ISO/IEC 27001 管理策対比表

ISO/IEC 27001：2005 附属書Aの構成	ISO/IEC 27001：2013 附属書Aの構成
A.5 セキュリティ基本方針	A.5 セキュリティ方針
A.6 情報セキュリティのための組織	A.6 情報セキュリティのための組織 （A.15 供給者管理）
A.7 資産の管理	A.8 資産の管理
A.8 人的資源のセキュリティ	A.7 人的資源のセキュリティ （A.15 供給者管理）
A.9 物理的及び環境的セキュリティ	A.11 物理的及び環境的セキュリティ
A.10 通信及び運用管理	A.12 運用管理 A.13 通信のセキュリティ （A.15 供給者管理）
A.11 アクセス制御	A.9. アクセス制御
A.12 情報システムの取得、開発及び保守	A.14 システムの取得、開発及び保守 A.10 暗号
A.13 情報セキュリティインシデントの管理	A.16 情報セキュリティインシデントの管理
A.14 事業継続管理	A.17 事業継続管理の情報セキュリティの側面
A.15 コンプライアンス	A.18. 順守

数の上では3つの分野が追加されたようにも見えますが、実際には、分類が見直されたことによるもので、2005年版で“通信及び運用管理”のための管理策として整理されていたものが、“通信”と“運用”それぞれの分野に分けられた他、“暗号”、“供給者管理”の分野における管理策が追加されていますが、“暗号化の管理策”は、“情報システムの取得、開発及び保守”の中で一部取り上げられていましたし、供給者管理は、“A.6 情報セキュリティのための組織”、“A.7 人的資源のセキュリティ”、“A.10 通信及び運用管理”等、複数の分野で分散していた管理策を供給者管理として整理したものになっています。
既に認証を取得している組織にとっては、管理策の増減は、気になるところかもしれませんが、管理策の変変更によって、2013年版への移行において大きく問題が発生することは無さそうです。

改訂によって、管理目的及び管理策はより明確になっているように思われますので、自社において、“適用した管理策が、その管理目的に対して適切か？” という観点で見直しをする必要があるかもしれません。
情報セキュリティマネジメントシステムの改善のための診断を実施してみると、「適用宣言書」のために本来の目的と違う部分で管理策を適用している事例が少なくありません。
2013年版への移行においては、管理目的及び管理策の内容そのものよりもむしろ、情報セキュリティリスク対応の考え方が明確に表現されたことに注意が必要と思われます。
FDISの段階では、情報セキュリティリスク対応の基本的な取り組みは、

リスクアセスメントの結果を考慮して、リスク対応の選択肢を選定

↓

選定したリスク対応の選択肢の実施に必要な全ての管理策を決定

↓

上記で決定した管理策と附属書Aの管理策とを比較し、 必要な管理策が見落とされていないことを検証する。

のように規定されています。
2005年版では、附属書Aの管理目的及び管理策が基本で、追加の管理目的及び管理策を選択してもよいという記述であったことから、管理目的及び管理策の取扱いが少し変化しているように読み取れます。
組織の事業内容、組織を取り巻く状況が、様々であることを考えれば、2013年版のリスクアセスメントの結果から、必要な管理目的・管理策を採用し、重大な漏れがないことを附属書Aで確認する。というアプローチの法が理に適っています。

結果として、規格への適合性を示す手順に大きな変化はないかもしれませんが、 この改訂を契機に、リスク、及びリスク対応へのアプローチをどれだけ修正できるか？ が、その後の組織のISMSの有効性に大きく影響を与えるように思われます。