ISO/IEC 27002

ISO/IEC 27002 は、国際標準化機構 (ISO) と国際電気標準会議 (IEC) が共同で策定した、企業などの組織における情報セキュリティマネジメントシステムの仕様を定めた規格。規格の名称は "Code of practice for information security management"。日本語訳は、日本産業規格 JIS Q 27002「情報セキュリティマネジメントの実践のための規範」である。情報セキュリティ管理のベストプラクティスの実施要項（規範）を提供する。

規格の正式名称は次のとおり。

ISO/IEC 27002 Information technology -- Security techniques -- Code of practice for information security management
JIS Q 27002 情報技術 ― セキュリティ技術 ― 情報セキュリティマネジメントの実践のための規範

概要

導入部の後、規格は次の12の主要な章から構成されている。

リスクアセスメントおよびリスク対応
セキュリティ基本方針 ― 管理方針
情報セキュリティのための組織 ― 情報セキュリティのガバナンス
資産の管理 ― 情報資産の目録と分類
人的資源のセキュリティ ― 従業員の雇用／異動／解雇に伴うセキュリティ
物理的及び環境的セキュリティ ― コンピュータ機器の保護
通信及び運用管理 ― システムおよびネットワークにおける技術的セキュリティの管理
アクセス制御 ― ネットワーク／システム／アプリケーション／機能やデータへのアクセス権制限
情報システムの取得、開発及び保守 ― アプリケーションへのセキュリティ組込み
情報セキュリティインシデントの管理 ― 違反の予測と、違反に対する適切な対処
事業継続管理 ― 業務上の重要なプロセスとシステムを保護し、保守し、復旧する
順守 ― 情報セキュリティポリシー／規格／法律／規定の順守の徹底

各章の中で、情報セキュリティ制御とその目的が述べられている。情報セキュリティ制御は、一般にそれらの目的を達成するベストプラクティスの手段と見なされる。各制御について、実施要項が提供されている。個々の制御が必須というわけではない。

各組織は、固有の状況に適切な制御を選択する前に、その特定の要求を決定するため、構造化された情報セキュリティ・リスクアセスメント・プロセスを実施することが期待されている。導入部にはリスクアセスメント・プロセスの概要も書かれているが、その部分をカバーする別の標準として ISO Technical Report TR 13335 GMITS Part 3 - Guidelines for the management of IT security - Security Techniques や BS 7799-3 (ISO/IEC 27005) などがある。
汎用的な規格で、考えられるあらゆる制御をリストアップするのは、事実上不可能である。ISO/IEC 27001 と 27002 の個別の産業分野に関する手引きとして、通信業、金融サービス業、医療関係などの各種産業向けの手引き作成が予定されている。

歴史

英国規格 BS 7799-1:1999（1999は発行年）がそのまま初版の ISO/IEC 17799:2000になり、2005年に改訂された。2007年に ISO/IEC 27002:2005 と改称され、ISO/IEC 27000 シリーズの一部となった。

規格の対応関係
英国規格	国際規格	日本産業規格	備考
BS 7799-2	ISO/IEC 27001	JIS Q 27001	ISMS 要求事項
BS 7799-1	ISO/IEC 17799 　　　　↓ ISO/IEC 27002	JIS X 5080 　　　↓ JIS Q 27002	ISM 実践のための規範

対応する各国の規格

BS ISO/IEC 27002:2005 （イギリス）- 同一のもの
AS/NZS ISO/IEC 17799:2006 （オーストラリア、ニュージーランド）
NEN-ISO/IEC 17799:2002 （オランダ、2005年版は翻訳中）
DS484:2005 （ドイツ）
SS 627799 （スウェーデン）
JIS Q 27002:2006（日本）
UNIT/ISO 17799:2005 （ウルグアイ）
EVS-ISO/IEC 17799:2003 （エストニア、2005年版は翻訳中）
CNS27002（中華民国）
GB/T 22081-2008（中華人民共和国）

ISO/IEC 規格の各国語への翻訳には数か月から数年を要する。

ISO/IEC 27000 シリーズ

→詳細は「ISO/IEC 27000 シリーズ」を参照

ISO/IEC 27002 は、ISO/IEC が定めた ISMS 規格群（ISO/IEC 27000 シリーズ）の1部である。他に次の規格などがある。

ISO/IEC 27000:2012 - ISMS 規格についての概要と基本用語集
ISO/IEC 27001:2005 - 各組織の ISMS が規格に準拠していることの認証について。ISO/IEC 27002 で示されているベストプラクティスを実際のシステムとして実装／運用／改良する際の要求仕様を示している。

外部リンク

表話編歴 ISO標準
国際標準一覧 · ローマ字表記国際規格一覧 · 国際電気標準会議が定める国際標準一覧
1から 10000まで	1 2 3 4 5 6 7 9 16 31 -0 -1 -2 -3 -4 -5 -6 -7 -8 -9 -10 -11 -12 -13 128 216 217 226 228 233 259 269 302 306 428 518 519 639 -1 -2 -3 -5 -6 646 668 690 732 764 843 898 965 1000 1004 1007 1073-1 1413 1538 1745 1989 2014 2015 2022 2047 2108 2145 2146 2240 2281 2382 2709 2711 2788 2852 3029 3103 3166 -1 -2 -3 3297 3307 3602 3864 3901 3977 4031 4157 4217 4909 5218 5428 5775 5776 5800 5964 6166 6344 6346 6385 6425 6429 6438 6523 6709 6937 7001 7002 7010 7098 7185 7200 7498 7736 7810 7811 7812 7813 7816 7942 8000 8178 8217 8571 8473 8583 8601 8613 8632 8652 8691 8807 8820-5 8859 -1 -2 -3 -4 -5 -6 -7 -8 -8-I -9 -10 -11 -12 -13 -14 -15 -16 8879 9000/9001 9075 -10 9126 9293 9241 -210 9362 9407 9506 9529 9564 9592 9594 9660 9897 9899 9945 9984 9985 9995
10001から 20000まで	10006 10021 10116 10118-3 10160 10161 10165 10179 10206 10218 10303 -11 -21 -22 -28 -238 10383 10487 10585 10589 10646 10664 10746 10861 10957 10962 10967 11073 11170 11179 11404 11519 11544 11783 11784 11785 11801 11898 11940 -2 11941 11941 (TR) 11992 12006 12100 12182 12207 12234 -2 -3 13211 -1 -2 13216-1 13250 13399 13406-2 13407 13450 13482 13485 13490 13522-5 13567 13568 13584 13616 14000 14031 14224 14229 14230 14289 14396 14443 14492 14496 -2 -3 -6 -10 -11 -12 -14 -17 -20 14644 -1 -2 -3 -4 -5 -6 -7 -8 -9 14649 14651 14698 -2 14750 14764 14882 14971 15022 15189 15288 15291 15292 15398 15408 15444 -3 15445 15438 15504 15511 15686 15693 15706 -2 15707 15765 -2 15836 15897 15919 15924 15926 15926 WIP 15930 15948 16023 16262 16612-2 16750 16949 17024 17025 17203 17369 17799 18000 18004 18014 18033 18092 18181 18245 18629 18916 19005 19011 19092 -1 -2 19100 19114 19115 19125 19136 19439 19500 19501 19502 19503 19505 19506 19507 19508 19509 19510 19600 19752 19757 -2 -3 -4 19770 19775 19784 19794-5 19831 20000
20001以上	20022 20121 21000 21047 21500 21827:2002 22000 22196 22250-1 22307 22324 23270 23271 23360 24517 24613 24617 24707 25178 25964 26000 26262 26300 26324 27000シリーズ 27000 27001:2005 27001:2013 27002 27003 27004 27005 27006 27007 27729 27799 28000 29110 29148 29199-2 29500 30170 31000 32000 37001 38500 40500 42010 45001 80000 -1 -2 -3 -4 -5 -6 -7 -8 -9 -10 -11 -12 -13 -14
組織	国際標準化機構
カテゴリ	ISO標準 ISO 31 ISO 639 ISO 3166 ISO 8859 ISO/IEC 80000 ISO/IEC標準
関連項目: ISOで始まる記事一覧