ISO 27001規格の本文は、今回の改訂によってどのように変わったのでしょうか？ 今回の改訂には、いくつかの目的がありましたが、その中には、次のようなものも含まれています。
- リスクアセスメントのアプローチをISO31000に整合させる。
- マネジメントシステム規格の共通テキストの構成に合わせる。
ISO 31000は、2009年に発行された“リスクマネジメントの原則及び指針”を規定した規格です。2005年のISO/IEC 27001より後に発行された規格ですが、組織の事業活動に関連する、より広範なリスクを取り扱うリスクマネジメントの規格となっています。 このリスクマネジメントの考え方は、マネジメントシステム規格（MSS）の共通テキストにも大きく影響を与えています。 ISO/IEC 27001:2005では、次の図に2005年版として示すモデルに基づいたリスクアセスメントプロセスが構成されていましたが、今回の改訂では、ISO 31000に示されるモデルに沿ったリスクマネジメントプロセスに変更されています。
今回の変更は、主に、リスクマネジメントに関連する用語の使用について整合化を図ったもので、リスクアセスメントの基本的な考え方に違いはありません。 ISO/IEC 27001の2005年版と比較すると、“リスクの算定（Risk estimation）”のプロセスが見えにくくなったようにも受け取られますが、実際には、要求事項によって“リスクのレベルを決定すること”が要求されていますので、リスクアセスメントの考え方に、実質的な相違はないと考えるのが妥当と思われます。 リスクアセスメントのアプローチに実質的な変更はないものの、ISO/IEC 27001:2013のリスクアセスメントプロセスに関する要事項は、ISO/IEC27001:2005に比べて、随分と整理された印象です。2005年版に基づき構築された情報セキュリティマネジメントシステムでは、『リスクアセスメントの個々の要求事項は満足しているものの、リスクアセスメントのプロセスから期待した結果が得られているか疑問を感じる仕組み』となってしまっているケースが多く見受けられたように感じています。このようなケースは、ISO/IEC 27001:2013の要求事項に沿った見直しを行うことで、改善されることが期待出来ます。 組織の情報セキュリティマネジメントシステムに影響を与えるのは、リスクアセスメントプロセスの見直しよりも、MSSの共通テキストの採用のそのものではないかと思われます。 ご存知の通り、MSSの共通テキストは、次のように構成されています。
| 4.組織の状況 |
| 5.リーダーシップ |
| 6.計画 |
| 7.支援 |
| 8.運用 |
| 9.パフォーマンス評価 |
| 10.改善 |
“4.組織の状況”では、“4.1 組織及びその状況の理解”、“4.2 利害関係者のニーズ及び期待の理解”が要求されており、これらを考慮に入れて、（情報セキュリティ）マネジメントシステムの適用範囲を決定し、運用することが要求されています。 後に続くリスクアセスメントのプロセスでも、特定された組織の課題や、利害関係者のニーズ及び期待に応えるためにリスクアセスメントが実施されることになります。 4項の要求事項は、いずれのマネジメントシステムにおいても共通のものとなっていますが、この部分をもう一度しっかりと整理して、組織の事業上の課題の解決や、利害関係者のニーズ・期待に関連するアウトプットを得ることができるようなリスクアセスメントプロセスへの見直しを図っていくことが重要と思われます。 また、“ISO/IEC 27001:2013年版 改訂動向‐管理策編‐”にも記載したように、今回の改訂で、附属書Aに規定される管理目的・管理策は、『必要な管理策が見落とされていることがないことを検証する』ツールという位置付けに変更されています。クラウドサービスの採用など、大きく情報通信技術の利用状況が変化していく中で、附属書Aの内容に頼りすぎることのない、事業内容及び現状にあったリスクアセスメントを実施することが必要です。