ISO27017の改訂とは？2026年版の概要と対応を解説

ISO27017を取得している企業や業務で利用している企業にとって、ISO27017の改訂で気になるのは「自社の認証や運用をどこまで見直せばよいのか」という点でしょう。

規格改訂で負担が大きいのは、規格を読むことそのものではありません。読んだ内容を、自社の適用宣言書や規程のどこに反映するかを決めていく作業です。

ISOプロが2026年6月にISO9001の取得企業1,001名へ実施した調査では、改訂の認知度が81.4％に達しました。一方で「イメージはあるが、具体的な落とし込みには悩む」と回答した方は51.5％です。対象の規格は異なりますが、改訂対応でつまずく場所は共通しています。

先に結論からお伝えします。

• ISO27017は、ISMS（ISO27001）認証にクラウドセキュリティの審査を付け加えるときに使われる手引きです。そのため改訂の影響は、規格そのものではなく、ISMS認証の審査を通じて出てきます。
• 認証を取得済みの企業がまず確認したいのは、いま適用されている認証基準、認証範囲、次回の審査時期の3点です。この3点がはっきりすれば、対応の緊急度と着手時期が決まります。
• 対応の入口は、規格を最初から読み込むことではありません。旧版と改訂版の差分を自社の文書に突き合わせる「ギャップ診断」から始めます。

この記事では、ISO27017の位置づけから2026年版の改訂概要、認証を取得済みの企業への影響、今から進められる対応の手順までを紹介します。読み終えたときに「自社は何をいつから始めればよいのか」を判断できる状態を目指します。

ISO27017とは？クラウドサービス向けの情報セキュリティ規格

ISO27017は、クラウドサービスの提供者と利用者の双方に向けて、情報セキュリティ管理策の実施の手引きを示した規格です。管理策の手引きであるISO27002をベースに、クラウド環境で問題になりやすい論点を補った内容になっています。

改訂の影響がどこに出るのかを判断するには、関連する規格との関係と、日本での認証の仕組みを押さえておく必要があります。まずはこの2つから整理していきます。

ISO27001・ISO27002との関係と違い

ISO27001、ISO27002、ISO27017の3つは、それぞれ役割が異なります。まずは全体像を整理しておきましょう。

「ISO27017を取得する」とは、正確にはISMS（ISO27001）認証に、クラウドセキュリティに関する審査を付け加えることを指します。審査を受けて認証されるのはあくまでISMSであり、ISO27017そのものは要求事項ではなく手引きです。ISMS認証にクラウド向けの管理策を上乗せするアドオン型の規格にあたります。

そのため、改訂の影響を検討するときは、ISMS本体の認証とクラウドセキュリティ部分の審査を分けて考えておきましょう。

ISMSクラウドセキュリティ認証（JIP-ISMS517）との関係

日本でクラウドセキュリティに関する審査を受ける場合、審査の基準になるのはISO27017そのものではなく、認定機関が定める認証基準です。一般社団法人情報マネジメントシステム認定センター（ISMS-AC）が定める認証基準がJIP-ISMS517で、ISO27017をもとに、審査で確認する要求事項の形に整理されています。

ISO/IEC 27017:2026が発行されても、審査でどの版が適用されるかは、この認証基準がいつ切り替わるかで決まります。規格の発行日そのものよりも、認証基準の切り替え時期を確認しておきましょう。最新の情報は認定機関のサイトで公表されます。

旧版のISO/IEC 27017:2015が発行されたのは2015年12月15日です。日本の認証基準であるJIP-ISMS517-1.0が発行されたのは2016年8月1日でした。規格の発行から半年以上あとに、日本の審査で使う基準が発行されています。

ISO/IEC 27017:2026の発行と改訂の概要

ISO/IEC 27017:2026が発行されました。日本では、認定機関であるISMS-ACが2026年7月28日に「ISO/IEC 27017:2026発行のお知らせ」を公表しています。旧版は2015年12月15日に発行されたISO/IEC 27017:2015です。

改訂の背景として押さえておきたいのが、ISO27017がベースにしているISO27002の動きです。

ISO/IEC 27002は2022年2月15日に2022年版が発行され、管理策が「組織的」「人的」「物理的」「技術的」の4つのテーマに再編されました。ISO/IEC 27001も2022年10月25日に2022年版が発行され、附属書Aの管理策が同じ構成に置き換わりました。一方で旧版のISO27017は、改訂前のISO27002をもとに作られています。土台となる規格の構成が変わったため、クラウド向けの手引きも同じ構成にそろえる必要が生じました。

そのうえで、自社の状況は次の3点を確認すれば整理できます。

1. いま受けている審査の基準（どの版のISO27017をもとにした認証基準か）
2. 次回の審査時期（定期審査か更新審査か）
3. 認証範囲に含めているクラウドサービス

この3点がわかれば、改訂対応の緊急度は判断できます。逆に、この3点があいまいなまま規格を読み始めても、どこから手をつけるべきかは決まりません。とくに3点目があいまいだと、認証範囲外のサービスまで対応の対象に含めてしまい、作業量が必要以上に増えます。

なお、日本語版（JIS）の発行予定や規格票の入手先は、ISOおよび日本規格協会（JSA）の公表情報で確認できます。

ISO27017の改訂で押さえておきたい変更点

いずれも「自社の適用宣言書や規程のどこに影響するか」という視点で確認していきます。規格を通読してから自社文書を見るのではなく、自社文書を手元に置いた状態で規格を確認するほうが、作業は早く進みます。

管理策の構成・番号体系の変更

改訂への対応で最初に影響が出るのは、適用宣言書です。旧版のISO27017は、2015年当時のISO27002の章立てに沿って構成されています。前述のとおりISO27002は2022年2月15日発行の2022年版で管理策を4つのテーマに再編し、番号体系も変わりました。

適用宣言書は管理策ごとに適用の可否と理由を記載する文書のため、番号体系が変われば記載内容もあわせて変える必要があります。そこで、規程を直し始める前に新旧の対応表を作ります。

この表が埋まれば、文書改訂の作業範囲がそのまま見えてきます。逆にこの表がないまま規程を直し始めると、修正漏れが起きやすくなります。

アクセス権管理（5.18）で求められる認証方式の選択

クラウド環境で毎回論点になるのが、アクセス権の管理です。ISO27002:2022では、アクセス権に関する管理策が「5.18　アクセス権」として整理されています。

クラウドサービスの場合、アクセス権管理が難しくなる理由は主に3つあります。

• 管理者権限の範囲がサービスごとに異なる：同じ「管理者」という名称でも、実行できる操作の範囲はサービスによって差があります。
• 権限設定の細かさが異なる：ユーザー単位でしか設定できないサービスと、フォルダやファイル単位で設定できるサービスが混在します。
• 選べる認証方式がサービス側の機能に左右される：多要素認証やシングルサインオンに対応していないサービスでは、自社の方針をそのまま当てはめられません。

そのため、サービスごとに判断するのではなく、自社の基準を先に決めておく必要があります。基準がないまま個別に判断していると、利用するサービスが増えるたびに設定がばらつきます。棚卸しのときに、必要以上の権限が残ったアカウントが見つかる原因です。

退職や異動のあともログインできる期間が残るのは、権限の削除を忘れているというより、削除の期限が決まっていないためです。

自社基準に入れておきたい項目は、次のとおりです。

• 管理者権限を付与できる役職または職務の範囲
• 多要素認証を必須とするサービスの条件
• 権限の棚卸しの頻度と実施者
• 退職や異動が発生したときに、権限を削除するまでの期限

拡張管理策（附属書A）と適用宣言書への影響

ISO27017の特徴は、ISO27002の管理策に対するクラウド向けの手引きに加えて、クラウド固有の拡張管理策が用意されている点です。旧版では、これらの拡張管理策に「CLD」で始まる番号が振られていました。

拡張管理策は、適用宣言書に直接影響します。管理策の番号や名称が変われば適用宣言書の記載も変わりますし、追加された管理策があれば、適用するかどうかの判断とその理由づけも新たに必要になります。確認は次の流れで進めます。

1. いまの適用宣言書から、拡張管理策の部分を抜き出す
2. 改訂版の附属書Aと突き合わせ、維持・変更・追加・削除に仕分ける
3. 追加された管理策について、適用するかどうかを検討する
4. 適用しない場合は、その理由を説明できる形で記録に残す

4番目は見落とされやすいところです。適用しないこと自体が問題になるわけではなく、理由を説明できるかどうかが確認されます。

クラウド利用者に求められる役割

ISO27017は、同じ管理策について「提供者が実施すること」と「利用者が実施すること」を並べて書いている点が特徴です。自社がどちらの立場なのかによって、読むべき箇所も対応する内容も変わります。

• クラウド提供者：自社でSaaSやIaaSなどのサービスを他社に提供している
• クラウド利用者：他社のクラウドサービスを業務で利用している
• 両方に該当：自社でSaaSを提供しながら、その基盤に他社のIaaSやSaaSを利用している

見落としやすいのは3番目です。自社でサービスを提供していると提供者の立場だけを意識しがちですが、その基盤に他社のクラウドを使っているのであれば、利用者としての管理策も対象になります。作業量を見積もる段階で、自社がどちらの立場で認証範囲を設定しているかを確認しておきましょう。

利用者としての管理策で注意したいのは、認証範囲に入っていないクラウドサービスを従業員が業務で使ってしまう点です。認証範囲を決めるときは、台帳に載っているサービスだけでなく、現場で実際に使われているサービスを洗い出すところから始めます。

ISO27017の改訂による影響と移行対応

規格が発行されても、その日から審査で改訂版が適用されるわけではありません。審査で改訂版が使われ始めるのは、認証基準が切り替わってからです。

ここで混同しやすいのが、次の3つの時期です。いずれも別々に決まります。

• 規格の発行日：ISO/IEC 27017:2026が発行された日
• 認証基準の切り替え日：ISMS-ACの認証基準（JIP-ISMS517）が改訂版にもとづく内容へ変わる日
• 移行期限：改訂版にもとづく審査を受け終えていなければならない期限

自社のスケジュールに関わるのは、後半の2つです。どちらも認定機関から公表されるため、ISMS-ACの公表情報を確認し、自社の審査スケジュールと照らし合わせておきましょう。

移行スケジュールと期限の考え方

逆算の起点は「移行期限」ではなく「次にいつ審査を受けるか」に置きます。ISMS認証には有効期間があり、その期間中に定期審査（サーベイランス審査）を受け、有効期間が切れる前に更新審査を受けます。審査の日程は年間計画で決まっているため、期限まで時間があるように見えても、対応状況を示せる機会は限られています。

実際の逆算は、次の順序で進めます。

1. 移行期限を確認する
2. 期限までに受けられる審査の回数と時期を確認する（定期審査か更新審査か）
3. 審査で対応状況を示すために必要な、文書改訂と内部監査の完了時期を決める
4. そこからギャップ診断の着手時期を決める

自社のスケジュールは、次の表に日付を入れていくと整理できます。

次回審査までに準備する文書と記録

準備するものは、文書と記録の両方です。文書だけを直しても、改訂後の運用を確認した記録がそろっていなければ、仕組みとして運用できていることを示せません。

• 適用宣言書の更新
• リスクアセスメント結果の見直しとリスク対応計画の更新
• 規程や手順書を作成している場合は、その改訂
• 改訂後の運用に沿った内部監査の実施と記録
• マネジメントレビューでの報告

とくに見落とされやすいのがマネジメントレビューです。年1回の開催としている組織が多く、改訂対応を報告する機会が年に一度しかありません。次回の開催日を確認したうえで、それまでにギャップ診断と文書改訂を終える計画にしておきましょう。

ISOプロ編集部

月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。

規格改訂への対応というと、規程や手順書を直すことに意識が向きがちです。

ただ、審査で確認されるのは文書の体裁だけではありません。改訂した手順が実際の業務で運用され、その記録が残っているかどうかが見られます。

文書改訂を後回しにすると、内部監査までに運用の期間を確保できず、記録が用意できない状態になります。文書改訂は前倒しで進め、運用と記録の期間を確保しておくことが、審査を円滑に進めるポイントです。

ISO27017の改訂対応を進める5ステップ

対応を進める手順は、大きく5つの段階に分かれます。規格を最初から読み込むよりも、STEP1とSTEP2を先に終わらせるほうが、結果的に早く進みます。

• STEP1　現状把握：適用中の認証基準、認証範囲、次回審査時期の3点をはっきりさせる
• STEP2　ギャップ診断：旧版と改訂版を条項単位で比べ、自社文書の該当箇所を特定する
• STEP3　文書改訂：適用宣言書、リスク対応計画、規程や手順書を更新する
• STEP4　内部監査：改訂後の運用が回っているかを確認し、記録を残す
• STEP5　審査対応：審査機関と日程を調整し、指摘事項に対応する

STEP5の審査での指摘は、仕組みを改善するための材料です。次の運用に反映していきましょう。

ギャップ診断の進め方

進めるうえで注意したいのは、次の2点です。

1つ目は、提供者と利用者の両方に該当する場合、同じ条項でも行を2つに分けて管理することです。求められる対応が異なるため、1行にまとめると片方の対応が抜けてしまいます。

2つ目は、対応状況を「一部対応」のままにしないことです。何が足りないのかを「必要な対応内容」の欄まで落とし込んで、はじめてギャップ診断が完了します。ここが埋まっていないと、文書改訂の段階で担当者が判断に迷い、作業が止まってしまいます。

ギャップ診断の精度が、その後の工数を大きく左右します。条項の解釈があいまいなまま文書改訂に進むと、内部監査や審査の段階で手戻りが発生します。

改訂が必要になる文書・記録の範囲

• 情報セキュリティ方針
• 適用宣言書
• リスクアセスメント手順とリスク対応計画
• クラウドサービスの利用や提供に関する規程
• 情報資産管理台帳（クラウド上に置いている資産の記載）
• 委託先管理に関する記録

見落としやすいのは記録類です。規程や手順書は直した時点で成果物が残りますが、記録は改訂後の手順にそって実際に運用しないと発生しません。審査で運用の実態を示せるかどうかは、この記録の有無で決まります。

ISOプロ編集部

月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。

ギャップ診断でつまずきやすいのが、「自社のどの文書が、その条項に対応しているのか」がわからなくなる状態です。

長く運用している組織ほど、規程と実際の運用がずれていたり、同じ内容が複数の文書に書かれていたりします。

ギャップ診断に入る前に、いまの文書一覧と管理策の対応関係を一度棚卸ししておくと、その後の作業が進めやすくなります。棚卸しの結果は、次回以降の改訂対応でもそのまま使えます。

まとめ

今回はISO27017の改訂について、規格の位置づけから2026年版の概要、認証を取得済みの企業に必要な対応までを紹介しました。

ISO27017はクラウドサービス向けの実施の手引きであり、単独で認証を取得する規格ではありません。日本ではISMS認証に審査を付け加えるときの基準として使われます。

そのため、自社が動き出す時期を決めるのは、規格が発行された日ではありません。ISMS-ACの認証基準が改訂版に切り替わる日と、移行の期限です。この2つが自社の次回審査とどう重なるかを見れば、いつから始めればよいかが決まります。

認証を取得済みの企業がまず確認したいのは、いま適用されている認証基準、認証範囲、次回の審査時期の3点です。この3点が固まれば、いつから何に着手すべきかが決まります。そのうえでギャップ診断に入り、文書改訂、内部監査、審査対応へと進めていきましょう。

とはいえ、通常業務と並行して進めるのは簡単ではありません。ISO9001の取得企業1,001名を対象とした調査（2026年6月実施）では、自社主導での移行作業を「難しい」と感じている方が約8割にのぼりました。理由として挙がったのは「移行作業に割く時間・人員がない」が42.3％、「担当者の専門知識不足・属人化」が35.4％、「新規格を自力で解釈できるか不安」が32.7％です。同じ調査では、6割以上の企業が外部コンサルタントの活用を前提としていることもわかっています。

ISOプロでは、規格改訂への対応についても、必要最低限の文書で企業の実情に合わせたマネジメントシステムを維持できるようサポートを行っています。ギャップ診断の進め方や、どこまで文書を直せばよいかの判断でお困りごとがございましたら、ぜひご相談ください。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。