ISO27001とISO27002の違いをわかりやすく解説！どちらを選ぶべき？

---

はじめに：ISO27001とISO27002の違いを理解する

情報セキュリティの世界には、名前が似ていて混同されがちな規格がいくつかあります。中でも ISO27001 と ISO27002 はセットで語られることが多いですが、目的と役割が違います。ISO27001は“認証を受けるための規格”であり、ISMSを設計・運用していることを第三者が検証できる土台です。これに対してISO27002は“運用の指南書”としての役割を持ち、実務でどのような管理策を導入すべきかを具体的に示します。この二つは連携して機能しますが、先にどの規格を見ればよいかの判断が重要です。


ISO27001は組織の全体像を整える要件を中心に、方針の公開、責任の割り当て、リスク評価と改善のサイクルといった要素を組み込みます。一方 ISO27002 は具体的な管理策の候補を整理し、現場での選定と適用を助ける実務指針です。


この違いを理解すると、準備の順序も明確になります。認証を狙う場合は ISMS の設計と SoA の作成を優先します。ガイドラインとして活用する場合は 自組織の現状と課題に合わせて管理策を選ぶと良いでしょう。

ISO27001とISO27002の基本的な違い

規格の性格は大きく2つの視点で表れます。第一に認証の有無です。ISO27001 は外部審査を受けて認証を取得できる標準であり、第三者からの監査を通じて組織が ISMS を適切に運用していることを証明します。これに対して ISO27002 は認証を目的とせず、管理策の候補を整理したガイドラインです。第二に実務の役割です。ISO27001 は組織の範囲、目的、責任、リスク評価、改善のサイクルといった枠組みを規定します。ISO27002 はこの枠組みの中で使われる管理策の候補を整理し、どの対策を導入するかを決める際の実務指針として機能します。

この違いを知ることで、計画の優先順位が見えてきます。認証を取得したい場合は、まず ISMS の設計・実装を整え、SoA の作成と管理策の適用を進めます。逆にコストを抑えつつセキュリティ強化を進めたい場合は ISO27002 を参照して、組織の現状と脅威の傾向に合わせて対策を選択するのが現実的です。結果として、規模の大小に関わらず、リスクの特定・評価・対応のサイクルを回すことができるのが ISO27001 の強みです。

実務での使い方と注意点

実務に落とすコツはまず PDCA サイクルを回すことです。リスクアセスメントの実施、リスクの優先度づけ、適用する管理策の選定、SoA の作成・更新、教育訓練の実施、内部監査と外部監査の準備などが日常の動きになります。リスクアセスメントは単なる不安の洗い出しではなく、資産価値と影響度、発生確率を組み合わせて優先順位をつける判断材料です。ISO27001 の要求を満たすには、適用範囲の設定と、適用される管理策の妥当性を継続的に見直すことが重要です。

表で整理するとわかりやすいポイント

e>head>項目説明head>目的ISO27001 は認証と ISMS の設計・運用を対象。ISO27002 は実務の管理策のガイドラインとして機能する。対象ISO27001 は組織全体の情報セキュリティマネジメント。ISO27002 は管理策の候補集で、選択と適用の指針を提供する。成果ISO27001 は認証取得と継続的改善の証拠を提供。ISO27002 は現場での実装アイデアと実務の安全性を高める。文書ISO27001 は SoA の作成など要件の文書化を求める。ISO27002 は対策の説明と選択の根拠を示す。適用の順序まず枠組みと SoA を整え、次に必要な管理策を選んで実装する。

ピックアップ解説

ねえ、ISO27001 のリスクアセスメントって、ただ危険を洗い出すだけじゃないんだよ。関係者と資産の価値を比べ、起きそうな出来事の影響を数値化して優先順位を決める作業なんだ。小さな会社でも資産は人やデータ、機器などいろいろ。どの資産が一番影響を受けやすいかを決め、どんな対策を先にやるべきかを決めるのがリスクアセスメントの役割。例えば社内の不正アクセスのリスクが高そうなら二要素認証の導入を検討するといい。リスクの見積り方と優先順位のつけ方がコツだ。

---