ISO/IEC27017とは、ISO/IEC27002（情報セキュリティ管理策の実践のための規範）に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範を規定する国際規格です。2016年8月より、一般社団法人 情報マネジメントシステム認定センター（ISMS-AC）によるISMSクラウドセキュリティ認証制度が開始されました。

　クラウドサービスとは、従来はオンプレミスと呼ばれる利用者が自ら運用する情報システムで管理していたデータやソフトウェアを、ネットワーク経由で、クラウドサービス事業者のサービスを利用する形態を言います。利用者側がPCや携帯情報端末などのクライアント、その上で動くWebブラウザ、インターネット接続環境などを使用することで、クラウドサービス事業者よりさまざまなサービスを利用することができます。自ら情報システムを構築・運用することなく、ネットワークを介してクラウドサービスを利用する形態のため、その利便性、コストダウン、スケーラビリティ等のメリットにより急速に普及してきています。

　ISO/IEC27001に基づくISMSは、情報やサーバー等所有する資産をベースとしたマネジメントシステムですが、クラウドサービスを利用する場合のリスクマネジメントや管理策が具体的には規定されていなかったため、ISMSの情報セキュリティ管理策にさらにクラウドセキュリティの管理策を付加する形でISO/IEC27017が作成されました。

　ISMSにISO/IEC27017に基づくISMSクラウドセキュリティ管理策を付加することにより、クラウドサービスを提供する場合やクラウドサービスを利用する場合のリスクマネジメントの実施、クラウドセキュリティ管理レベルの向上により、クラウドサービスに伴う様々なリスク対応としての効果が期待できます。また、ISO/IEC27001に加えてISO/IEC27017の認証を取得することで、クラウドサービスに対応した情報セキュリティ管理の取組みを外部組織にアピールすることができます。

　クラウドサービスは、調達者、供給者の関係によるサプライチェーンを形成することがあります。クラウドサービスカスタマを調達者、クラウドサービスプロバイダを供給者とする関係を構成するため、規格が規定する　「認証対象」は3通りあります。

• クラウドサービスカスタマ　　- クラウドサービス利用者-
• クラウドサービスプロバイダ　　- クラウドサービス事業者-
• クラウドサービスカスタマとクラウドサービスプロバイダの複合　-他社のクラウドサービスを利用し、サービス提供している事業者-

ISMSクラウドセキュリティの認証はISMSの認証が必須です。そのため、ISMSを既に認証している組織がISMSクラウドセキュリティを追加認証するか、ISMSとISMSクラウドセキュリティを同時に新規認証することになります。ISMSの適用範囲の中にISMSクラウドセキュリティの適用範囲が定義され、ISMSの適用範囲を越えることはできません。適用範囲は、次に図示する範囲のどちらかとなります。

当社の審査プロセスを以下に示します。

(※1) 審査申請書には、クラウドサービスに関して、下記をご記入ください。
　（1） クラウドサービスカスタマ 〜クラウドサービス利用者
　（2）クラウドサービスプロバイダ〜クラウドサービス事業者
　（3）両者の複合

(※2)　ISMSの既登録組織がISMSのサーベイランス審査時、もしくは更新審査時に併せてISO/IEC27017を拡張する場合は、初回審査相当の第1段階審査、第2段階審査を実施しません。

(※3) ISMSの登録証とは別に、ISMSクラウドセキュリティに関する登録証を発行します。