ISO 27001コンプライアンスチェックリスト – 監査要件。損害を受けるサイバー攻撃に直面して、企業はより堅牢なソリューションを実装する必要があります。攻撃から組織を守る方法の1つは、サイバーセキュリティコンプライアンスを通じて行われます。理想的には、サイバーセキュリティコンプライアンスは、データと情報の保護を確保するリスク管理アプローチです。
さまざまなサイバーセキュリティコンプライアンスの標準が存在し、重要なITシステムを保護するために組織を支援しています。したがって、ISO 27001は、国際標準化機構（ISO）と国際電気化学会議（IEC）によって開発され、企業が機密データと顧客の個人情報を保護するのを支援しています。その後、この記事ではISO 27001とそのさまざまなコンプライアンスおよび監査要件について説明します。
記事「ISO 27001コンプライアンスチェックリスト – 監査要件」を始めましょう。続けて読んでください！
ISO 27001コンプライアンスとは何ですか？
ISO 27001は、組織が情報システムを保護するのを支援するために設計された国際的なサイバーセキュリティ標準です。また、組織が情報を保護するために効果的な情報セキュリティ管理システム（ISMS）を実装するのに役立ちます。基本的に、組織が簡単に実装でき、情報のセキュリティを確保することに完全に自信を持つことができるように、ISMSの要件を示しています。
ISO 27001の遵守要件
画像ソース：Imperva
ISO 27001の準拠を達成するためには、強力な情報セキュリティ管理を実装する必要があります。しかし、それは長期間、継続的で時間のかかるプロセスです。以下は、組織が準拠を達成するためのISO 27001チェックリストです。
1. ISO 27001チームの任命
ISO 27001準拠に向けた最初のステップは、ISMSの実装を監督するチームを編成することです。さらに、チームメンバーは情報セキュリティに関する知識と経験を持っているべきです。また、プロジェクトを推進するリーダーをチームに持つべきです。
さらに、セキュリティチームは、ISMS実装プロセスすべてを詳細に記述した計画を作成します。目的、コスト、期間などを含む。確かに、この文書は進捗を評価する際に役立ち、チームが正軌を維持するのに役立ちます。
2. ISMSを構築する
画像ソース：Anitech
本質的に、ISMSは組織に合わせてカスタマイズされるべきです。それは、あなたの会社のビジネスプロセスと直面するセキュリティリスクの性質に一致すべきです。さらに、ISMSは組織の内部プロセスだけでなく、各従業員のISMS実装への貢献もカバーすべきです。
3. リスク評価方法論の定義
4. リスク評価の実施
5. 適用性声明書（SOA）を完成させる
この文書では、組織が実施する必要があるコントロールと、実施しない理由が明確になります。これには、組織の規模、範囲、性質、リスクプロファイルに応じて適用されるコントロールが含まれます。
画像ソース：Advisera
組織のシステムセキュリティの範囲を詳細に記述する適用性声明書（SOA）。SOAは、組織に適用されるすべてのセキュリティコントロールを述べています。理想的には、ISO 27001には付属書Aとして知られるコントロールセットがあり、114の可能なコントロールが含まれています。あなたは、あなたの評価で特定されたリスクに対処するコントロールを選択するべきです。また、適用するコントロールも述べる必要があります。
6. ISMSの有効性を測定する方法を決定
リスク評価とSOAの記入に続いて、実装されたコントロールを評価するための基準を確立することになります。特に、このアプローチは、ISMSの欠落部分を特定するのに役立ちます。このステップでは、ISMSの有効性を決定するすべてのプロセス、ポリシー、およびしきい値のしきい値を設定します。
7. ISMSポリシーとコントロールの実装
8. トレーニング＆意識向上プログラムの実装
ISMSを構築したら、従業員に新しいセキュリティアプローチについて教育する必要があります。ISO 27001は、従業員がセキュリティリスクについて認識し、それらを抑制する方法を理解するように訓練することを組織に求めています。理想的には、ソーシャルエンジニアリングやフィッシングキャンペーンを使用して、セキュリティ意識の弱点を突くべきです。弱点を発見したら、手元の問題に対処するカスタムセキュリティトレーニングアプローチを作成できます。
9. 必要な書類と記録を揃える
ISO 27001に準拠するために、各セキュリティ手順を適切に文書化する必要があります。手順の証明を提供し、監査中に必要な書類を準備してください。
10. 内部監査を実施する
貴社のISMSの内部監査は、改善が必要な分野を特定し、ISMSの関連性について洞察を得ることができます。ISO 27001認定監査人を選択して監査と包括的な文書レビューを行います。その後、監査アドバイスを実装し、監査人によって特定されたすべての非適合事項に対処してください。
内部監査には、ISMSの実装に責任を持つ人々を含めるべきではありません。これにより、ISMSの強みと弱みを強調する包括的で偏りのない監査が可能になります。
11. ISMSを監視する
12. 継続的な監査と評価を実施
ISO 27001は、組織に継続的なセキュリティ監査と評価を行うことを要求しています。四半期ごとまたは年に1回の管理レビューを行う必要があります。年に1回のリスク評価は、コンプライアンスを維持するために必須です。
13. 認証監査を実施
ISO 27001準拠への最後のステップは、認証監査です。最初の内部監査の後、外部の監査人を雇って2回目の監査を行う必要があります。認証監査はより広範囲であり、国際アクセプション・フォーラム（IAF）のメンバーである認定機関が実施します。ISO 27001認証は3年間有効です。その間、あなたの組織は年次監査を行うべきです。
次は監査要件です。ISO 27001準拠チェックリスト – 監査要件を読み続けてください。
あなたのアクティブディレクトリセキュリティ準拠とAzure ADを改善してください
無料で試してみませんか、すべての機能にアクセス。 – 200以上のADレポートテンプレートが利用可能。簡単に独自のADレポートをカスタマイズできます。
ISO 27001監査要件
画像ソース：アルクマス
重要なのは、ISO 27001の監査がISMSが設定された基準を満たしているかを確認するために必要です。これには、有能な監査人がISMSおよびその要素が基準の要件を満たしているかを確認するためのレビューを行います。また、コントロールやポリシーが実用的かつ効率的であり、組織のセキュリティの状態を維持するのに役立つかどうかもチェックされます。
ISO 27001の監査には2つのタイプがあります:
内部監査
内部監査は、組織自体のリソースを使用して行われます。自社の内部監査員を使用するか、第三者と契約することができます。内部監査では、ポリシーや手順のレビュー、およびそれらが一貫して遵守されているかどうかのテストが行われます。また、文書レビューの結果がISO 27001の要件を満たしているかどうかも確認されます。
外部監査
外部監査は認証監査とも呼ばれます。外部の認定された監査人が、組織の手続き、文書、およびコントロールが規制に適合しているかをレビューします。外部監査人がISMSの設計に満足した場合、組織を認証の対象として推奨します。認証機関は、再認証前に定期的な監査を実施します。
適合性を維持するために、組織は以下の監査要件を満たす必要があります:
- 効果的な管理レビュー。
- 更新されたドキュメント。
- 内部監査報告書。
- 監査報告書の分析。
理想的には、ISO 27001の監査は組織的なアプローチが必要な継続的なプロセスです。コンプライアンスを維持するためには、3年ごとに内部監査を実施する必要があります。
ISO 27001コンプライアンスチェックリスト-監査要件をお読みいただき、ありがとうございました。結論となります。
また、以下もご覧ください：サイバーセキュリティのトップ15の脆弱性スキャナツール
ISO 27001コンプライアンスチェックリスト-監査要件の結論
ISO 27001は法律で義務付けられているわけではありませんが、組織に多くの利益をもたらします。重要な情報を保護し、企業の信頼性を高めるのに役立ちます。この認証は、お客様やパートナーに対して会社の信頼性を示す素晴らしい方法です。したがって、ISO 27001のコンプライアンスを達成するために公認機関と連携することが重要です。
当社のブログで、これらと同様のサイバーセキュリティのヒントをもっと読んでみてください！
Source:
https://infrasos.com/iso-27001-compliance-checklist-audit-requirements/