社長（CEO）と ISO 27001：顧客は証明書、取締役会は報告を求める。何から決めるか？

顧客や入札で ISO 27001 の証明書を求められています。社長は認証範囲と時期をどう決めますか？

サービスページによれば、多国籍企業のサプライヤー審査、政府・金融の入札、クラウドサービスの顧客デューデリジェンスで、27001 は最初に提示を求められる証明書です。社長が決めるのは「やるかどうか」ではなく「どこから対象にするか」です。

• 最初の一歩：顧客、入札、規制当局のセキュリティ要求を確認し、認証範囲を決める。実際に求められている製品ライン、拠点、サービスを基準にします。狭すぎれば顧客に認められず、広すぎれば期間が延びます。
• 版：常に ISO/IEC 27001:2022 で導入します。2013 年版証明書の移行期間は 2025 年 10 月 31 日に終了しました。
• 審査の重点：リスクアセスメントと適用宣言書（SoA）。93 の管理策をすべて実施する必要はなく、リスクアセスメントで適用可否を決め、適用しないものは理由を記載します。
• 期間（サービスページ記載）：通常 4〜8 か月。ギャップ分析、制度構築、内部監査とマネジメントレビュー、第一段階・第二段階審査の順で、既存の IT ガバナンスがあれば大きく短縮できます。

情報セキュリティ責任者は必ず置く必要がありますか？専任人員は何人必要ですか？

会社がどの層にあるかで判断します。

一般の公開発行会社と上場・店頭公開企業について、公式の規範は情報セキュリティ責任者の職位を定めていません。「副総経理以上」は銀行、金融持株会社、証券・先物業の要求です。公開発行会社でない企業はこれらの規範の対象外で、任意に参考にできます。

セキュリティ方針は誰が承認し、社長はどのくらいの頻度でセキュリティ報告を聞くべきですか？

• 「上市上櫃公司資通安全管控指引」第 4 条：セキュリティ方針は副総経理以上の管理者が承認し、定期的に見直します。これは承認者の職位であり、情報セキュリティ責任者の職位ではありません。
• 第 37 条：サイバーセキュリティの実施状況を定期的に取締役会または経営陣に報告します。指引は頻度を定めていません。第 41 条により、上場・店頭公開企業は業種、規模、セキュリティリスクに応じて適宜採用でき、公開発行会社でない企業はこの指引の対象外で、任意に参考にできます。
• 銀行と金融持株会社：情報セキュリティ責任者は毎年、前年度の情報セキュリティ全体の実施状況を取締役会に報告します。
• ISO 27001：制度は内部監査とマネジメントレビューを経ます。マネジメントレビューの記録が社長の関与の証拠になります。
• 会社が NIS2 の対象事業体である場合：第 20 条は、経営機関がサイバーセキュリティのリスク管理措置を承認し、その実施を監督し、経営機関のメンバーが研修を受けることを求めています。

重大なセキュリティインシデントが起きたとき、社長は対外的に何を説明する必要がありますか？

• 年次報告書：公開発行会社の年次報告書準則第 18 条第 6 款は、重大なサイバーセキュリティインシデントによる損失、影響、対応策の開示を求めています。
• 社内手続：「上市上櫃公司資通安全管控指引」第 34 条は、インシデント対応と通報の手続を定めることを求めています。
• EU で事業を行う場合の報告期限：

一つのインシデントが複数の期限を同時に引き起こすことがあります。社長は、対応手続に、どの報告が必要かを判断するインシデント分類の手順があることを確認します。公開発行会社でない企業は上記の公開発行会社向け規範の対象外で、任意に参考にできます。

ISO 27001 を取得すれば、欧州の顧客が求める NIS2、EU CRA、GDPR も満たしたことになりますか？

なりません。NIS2、EU CRA、GDPR には独立した証明書がありません。

• NIS2：第 21 条の措置と第 23 条の報告を実施します。対象事業体のサプライヤーにすぎない場合は、顧客がサプライチェーンのセキュリティ要求を契約に盛り込みます。
• EU CRA：製品区分に応じた適合性評価を終えて CE マーキングを付けます。2027 年 12 月 11 日以降、これを終えていないデジタル製品は EU 市場に出せません。
• GDPR：処理活動の記録（RoPA）、DPIA、処理者契約、移転の仕組み、通報の記録で自ら証明します。

ISO 27001 の価値は共有できるマネジメントの骨格で、他の要求の期間を短縮できます（サービスページ記載）。NIS2 は通常 4〜6 か月から 2〜3 か月に、ISO 22301 は約 3〜5 か月、ISO 42001 は通常 4〜6 か月で認証に到達します。優先順位を付けるとき、社長はまず 27001 を行い、顧客と市場に応じて他の項目を加えることができます。

ISO 27001 は台湾証券取引所の ESG 評価と年次報告書の開示にどう役立ちますか？

• ESG 評価 S-12（2026 年度と 2027 年度で文言が同じ、年次報告書に基づき評価）：サイバーセキュリティのリスク管理体制、方針、具体的な管理施策、投入資源を構築し開示しているか。ISO 27001、CNS 27001 などの情報セキュリティマネジメントシステム規格、または同等以上の効果を持つ仕組みや規格を導入し、第三者認証を取得すれば、総合点に 1 点加算されます。
• 年次報告書：同じ数字（投入資源、管理施策、認証結果）を年次報告書準則第 18 条第 6 款の開示に使います。
• S-15：サプライヤーにサイバーセキュリティやプライバシー保護の規範の遵守を求めている場合、27001 のサプライヤー管理策も裏付けになります。

ESG 評価の対象は上場・店頭公開企業で、公開発行会社でない企業は評価されず、指標の内容を任意に参考にできます。

積穗科研は社長の ISO 27001 をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：積穗科研は導入支援のコンサルタントで、証明書は発行しません。副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。チームは ISO 主任審査員の資格を有しています
• まず範囲を決める：顧客、入札、規制当局のセキュリティ要求を確認してから認証範囲を決めます
• 一つのリスクマップ：ERM のリスクの言葉で評価の枠組みを作り、27001 のリスク登録と全社のリスクマップをつなげます
• 認証後：認証取得済みの組織は、内部監査を積穗に外部委託できます
• 実名の支援実績：旺矽科技（MPI Corporation）（ISO 27001（ISMS）導入と営業秘密保護支援）、訊光資訊科技（ISO 27001（ISMS）導入支援）
• 最初の一歩：初回のメカニズム診断は無料です

詳しく：ISO 27001 導入支援、台湾の ISO 27001 コンサルタントはどこを選ぶか、ISO 27001 内部監査の外部委託、CISO 向けページ