ISMSの改訂とは、情報セキュリティマネジメントシステム（ISMS）の国際規格「ISO/IEC 27001」が時代の変化に合わせて内容を更新することを指します。直近の改訂は2022年10月に行われ、現在の最新版は「ISO/IEC 27001:2022」です。
「改訂があったと聞いたが、何がどう変わったのか把握できていない」「自社では何を見直せばよいのか」という状況にある担当者は少なくありません。規格の改訂は、管理策の数や分類だけでなく、社内の文書体系や運用ルールにまで影響が及ぶため、全体像を正確に理解しておく必要があります。
この記事では、取得済みの企業と新規取得を目指す企業それぞれに、何を・いつ・どの順で対応すればよいかを、2022年改訂の変更点と社内対応の進め方を軸にお伝えします。あわせて、2024年に追加された規格の補足内容と、2025年10月の移行期限を経た現在の状況もご紹介しますので、ぜひ参考にしてください。
※ 本記事はISO/IEC 27001:2022およびJIS Q 27001:2023の内容に基づいています。
ISMS（Information Security Management System）の国際規格であるISO/IEC 27001は、スイスのジュネーブに本部を置く国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で策定した規格です（※）。技術環境や社会情勢の変化に合わせ、定期的に内容が見直される仕組みになっています。
2022年の改訂は、前バージョン（ISO/IEC 27001:2013）から約9年ぶりに行われたもので、主に3つの背景があります。
1つ目は、クラウドサービスの急速な普及です。2013年当時はオンプレミス（自社内のサーバー運用）を前提とした管理策が中心でしたが、今日ではほとんどの企業がクラウドを業務に利用しています。旧規格ではクラウド環境のリスクをカバーしきれなくなっていました。
2つ目は、サイバー攻撃の巧妙化です。ランサムウェアや標的型攻撃、サプライチェーン攻撃など、手口が複雑化し、被害規模も拡大しています。従来の管理策では対応が追いつかない局面が増えていました。
3つ目は、テレワークの広がりです。社外から社内システムにアクセスするという運用が一般化し、情報資産の管理境界が大きく変わりました。これに伴うセキュリティリスクへの対応を規格に反映する必要が生じました。
今回の改訂は、こうした現代のIT環境に即した規格の更新です。インシデントへの事後対応ではなく、技術環境の変化への先行的な対応として位置づけられています。
※ 参考：ISO/IEC 27001:2022 │ Information security, cybersecurity and privacy protection. ISO.2022年の改訂における変更は、主に本文の修正・附属書Aの再編成・11の管理策の新規追加の3点に分けられます。このうち実務への影響が最も大きいのは附属書Aの刷新で、管理策の分類と内容が全面的に見直されました。
ISO/IEC 27001の構成は「本文（箇条4〜10）」と「附属書A」の2層に分かれています。本文は、ISMSを構築・運用・改善するための要求事項を定めた部分で、附属書Aには具体的な管理策の一覧が掲載されています（※）。
本文の変更は、主に用語の適正化と表現の明確化にとどまります。たとえば、箇条6.1.3において「管理目的」という表現が「情報セキュリティ管理策」に改められました。規格全体の構造を他のISOマネジメントシステム規格（ISO 9001など）と共通化する目的も含まれており、実務上の運用に大きな影響を与える変更ではありません。
今回の改訂で最も大きかったのは、管理策をまとめた附属書Aの再編成です。
| 項目 | 旧規格（2013年版） | 新規格（2022年版） |
|---|---|---|
| 管理策の総数 | 114項目 | 93項目 |
| カテゴリ数 | 14カテゴリ | 4カテゴリ |
管理策の数が114から93に減ったことを見て「対応項目が減って楽になった」と受け取るのは誤りです。内容の近い管理策が統合されて数が絞られたのであり、削除された管理策はゼロです（※1）。むしろ、新たに11の管理策が追加されているため、対応すべき実務は改訂前より増えている面があります。
カテゴリの分類も大きく変わりました。旧規格の「情報セキュリティのための組織」「アクセス制御」など細分化された14カテゴリが、次の4つに再整理されています。
この4カテゴリを基準に、管理策の適用・除外を判断することが適用宣言書の作成・見直しでも軸になります。
※ 参考：ISO/IEC 27001:2022 │ Information security, cybersecurity and privacy protection. ISO.結論から言えば、取得済みの企業は「移行審査」への対応、新規取得を目指す企業は「2022年版に基づく初回審査の準備」と、起点がまったく異なります。改訂への対応で最初に確認すべきことは、自社がどちらの立場にあるかです。
ISO/IEC 27001:2013の認証を保有していた企業は、2025年10月31日までに新規格（ISO/IEC 27001:2022）への移行審査を完了させる必要がありました（※）。この期限をもって旧規格の認証は失効しています。
移行審査は、定期審査（サーベイランス審査）や更新審査（再認証審査）と同じタイミングで受けることが多く、旧規格との差分である「附属書Aの変更点への対応状況」が主に確認されました。審査の追加工数や費用は、事業規模や認証機関によって異なります。
2024年4月30日以降、新規取得の審査は旧規格（ISO/IEC 27001:2013）では受けられなくなりました（※）。これからISMS認証の新規取得を目指す企業は、最初からISO/IEC 27001:2022に基づいて認証取得の準備を進めることになります。
移行審査の手続きは関係なく、附属書Aの新しい4カテゴリ・93管理策を基準としたリスクアセスメントと適用宣言書の作成から始まります。現行の最新版に沿って進めれば問題ありません。
※ 参考：情報マネジメントシステム認定センター（ISMS-AC）│ ISMS適合性評価制度 ISO/IEC 27001:2022 への対応について(更新版)改訂に伴い、対応が求められる文書は主に3種類あります。規格の変更点を把握したうえで、それぞれ順番に確認していきましょう。
適用宣言書とは、附属書Aに定められた管理策の中から、自社に適用するものと除外するものを一覧で示した文書です（※）。なぜ除外するのかの理由も含めて記載することが求められます。
今回の改訂では附属書Aの構成が14カテゴリから4カテゴリに変わり、11の管理策が新たに追加されました。更新にあたっては、旧規格の管理策番号（例：A.9.1.1）を新規格の番号（例：5.15）に対応させ、統合された管理策がどの新規管理策に相当するかを確認します。新規11管理策については採否を判断し、採用しない場合はその理由を明記します。
なお、新規管理策の採否は、附属書Aを機械的に照合するだけでなく、変化した脅威や事業環境を踏まえてリスクアセスメントを再実施し、その結果に基づいて判断するのが本来の順序です。
適用宣言書の形式に定められたテンプレートはありませんが、以下4つの要素を含めることが要求事項として定められています。
情報セキュリティポリシーや各種手順書には、旧規格の管理策番号や分類を参照している記述が含まれている場合があります。また、新たに追加された11の管理策のうち自社で採用したものについては、対応する社内規程や手順を新たに整備しなければなりません。
たとえば「クラウドサービス利用の情報セキュリティ（5.23）」を採用した場合、クラウドサービスの選定・利用・終了に関する手順書が必要になります。「脅威インテリジェンス（5.7）」を採用した場合は、脅威情報の収集元や分析プロセスを規定した文書を用意します。
既存の文書をゼロから作り直す必要はありませんが、「新しい管理策に対応する規程が存在するか」を管理策ごとに確認する作業は必要です。
内部監査は、ISMSが要求事項に沿って運用されているかを組織内で確認する手続きです（※）。監査に使用するチェックリストが旧規格の管理策番号・分類に基づいている場合、新規格に対応した形に更新する必要があります。
新たに追加された管理策が自社で採用されているなら、その管理策が実際に運用されているかを確認する項目もチェックリストに加えます。更新した体制で少なくとも1サイクルの内部監査を完了させてから、維持審査に臨む流れが一般的です。
※1 参考：ISO/IEC 27001:2022 │Information security, cybersecurity and privacy protection.2022年の大規模改訂から少し遅れて、2024年2月にISO認証全体に共通する追補が行われました（※1、※2）。内容は、「気候変動への考慮」を組織の状況把握に含めることを求めるものです。なお、この追補を反映した国内規格「JIS Q 27001:2025」は2025年5月20日に公示されています（※3）。
具体的には、規格の箇条4.1（組織の状況の理解）と箇条4.2（利害関係者のニーズと期待の理解）に対して、気候変動が自社の課題として関連するかどうかを判断し、その結果を記録に残すことが追加されました。
| 該当箇所 | 追加された要求事項 |
|---|---|
| 箇条4.1 | 気候変動が組織の外部・内部課題として関連するかどうかを判断する |
| 箇条4.2 | 利害関係者が気候変動に関連する要求事項を持っているかを確認する |
この追補は、環境保護活動や温室効果ガスの削減を義務づけるものではありません。問われているのは「気候変動が自社のセキュリティや事業継続に影響を与えるリスクとして検討したかどうか」という点です。たとえば、異常気象による拠点の損壊リスクや、電力供給の不安定化がシステム稼働に与える影響などを検討したかどうかを確認し、その過程を文書として残しておくことが求められます。
取引先から気候変動対応に関する要求（BCPの整備など）が寄せられている場合は、それも含めて確認・記録しておく必要があります。「検討した結果、自社には関連しないと判断した」という結論でも問題ありませんが、「何も検討していない」という状態は要求事項の不適合にあたります。
※1 参考：ISO/IEC 27001:2022│Amd 1:2024. International Organization for Standardization.旧規格（ISO/IEC 27001:2013）による認証は、2025年10月31日をもって失効しました（※1）。この期限は、2022年の新規格発行から3年間の移行期間として設けられたものです。移行審査を完了できた組織は、現在ISO/IEC 27001:2022に基づく認証を維持しています。一方、期限までに移行審査を受けられなかった組織は、旧規格の認証が自動的に取り消されています。
認証が失効した場合の影響は、主に次の3点です。
認証が失効した状態から再取得を目指す場合、まずはISMS-AC（情報マネジメントシステム認定センター）が認定する認証機関に連絡し、現状の確認と審査スケジュールの調整から始めることになります（※2）。再取得の準備期間は、組織の規模や既存の文書体系の整備状況によって異なります。
現在もISMS認証を保有し運用している組織にとっては、今後は「移行」の問題ではなく、ISO/IEC 27001:2022に基づく継続的な運用と、毎年の維持審査への対応が主な課題となります。
※1 参考：一般社団法人 情報マネジメントシステム認定センター（ISMS-AC）│ISMS適合性評価制度 ISO/IEC 27001:2022 への対応について(更新版)ISMS認証は、取得することよりも継続的に維持・改善していくことに本質的な意味があります。ISO/IEC 27001:2022への移行が完了した後も、PDCAサイクル（計画・実施・確認・改善）を回し続けることが規格の要求事項として定められています（※1）。
実務上は、年に1回の内部監査とマネジメントレビュー（経営層によるISMSの有効性確認）を通じて、運用の実態と規程の整合性を確認します。変化した脅威や事業環境に応じてリスクアセスメントを更新し、必要があれば管理策や手順書を見直します。この繰り返しが、形骸化しない情報セキュリティ体制につながります。
Webアプリケーションのセキュリティについては、ISMSの管理策（特に8.25「セキュリティに配慮した開発のライフサイクル」や8.29「開発及び受け入れにおけるセキュリティの試験」）と連動して、脆弱性診断を計画的に実施することが求められます。さらに、稼働中のシステムに対する脆弱性診断は、技術的脆弱性の把握と対応を求める8.8「技術的脆弱性の管理」を実装する具体的な手段としても位置づけられます。ISMS上の管理策として脆弱性診断を位置づけている組織では、診断の実施記録や結果への対応を文書として残すことが内部監査の確認対象になります。こうした管理策の実装や脆弱性診断の進め方については、お気軽にユービーセキュアにご相談ください。
※1 参考：ISO/IEC 27001:2022 │ Information security, cybersecurity and privacy protection. ISO.ISMSの改訂（ISO/IEC 27001:2022）は、約9年ぶりに行われた規格の更新で、クラウドやサイバー攻撃、テレワークといった現代のリスクに対応することが主な目的でした。管理策は再編され、新たに11の管理策が追加されました。管理策の数が減ったように見えますが、削除された管理策はなく、実務上の対応はむしろ増えている点に注意が必要です。
社内で対応すべき主な文書は、適用宣言書・情報セキュリティポリシーおよび手順書・内部監査チェックリストの3種類です。旧規格による認証は2025年10月末で失効しており、現在は新規格に基づく運用フェーズに入っています。まず取り組むべきは適用宣言書の現状確認です。旧規格の管理策番号が残っている箇所から着手し、新規管理策の採否検討へと進めると、全体の見通しが立てやすくなります。