顧客契約が「ISO 27001 の取得と維持」を求めている。認証が本当にこの契約をカバーしているか、どう確認するか？
| 確認対象 | 理由 |
|---|---|
| 認証範囲 | 認証が裏づけるのは範囲内の組織と活動。契約上のサービスが範囲外なら、認証はそれについて何も証明しない |
| 適用宣言書（SoA） | 93 の管理策の適用可否はリスクアセスメントで決め、適用除外には理由を記載する。顧客が重視する管理策が除外されている可能性がある |
| 版 | ISO/IEC 27001:2022 で導入する。2013 年版認証の移行期間は 2025 年 10 月 31 日に終了 |
| 発行者 | ISO/IEC 17021-1 箇条 5.2.5 により、認定を受けた認証機関と同一法人はマネジメントシステムのコンサルティングを提供できない。認証を発行するのは認証機関であり、コンサルタントではない |
契約には、認証範囲が本契約のサービスをカバーすること、認証の失効・一時停止・範囲縮小時の通知義務を明記できます。あわせて、ISO 認証は NIS2、GDPR、EU CRA への準拠と同じではないことを明確にし、顧客が法令上の義務を求める場合は別条項にします。
顧客が監査権を求めている。ISO 27001 認証や監査報告書で現地監査を代替できるか？
顧客がどの規範に服しているかによります。
| 顧客の類型 | 監査権の交渉余地 |
|---|---|
| 一般の取引先 | 監査権は交渉事項。範囲、頻度、事前通知、秘密保持、費用を交渉でき、認証、SoA、認証審査の結果を定例の裏づけにできる |
| EU 金融事業体（DORA）で、重要または重大な機能を支える場合 | 金融事業体またはその指定する第三者が無制限のアクセス・検査・監査の権利を持つ。ESMA は、頻度は金融事業体が合意するもので、アドホック監査の余地を残す必要があると説明 |
| NIS2 の規制対象の顧客 | 直接のサプライヤーごとの固有の脆弱性を考慮する必要があり、質問票や監査で確認することが多い |
法務・コンプライアンス責任者が譲れない条項：監査人が他の顧客のデータに触れないこと、監査での指摘事項の秘密保持と利用範囲、監査によるサービス中断時の扱い。認証で特定の監査を代替できるかは顧客が決めます。
契約のインシデント通知期限、責任上限、補償をレビューする枠組みは？
| 条項 | 枠組み |
|---|---|
| インシデント通知 | まず顧客自身の法定期限を確認：GDPR の個人データ侵害は可能な場合、認識から 72 時間以内。NIS2 の重大インシデントは 24 時間以内に早期警告。DORA は重大と分類してから 4 時間以内、かつ認識から 24 時間以内。顧客がそれより早い通知を求めるなら、検知と判定のプロセスで対応できるか確認 |
| 責任上限 | セキュリティや個人データのインシデントを一般の上限から除外するか、別の上限を設けるか |
| 補償 | 顧客に科された制裁金を含むか。制裁金を他者が補償する約定の有効性は準拠法による |
| 保険 | サイバー保険の補償範囲が契約上の責任と一致しているか |
| 調査への協力 | 当局や顧客が調査する際、どの記録をどれだけ早く提供するか |
ISO 27001 のインシデント管理手順と演習記録は、通知条項を履行できることの根拠になります。条項の法的効果は弁護士が、補償範囲は保険ブローカーが確認します。
セキュリティや個人データのインシデントが起きた場合、ISO 27001 の記録は損害賠償請求や当局調査でどう役立つか？
- 個人資料保護法第 29 条第 1 項：非公務機関が同法に違反し、個人データが違法に収集・処理・利用され、またはその他当事者の権利を侵害した場合は損害賠償責任を負う。ただし故意または過失がないことを証明できた場合はこの限りでない。立証責任は会社側にあり、リスクアセスメント、管理策、内部監査、マネジメントレビューの記録が、講じた措置を示す材料になります。
- 2025 年 11 月 11 日（民国 114 年）の改正：第 12 条に、一定の通報範囲に該当する場合の主管機関への通報、即時の対応、事実と対応措置の記録と検査に備えた保存が加わりました。一部の条文は未施行で、施行日は未定です。
- GDPR：第 42 条の認証メカニズムはデータ保護当局または EDPB の承認が必要です（例：Europrivacy）。ISO 27001 は認証機関が発行するマネジメントシステム認証であり、これには当たりません。
記録で無過失を証明できるか、どの程度の重みがあるかは裁判所が個別に判断します。ISO 認証は免責の証明ではありません。
インシデント発生後、証拠保全と対外説明でまず何をすべきか？
枠組み（順に）：
- 対応手順の発動：「上市上櫃公司資通安全管控指引」第 34 条は、セキュリティインシデントの対応処置と通報の手順を定めるよう求めています。法務部門は手順の中で明確な役割を持つ
- 証拠の保全：インシデントログ、システム記録、フォレンジックデータ、意思決定記録を、取得時刻と取扱者とともに記録し、後から完全性を疑われないようにする
- 期限の洗い出し：GDPR、NIS2、DORA、顧客契約の通知期限を並べ、一つのインシデント分類の手順で判断する
- 対外説明：年次報告書準則第 18 条第 6 款は、重大なサイバーセキュリティインシデントの損失、想定される影響、対応措置の開示を求めています。対外説明は通報内容と一致させる
- 事後：是正措置を ISO 27001 の改善の追跡に組み込む
同指引は第 41 条により上場・店頭登録会社が適宜採用するもので、年次報告書準則は公開発行会社に適用されます。非公開発行会社は対象外ですが、任意に参考にできます。
自社のクラウド事業者や委託先との契約には、どんなセキュリティ条項を入れるべきか？
上流への要求と下流への約束は一致させます。顧客に約束したことは、サプライヤー契約で裏づけられなければなりません。
- 「上市上櫃公司資通安全管控指引」第 31〜33 条は情報業務の委託を、第 38 条は社内と委託先のセキュリティ監査の定期実施を求めています
- 台湾証券取引所の ESG 評価指標 S-15：サプライヤー管理方針を開示し、情報通信セキュリティやプライバシー保護などの分野で規範の遵守をサプライヤーに求め、その実施状況を説明すること
条項チェックリスト：
| 条項 | 要点 |
|---|---|
| 監査または裏づけ | 監査できること、少なくとも認証と監査結果を入手できること |
| インシデント通知 | 顧客への約束より短い期限 |
| 再委託 | 事前同意と同等の要求 |
| データ処理場所 | 顧客への約束と一致 |
| 解除 | データ返還と削除証明 |
同指引と ESG 評価は上場・店頭登録会社に適用されます。非公開発行会社は対象外ですが、任意に参考にできます。
積穗科研は法務・コンプライアンス責任者の ISO 27001 対応をどう支援するのか？
- まず要求を確認：顧客、入札、監督当局のセキュリティ要求を確認し、それに基づいて認証範囲を定める
- リスクアセスメントと SoA：ERM のリスクの言葉で評価の枠組みを作り、管理策と適用宣言書を決定。適用除外には理由を記載
- 役割の分離：積穗科研は支援コンサルタントであり認証は発行しません。認証取得済みの組織は、内部監査を積穗に委託できます
- 一つの証拠：ISO 27001 を骨格に、NIS2、DORA、顧客の質問票が同じ記録を共有
- 期間（サービスページ記載）：通常 4〜8 か月
- 担当者：副総経理・取締役級のコンサルタントが一貫して直接担当し、外注しません。チームは ISO 主任審査員の資格を保有。実名顧客：旺矽科技（MPI Corporation）、訊光資訊科技、卓元科健、超核心フィットネスセンター（Hypercore）
詳しくは：ISO 27001 導入支援、台湾の ISO 27001 コンサルタントの選び方、ISO 27001 内部監査の外部委託。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- 法務・コンプライアンス責任者と ISO 37001：代理店の贈賄、通報調査、契約条項をどう管理するか
- 法務・コンプライアンス責任者と営業秘密保護：退職者の持ち出し、提訴、証拠保全で何を先に準備するか
- 法務・コンプライアンス責任者と GDPR・ISO 27701：処理者契約、越境移転、調査にどう対応するか
- 法務・コンプライアンス責任者と EU CRA：製造者責任、報告義務、ODM 契約をどう分けるか
- 法務・コンプライアンス責任者と EU AI 法・ISO 42001：役割の判定、AI 契約、責任をどう管理するか
- 法務・コンプライアンス責任者が見る NIS2：管轄、個人責任、当局調査、顧客条項
- 法務・コンプライアンス責任者が見る DORA：第 30 条の契約、監査権、出口条項の交渉
- 法務・コンプライアンス責任者が見る ERM：法令遵守リスクのマッピングと有効性の証明
- 法務・コンプライアンス責任者が見る TISAX：自動車メーカー契約、参加規約、評価結果の共有