ISO/IEC 27001（情報セキュリティマネジメントシステム）

ISO/IEC 27001とは、組織が情報を守るための管理の仕組み（情報セキュリティマネジメントシステム、ISMS）の要求事項を定めた国際規格です。

別表記：ISO/IEC 27001／ISO 27001／ISMS／情報セキュリティマネジメントシステム／JIS Q 27001／ISMS認証

どういう規格か

情報の機密性、完全性、可用性を守るために、組織が何をすべきかを定めています。機密性は、許可された人だけが情報にアクセスできること。完全性は、情報が勝手に書き換えられていないこと。可用性は、必要なときに情報が使えること。この三つを守る仕組みを、方針から運用、監査、見直しまで含めて整えます。

認証の取得が広く行われており、取引の条件として求められることもあります。日本でも多くの企業が取得しています。

附属書Aの管理策

規格の本文は、マネジメントシステムの型を定めています。附属書Aには、具体的な管理策の一覧があり、組織はリスクに応じて適用する管理策を選びます。

管理策には、アクセス制御に関するものが含まれています。誰に何へのアクセスを許可するかの方針、アクセス権の付与と見直し、特権的なアクセス権の管理、認証の仕組み。そして、記録とログに関するもの、情報の分類に関するもの、供給者との関係に関するものなどがあります。

AIエージェントとの関係

AIエージェントが社内の情報にアクセスするようになると、附属書Aのアクセス制御の管理策が、そのままAIエージェントにも問われます。

このAIは、誰の承認でアクセス権を得たのか。その権限は必要最小限か。特権的な操作ができる状態になっていないか。アクセスの記録は残っているか。定期的に見直されているか。人のアカウントに対して行っていることを、AIエージェントにも行う必要があります。

ただ、人のアカウントと違う点があります。AIエージェントは人事と連動しないので、棚卸しの網から漏れます。多要素認証を通れないので、別の認証手段が要ります。指示の解釈で動きが変わるので、権限の範囲内でも想定外の操作をします。既存のISMSの運用を、こうした性質に合わせて広げる必要があります。

VCの位置づけ

ISMSの審査では、「アクセス権が適切に管理されていること」を示す必要があります。AIエージェントについて、「このAIにこの権限を与えた」という記録と、「その権限が実際に効いている」という根拠の両方が問われます。

VC（Verifiable Credentials）は、この両方を支えます。証明書に発行者と委任の内容が署名付きで入っているので、権限付与の記録になります。受け付ける側が証明書を確かめて判断するので、権限が効いていることを設定画面以外で示せます。環境をまたいでも証明書が一緒に移動するので、外部サービスを使う構成でも、権限の根拠が途切れません。

よくある誤解

ISMSを取得していれば、AIエージェントの対策も済んでいるか。 AIエージェントに対して、人のアカウントと同じ管理を実際に行っているかどうかによります。取得時点でAIエージェントがなかった組織では、管理の対象に含まれていないことが普通です。

ISO/IEC 42001との違いは何か。 27001は情報を守る仕組み、42001はAIを責任を持って使う仕組みです。AIエージェントの権限管理は27001の範囲で扱えますが、AIの影響評価やライフサイクル管理は42001の範囲です。

管理策を全部適用しなければならないのか。 リスクに応じて選びます。適用しない管理策には、適用しない理由を記録します。

一覧に戻る