ISO27017:2026版への移行対応ガイド｜移行期限・主な変更点・必要な対応

１．いつまでに移行審査を受けなくてはならないか

ISO27017:2026規格が、2026年7月27日に発行されました。（ISMSクラウドセキュリティ認証の認証基準である「ISO/IEC 27017:2015に基づくISMSクラウドセキュリティ認証に関する要求事項（JIP-ISMS517-1.0）」のJIPDECによる改訂版発行時期等は2026年秋ごろと見込まれています。）ISO27017:2026版への移行期限は、現時点では認定機関等から正式発表されていませんが、2029年秋頃になると見込まれています（2026年7月現在）。

一般的に、ISO規格が改訂された場合には約3年間の移行期間が設けられ、その期間内に新規格への移行審査を受ける必要があります。

移行審査は単独で実施されることもありますが、多くの組織では毎年実施される維持審査や、3年ごとの更新審査のタイミングに合わせて受審するケースが一般的です。

計画的に準備を進め、移行期間内に適切な対応を完了することが重要です。

２．2015年版と比べて、どのような違いがあるのか

今回の改訂はISO27001:2022附属書Aの詳細管理策に合わせた改訂であり、ISO27001:2013附属書Aをベースとしていた2015年版と比べると、大幅な構造の見直しが行われています。またISO27001:2022附属書Aに合わせた形となったことによる、新たな管理策の追加が見られ、それらへの対応も検討する必要があります。

さらに、以下の追加の管理策が新たに設定されており、クラウドサービスカスタマ・クラウドサービスプロバイダ双方の立場において、これらの管理策への対応が新たに求められます。

• 5.39 CLDクラウドサービスパートナーの役割及び責任に関する合意
• 8.36 CLDクラウドサービスの不正利用の検知及び防止

ISO27017:2026版の主な変更ポイント

• ISO27001:2022附属書Aに合わせた構造の見直し
• ISO27001:2022附属書Aに合わせた形となったことによる、新たな管理策への対応
• ISO27017:2026に新設された、追加の管理策への対応

３．どのような対応が必要となるのか

ISO27017:2026版への移行にあたっては、以下のような取組みを通じて、マネジメントシステム全体の再点検を進めることが求められます。

ISO27017:2026版への移行で求められる主な対応

• ISO27017:2026版要求事項と、現状のクラウドセキュリティ関連文書とのGAP分析
• GAPを埋めるための手順やエビデンスの検討
• クラウドセキュリティ関連文書の見直し
• 見直したクラウドセキュリティ関連文書に関する教育の実施
• 改訂されたクラウドセキュリティ関連文書に基づく運用状況を確認するための、内部監査の実施

移行対応を円滑に進めるためのポイント

移行審査の直前に対応を進めるのではなく、維持審査や更新審査のスケジュールも踏まえながら、早い段階から準備を進めることが重要です。特に文書化した情報の改訂には一定の時間を要するため、計画的な移行対応が求められます。

アールアンドイーの強み

• 800社以上の豊富な支援実績
  これまでの幅広い支援経験をもとに、ISO27017:2026改訂への対応を支援します。
• オーダーメイドによる「機能する仕組み」への移行
  単なる文書の差し替えではなく、組織の実態に即した仕組みづくりを目的とし、既存文書のスリム化や他規格との統合、各種法令・CSR調達への対応も含め、各社の課題に合わせてご提案します。
• 丁寧な現状分析と対応の明確化
  ヒアリングにより、現行システムと改訂要求事項の差異を整理し、必要な対応を明確にします。
• 無理なく継続できる仕組みづくり
  過剰な仕組みを増やさず、担当者や現場の負担を抑えながら、審査対応だけでなく、クラウドセキュリティへの取り組みを組織の価値と持続可能な経営につなげるマネジメントシステムへの移行を伴走します。