CISO が ISO 27001 を導入するとき：取締役会報告、ESG 加点、認証範囲をどう決めるか

ISO 27001 は CISO がどのコーポレートガバナンス要求に応えるのに役立ちますか？

CISO は、同じリスクアセスメント、インシデント対応、サプライヤー管理、監査の証拠で複数の要求に応えられ、ISO 27001 はその証拠の骨格になります。管控指引第 41 条により、上場・店頭公開企業は業種、規模、セキュリティリスクに応じて適宜採用できます。公開発行会社でない企業はこれらの規範の対象外で、任意に参考にできます。

ISO 27001 認証は台湾証券取引所 ESG 評価の S-12 にどう役立ちますか？

ESG 評価は 2026 年（民国 115 年）からコーポレートガバナンス評価に代わり、対象は上場・店頭公開企業です。S-12 は、サイバーセキュリティのリスク管理体制、方針、具体的な管理施策、投入資源を構築し開示しているかを問い、年次報告書に基づいて評価されます。

• 加点条件：ISO 27001、CNS 27001 などの情報セキュリティマネジメントシステム規格、またはこれと同等以上の仕組みや規格を導入し、第三者認証を取得していれば総合点に 1 点加算されます。
• 問われるのは第三者認証：導入を宣言するだけで認証を取得していなければ、加点条件を満たしません。
• 年度：115 年度と 116 年度の指標の文言は同じです。

CISO の範囲に入る指標には、ほかに S-13（個人情報保護方針）と S-15（情報通信セキュリティを含むサプライヤー管理方針）があります。

認証範囲はどう決めますか？93 の管理策はすべて実施が必要ですか？

まず顧客、入札、主管機関が求める認証範囲を判断し、そのうえでリスクアセスメントを行います。

• 93 の管理策すべては不要：リスクアセスメントで適用可否を決めて適用宣言書（SoA）に記載し、適用しないものは理由を明記します。
• 審査の重点：審査員や顧客のデューデリジェンスが細かく見るのは、リスクアセスメント手法の一貫性と SoA の妥当性です。
• 版：導入は必ず ISO/IEC 27001:2022 で行います。2013 年版認証の移行期間は 2025 年 10 月 31 日に終了しました。旧版で仕組みを持つ組織はやり直しではなく、管理策の対応付けと差分の補強を行います。

CISO が取締役会に報告するとき、ISO 27001 のどの成果物をそのまま使えますか？

管控指引第 37 条は、取締役会または経営陣へのサイバーセキュリティ実施状況の定期報告を求めていますが、頻度は定めていません。銀行と金融持株会社は実施辦法第 24 条により、情報セキュリティ長が毎年、前年度の情報セキュリティ全体の実施状況を取締役会に報告します。

ISO 27001 の運用で継続的に生まれる記録は、報告の材料になります。

• リスクアセスメントの結果と SoA
• 内部監査の指摘事項と是正処置の追跡
• マネジメントレビューの結論

各要求の適用判断、報告演習、監査結果は、別々にせず一つの報告にまとめることを勧めます。公開発行会社でない企業は管控指引の対象外で、任意に参考にできます。

専任のセキュリティ人員が少ない場合、ISO 27001 の内部監査は外部委託できますか？

できます。ISO 19011:2018 は内部監査を、組織自身または組織に代わって行う監査と定義しています。厳格な制限は一つだけで、ISO/IEC 17021-1 第 5.2.6 項により、認証機関は自らの認証顧客の内部監査を行えません。外部委託の相手はコンサルタントであり、認証機関ではありません。

人員配置は 2021 年 12 月 28 日の金管会命令が参考になります。条件に当たる上場・店頭公開企業は専任責任者と 2 名以上の専任担当者を含む専任部門を設置し、その他の上場・店頭公開企業（命令の除外規定に該当するものを除く）は専任責任者と 1 名以上の専任担当者を置く必要があります。管控指引第 38 条も、内部および委託先のセキュリティ監査を定期的に行うよう求めています。委託前に、実際に監査を行う人の主任審査員資格と独立性を確認してください。

ISO 27001 の期間は？その後の NIS2、27701、22301、42001 はどれだけ短縮できますか？

サービスページ記載の標準的な期間は 4〜8 か月で、ギャップ分析、仕組みの構築、内部監査とマネジメントレビュー、第一段階・第二段階審査の順に進みます。既存の IT ガバナンスの基盤があれば明らかに短縮できます。

27001 はその後の要求の共通の骨格です。各サービスページ記載の期間は次のとおりです。

積穗科研は CISO の ISO 27001 対応をどう支援しますか？

• まず範囲を判断：顧客、入札、主管機関のセキュリティ要求を確認し、認証範囲を定めます。
• リスクの言葉をそろえる：ERM のリスクの言葉で評価の枠組みを作り、27001 のリスク登録と全社のリスクマップをつなげます。
• 一つの証拠：ISO 27001 を骨格に、ISO 27701、22301、42001 がマネジメントシステムを共有します。
• 内部監査の委託：認証取得済みの組織では、内部監査を積穗が代行できます。
• 役割分担：積穗科研はコンサルタントで、認証は行いません。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。
• 実名の顧客：旺矽科技（MPI Corporation）、訊光資訊科技、卓元科健、超核心フィットネスセンター（Hypercore）、金融聯合徵信中心（JCIC）、台湾証券取引所（TWSE）。

関連ページ：ISO 27001 導入支援、ISO 27001 コンサルタントの選び方、ISO 27001 内部監査の外部委託。無料の仕組み診断を申し込む