ソフトウェア開発におけるISO 27001：テクノロジーパートナーが備えるべきこと

規制対象ソフトウェアにおいて未検証のベンダーと協業することは、測定可能なリスクです。データ侵害、監査の失敗、またはGDPRに基づく通知義務は、契約そのものより高いコストをもたらす可能性があります。ISO 27001認証を持つソフトウェア開発パートナーは、独立した審査機関によって検証された統治された基準を提供します — 自己申告ではありません。

問うべきは、ベンダーが認証を保有しているかどうかではありません。その認証が、機能するセキュリティ管理システムを反映しているのか、それとも単なる文書化の演習なのかです。

ISO 27001はソフトウェア開発会社にとって何を意味するのか？

ISO/IEC 27001は、国際標準化機構（ISO）と国際電気標準会議（IEC）が発行する、情報セキュリティマネジメントシステム（ISMS）に関する国際的に認められた標準です。現行版であるISO 27001:2022は2022年10月に発行され、ISO 27001:2013に取って代わりました。

ソフトウェア開発会社にとって、認証とは、公認された第三者審査機関が以下を確認したことを意味します：

情報セキュリティリスクを体系的に特定・評価した
それらのリスクを許容可能なレベルまで低減する管理策を実施した
ポリシー、手順、および責任を文書化した
ISMSの継続的改善にコミットした

ISO 27001:2022には、4つのテーマにわたる93の管理策が含まれています：組織的、人的、物理的、および技術的。認証は、ベンダーが93すべてを実施したことを意味するのではありません。適用される管理策を文書化し、該当するものを実施し、除外事項を正当化したことを意味します。

ISO/IEC 27001:2022 附属書Aによる管理策数は、iso.orgから直接参照できます。

ISO 27001:2013とISO 27001:2022の違いは何か？

2022年の改訂では、管理策セットが14のカテゴリーにわたる114の管理策から、4つのテーマにわたる93の管理策に再編されました。クラウドセキュリティ、データマスキング、脅威インテリジェンス、セキュアコーディングをカバーする11の新たな管理策が導入されました。これらはすべてソフトウェア開発パートナーに直接関連します。

ISO 27001:2013の認証は、2025年末に業界全体の移行期間が完了したことを受け、現行とは見なされなくなりました。今日、2013年版の認証書を有効として提示するベンダーには、再認証の状況を確認する必要があります。

パートナーを評価する際は、認証書にISO/IEC 27001:2022と明記されていることを確認してください。旧版の2013年版ではありません。

ISO 27001認証を持つソフトウェア開発パートナーに何を聞くべきか？

認証は出発点であり、結論ではありません。認証書は、プロセスが存在することの証拠として扱い、そのプロセスが機能していることを確認してください。

商業的な契約を結ぶ前に、以下を確認してください：

認証は現在有効ですか？ 認証書は3年間有効で、1年目と2年目に必須のサーベイランス審査があります。認証書を請求し、有効期限と公認認証機関の名称を確認してください。
認証の適用範囲は何ですか？ ISO 27001認証は、特定の部門、製品、または地域をカバーする場合があり、必ずしも会社全体ではありません。認証された適用範囲が、あなたのデータを扱うチームとシステムを含むことを確認してください。
どの認証機関が審査しましたか？ 認定された機関はGlobal ACI MLAに掲載されています。認定を受けていない機関からの認証書は、国際的に認められた保証を持ちません。
再委託先やサードパーティベンダーはどのように管理していますか？ サプライチェーンリスク管理はISO 27001:2022で導入された管理策です（管理策5.19）。認証を受けたパートナーは、プロジェクトデータにアクセスするサードパーティをどのように審査・監視するかを説明できるはずです。
インシデント対応手順はどのようなものですか？ 概要を求めてください。顧客への通知はどのくらい迅速に行われますか？何を文書化しますか？

ISO 27001認証はGDPRへの準拠を意味するか？

いいえ、これはよくある誤解です。ISO 27001とGDPRは、重複しているが異なる要件を扱っています。

ISO 27001は任意の国際標準です。 情報セキュリティリスク管理に焦点を当てています。

GDPRはEUの法的義務です。 データ主体の権利と個人データの適法な処理に焦点を当てています。

ISO 27001認証はGDPRへの準拠を支援します。特に処理のセキュリティに関する第32条の義務において。 第32条は、暗号化、仮名化、および定期的なテストを含む、処理システムの機密性、完全性、可用性、回復力を確保する措置を実施することを組織に求めています。ISO 27001認証はこれらの義務に取って代わるものではありません。認証を受けたベンダーは、有効なデータ処理契約が欠如している場合、処理活動の記録を維持していない場合、またはデータ主体の権利を尊重しない場合、依然として非準拠となり得ます。

EU域外のパートナーと契約するDACH企業にとって、ISO 27001認証と標準契約条項（SCC）の組み合わせが通常必要とされます。これがGDPR第5章に基づく適切な保護を実証する方法です。データ転送が始まる前に両方が整っていることを確認してください。

ソフトウェア開発の文脈で最も重要な情報セキュリティ管理策は何か？

ベンダー評価において、93の管理策すべてが同じ重みを持つわけではありません。セキュアなソフトウェア開発プロジェクトに最も関連する管理策は以下の通りです：

A.8.25 - セキュアな開発ライフサイクル: セキュリティが開発プロセスに組み込まれており、リリース後に追加されていない
A.8.29 - 開発・受け入れにおけるセキュリティテスト: デプロイ前に脆弱性をテストする
A.8.28 - セキュアコーディング: 攻撃に強いコードを書くための原則を要求する2022年の管理策
A.5.19 - サプライヤー関係における情報セキュリティ: サードパーティサプライヤーに対する文書化されたセキュリティ要件
A.8.10 - 情報の削除: プロジェクト終了時にクライアントデータをベンダーシステムから削除する
A.6.8 - 情報セキュリティイベントの報告: スタッフがインシデントを特定してエスカレーションする方法

ベンダーのISMSを実務レベルで評価する際は、これらの管理策それぞれが開発ワークフロー内でどのように機能しているかを確認してください — 文書化されているかどうかだけでなく。

ISO 27001認証は規制産業に十分か？

規制対象のソフトウェア開発の文脈のほとんどにおいて、ISO 27001は必要ですが十分ではありません。

金融サービス。DORA — デジタル運用レジリエンス法（規則EU 2022/2554）— は2023年1月16日に発効し、2025年1月17日から適用されています。金融機関に対し、契約条項、インシデント通知義務、および運用レジリエンステストを通じてICTサードパーティリスクを管理することを求めています。ISO 27001はDORAへの準拠を支援しますが、それを満たすものではありません。契約前にパートナーがDORAに基づく義務を理解していることを確認してください。

医療。ISO 27001は情報セキュリティを広くカバーしています。医療データについては、ISO 27799または同等の国内標準が適用される場合があります。要件は管轄区域によって異なります — 患者データを処理する前に確認してください。

政府および重要インフラ。NIS2 — EUネットワーク・情報セキュリティ指令（EU 2022/2555）— は、より厳格なリスク管理およびインシデント報告義務を伴う15のセクターをカバーするよう、元のNIS指令を拡大しました。違反には最大1,000万ユーロの罰則が科せられます。ISO 27001認証は支援措置です。NIS2の義務を自動的に満たすものではありません。

規制産業で監査対応可能なパートナーは、ISMSがこれらのフレームワークにどのように対処しているかを明確に説明できます。質問を先送りにするパートナーは監査対応ができていません。

GradionのISO 27001認証は何をカバーしているか？

Gradionはエンジニアリング業務全体でISO/IEC 27001:2022認証を保有しています。認証の適用範囲は、開発、デプロイ、データ処理を含む、クライアントのソフトウェア開発に関わるシステム、プロセス、および人員をカバーしています。

実務的には、以下を意味します：

クライアントのシステムとリポジトリへのアクセスは、文書化されたアクセス制御ポリシーによって管理されています。
セキュリティインシデントは記録・分類され、影響を受けたクライアントへ定められた期間内に通知されます。
再委託先やサードパーティツールは、クライアントプロジェクトで使用する前にベンダーリスク管理プロセスに基づいて評価されます。
開発者はクライアント環境にアクセスする前にセキュリティ意識向上トレーニングを受けます。
セキュアコーディングの実践は開発ワークフローに組み込まれており、リリース後のチェックとして適用されていません。

これが、最初のsprintが始まる前に案件のセキュリティ層をリスク軽減する方法です。認証は公認された第三者機関による年次サーベイランス審査を通じて更新されます。認証書と適用範囲の文書はNDAの下で請求に応じて提供できます。

ISO 27001認証が正当であることを確認する方法は？

3つのステップ：

1. 認証機関が認定されているか確認する。 global-aci.orgのGlobal ACIデータベース、または各国の認定機関（ドイツのDAkkS、英国のUKAS、シンガポールのSAC）で検索してください。発行機関が掲載されていない場合、その認証書は認められた保証を持ちません。
2. 適用範囲があなたの案件をカバーしていることを確認する。 認証書には認証された適用範囲が記載されています。「本社業務」とあり、あなたのプロジェクトが分散した開発チームを含む場合は、そのチームが適用範囲内かどうか確認してください。
3. 有効期限を確認する。 認証書は3年間有効です。サーベイランス審査は1年目と2年目に必須です。審査記録がない場合は、追加で確認が必要な事項です。

ベンダーが認証書と適用範囲の文書を共有できない場合は、それをリスクシグナルとして扱ってください。

情報源

ISO/IEC 27001:2022標準（管理策数、附属書A構造）— iso.org、有料
GDPR第32条 — 処理のセキュリティ義務 — gdpr-info.eu（EUR-Lex、規則2016/679を反映）
DORAの発効日およびICTサードパーティ義務 — ESMA、esma.europa.eu/esmas-activities/digital-finance-and-innovation/digital-operational-resilience-act-dora
NIS2の適用範囲と罰則 — nis2directive.eu（指令EU 2022/2555）
ISO 27001:2022移行期間 — IAF MD 26（2023年1月）。IAFは2026年1月1日に運用を終了し、機能はGlobal Accreditation Cooperation Incorporated（global-aci.org）に移管されました。
Global ACI認定レジストリ — global-aci.org