様に向けて、ISO/IEC 27017:2026と国内の認証基準に対応するための改訂コンサルティングを提供します。現在の文書・運用と新規格との差分を整理し、対応計画の策定から適用宣言書の見直し、運用定着、移行審査の準備まで支援します。
ISO27017:2026への移行対応ガイド
ISO/IEC 27017は、クラウドサービスの提供者・利用者に向けた情報セキュリティ管理策のガイドラインです。2026年版は、ISO/IEC 27002:2022を基礎とする管理策と実施の手引を示しています。ISO27001:2022に基づく既存のISMSとの整合を確認しながら、クラウド固有の対策を見直すことが移行のポイントです。
1. 移行期限と審査の受け方
ISO/IEC 27017:2026は2026年7月27日に発行されました。国内の認証基準JIP-ISMS517-2.0は2026年10月14日に発行され、ISMS-ACが同年10月19日に改訂と移行期間を公表しています。
の移行
組織の対応
ISMSクラウドセキュリティ認証を取得している組織は、2026年10月31日から3年間の移行期間内に、改訂版への移行を完了する必要があります。審査を申し込む時期だけでなく、指摘事項への対応や認証機関の手続きに必要な時間も考慮して計画を立てます。
維持審査・更新審査と併せた受審が可能かを確認すると、既存の審査計画と調整しやすくなります。移行審査の受付開始時期、単独での実施可否、必要な審査工数・提出資料は、契約先の認証機関にご確認ください。
出典：ISMS-AC「認証基準改訂版発行のお知らせ」／ISO/IEC 27017:2026／IEC規格情報（2026年10月28日確認）
2. 2015年版からの主な変更点
管理策の構造をISO/IEC 27002:2022に合わせて整理
2015年版からの移行では、管理策の構成・項番と、現行の規程・手順との対応関係を見直します。2026年版はISO/IEC 27002:2022を基礎としており、ISO27001:2022附属書Aの管理策とも整合を取る必要があります。項番の置き換えに加えて、追加・変更された管理策とクラウド向けの手引を確認します。
クラウド固有の追加管理策への対応を確認
特に、5.39 CLD「クラウドサービスパートナの役割及び責任に関する合意」と、8.36 CLD「クラウドサービスの認可されていない利用の検出及び防止」は、契約・責任分担や監視・対応手順と照合して確認したい項目です。
自社がクラウドサービス提供者・利用者のどちらに当たるか、または両方に当たるかを明確にしたうえで、役割とリスクに応じて管理策の適用を評価します。以下は、クラウド固有の管理策に関する当社の確認・支援例です。
| 確認する領域 | 当社の確認・支援例 |
|---|---|
| 5.38 CLD 役割・責任の分担 |
顧客と自社の責任分界を整理し、設定変更、アクセス管理、障害・インシデント対応の担当を明確にします。 |
| 5.39 CLD パートナの役割・責任の合意 |
委託先や関連事業者との契約・運用条件を確認し、連絡経路や対応範囲の認識のずれを整理します。 |
| 8.35 CLD 仮想環境の分離 |
利用者間や環境間の分離方針、設定、確認記録を点検し、自社が管理する範囲の対策を見直します。 |
| 8.36 CLD 認可されていない利用の検出・防止 |
不正利用を把握する仕組みと防止・対応の手順を確認し、監視、通報、対応記録の整備を支援します。 |
管理策の領域名は説明用に要約しています。これらの項目を含め、管理策全体について適用と実施状況を評価します。参照：JIPDEC「JIP-ISMS517-2.0」（PDF）
このようなお客様におすすめします
- 2015年版に基づく認証を維持しており、移行に必要な作業を明確にしたい
- ISO27001:2022への移行は完了しているが、クラウド固有の文書・運用の整合を確認したい
- SaaSの提供や複数のクラウド利用に伴う責任分界を整理したい
- 認証の更新時期に合わせて、担当者の負担を抑えながら改訂を進めたい
3. 移行に必要な対応と支援の流れ
移行では、GAP分析（差分分析）→手順・証跡の整備→文書改訂→教育→内部監査を一連の活動として進めます。改訂した文書が実際の運用に定着していることを確認し、マネジメントレビューと移行審査の準備につなげます。
当社は、認証範囲・サービス構成・審査予定を確認したうえで、次の6つのステップを支援します。文書改訂に加え、運用記録の蓄積と内部監査・是正の時間を確保することが、余裕を持って移行を進めるポイントです。
STEP 1現状把握・適用範囲の整理
認証範囲、利用・提供するクラウド、関係者、審査予定を確認します。提供者・利用者それぞれの役割と、確認対象の文書を整理します。
主な成果物：対象サービス・役割一覧、移行スケジュール案
STEP 2新旧の差分分析
新規格・認証基準と現行の管理策、文書、証跡を照合します。対応済みの事項と追加対応が必要な事項を分け、担当者と優先順位を決めます。
主な成果物：管理策対応表、ギャップ一覧、対応計画
STEP 3リスク評価・対策の見直し
サービス構成や責任分担の変化を踏まえ、クラウド固有のリスクを再評価します。必要な対策、実施責任者、確認方法を具体化します。
主な成果物：リスク評価の更新案、リスク対応計画
STEP 4適用宣言書・規程・手順の改訂
管理策の採否と実施状況を整理し、適用宣言書や関連文書を更新します。既存のISMSとの整合を取りながら、責任分界や外部への説明資料も見直します。
主な成果物：適用宣言書改訂案、規程・手順改訂案、責任分担表
STEP 5教育・運用確認・内部監査
変更内容を担当者に説明し、必要な運用記録が残る状態を整えます。内部監査で実施状況を確認し、課題の是正を支援します。
主な成果物：教育資料、運用確認チェックリスト、監査・是正支援資料
STEP 6マネジメントレビュー・移行審査の準備
移行対応の結果と残課題をまとめ、マネジメントレビューへの反映を支援します。認証機関へ説明する変更点と証跡を整理し、審査での指摘に対する是正を支援します。
主な成果物：レビュー用資料、移行対応一覧、審査準備チェックリスト
支援範囲・料金・期間
| 支援範囲の例 | 主な内容 |
|---|---|
| 差分分析・計画策定 | 自社で改訂を進めるお客様向けに、現状評価、対応事項の整理、移行計画の策定を支援します。 |
| 文書改訂・運用整備 | 差分分析に加え、適用宣言書・規程の見直し、担当者教育、運用記録の整備を支援します。 |
| 移行審査までの継続支援 | 文書・運用整備から内部監査、マネジメントレビュー、移行審査の準備と指摘対応まで支援します。 |
料金・支援期間は個別にお見積りします。対象サービス数、提供者・利用者の役割、文書・運用の整備状況、希望する支援範囲を確認してご提案します。認証機関による審査費用は別途必要です。
ご相談の際は、現在の認証範囲、次回審査の予定、利用・提供しているクラウドサービス、移行でお困りの点をお知らせください。
よくあるご質問
Q. ISO27001:2022への移行が完了していれば、追加対応は不要ですか？
クラウド固有の管理策と、ISMSクラウドセキュリティ認証の改訂基準への対応確認が必要です。現在のISMSで対応できている事項を生かし、追加・変更が必要な部分を整理します。
Q. いつまでに移行すればよいですか？
ISMS-ACが公表した移行期間は、2026年10月31日から3年間です。期間内に改訂版への移行を完了する必要があります。具体的な審査日程や申請手続きは、契約先の認証機関に確認してください。当社はその予定に合わせた準備計画づくりを支援します。
Q. 既存のマニュアルや適用宣言書は使えますか？
既存文書を確認し、そのまま使える部分と改訂が必要な部分を整理します。文書を一から作り直すことを前提にせず、運用実態と新しい基準に合う形へ更新します。
Q. これから初めてISO27017認証を取得する場合も相談できますか？
はい。新規取得の場合は、ISO27017認証取得支援をご覧ください。ご希望の審査時期と適用する基準を確認し、必要な体制整備をご案内します。
ISO27017:2026への移行について、お気軽にご相談ください。
現在の運用に合った対応範囲と進め方をご提案します。
当社はコンサルティングを提供します。認証審査および認証の決定は認証機関が行います。本ページの規格・制度情報は2026年10月28日時点の公表資料に基づきます。
