JIS Q 27006:2018 情報技術―セキュリティ技術―情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項

                                                              Q 27006 : 2018 (ISO/IEC 27006 : 2015)

pdf 目 次

ページ

•  序文・・・・[1]
•  1 適用範囲・・・・[1]
•  2 引用規格・・・・[2]
•  3 用語及び定義・・・・[2]
•  4 原則・・・・[2]
•  5 一般要求事項・・・・[2]
•  5.1 法的及び契約上の事項・・・・[2]
•  5.2 公平性のマネジメント・・・・[2]
•  5.3 債務及び財務・・・・[3]
•  6 組織運営機構に関する要求事項・・・・[3]
•  7 資源に関する要求事項・・・・[3]
•  7.1 要員の力量・・・・[3]
•  7.2 認証活動に関与する要員・・・・[6]
•  7.3 個々の外部審査員及び外部技術専門家の起用・・・・[7]
•  7.4 要員の記録・・・・[7]
•  7.5 外部委託・・・・[7]
•  8 情報に関する要求事項・・・・[7]
•  8.1 情報の公開・・・・[7]
•  8.2 認証文書・・・・[8]
•  8.3 認証の引用及びマークの使用・・・・[8]
•  8.4 機密保持・・・・[8]
•  8.5 認証機関と依頼者との間の情報交換・・・・[8]
•  9 プロセス要求事項・・・・[8]
•  9.1 認証活動に先立つ事項・・・・[8]
•  9.2 審査の計画作成・・・・[11]
•  9.3 初回認証・・・・[12]
•  9.4 審査の実施・・・・[13]
•  9.5 認証の決定・・・・[14]
•  9.6 認証の維持・・・・[14]
•  9.7 異議申立て・・・・[15]
•  9.8 苦情・・・・[15]
•  9.9 依頼者に関する記録・・・・[15]
•  10 認証機関に関するマネジメントシステム要求事項・・・・[15]
•  10.1 マネジメントシステムに関する選択肢・・・・[15]
•  10.2 選択肢A : マネジメントシステムに対する一般要求事項・・・・[16]

(pdf 一覧ページ番号 1)

――――― [JIS Q 27006 pdf 1] ―――――

Q 27006 : 2018 (ISO/IEC 27006 : 2015)

pdf 目次

ページ

•  10.3 選択肢B : JIS Q 9001に従ったマネジメントシステムの要求事項・・・・[16]
•  附属書A(参考)ISMSの審査及び認証に関する知識及び技能・・・・[17]
•  附属書B(規定)審査工数・・・・[19]
•  附属書C(参考)審査工数の計算方法・・・・[24]
•  附属書D(参考)導入されたJIS Q 27001:2014附属書Aの管理策のレビューに関する手引・・・・[28]

(pdf 一覧ページ番号 2)

――――― [JIS Q 27006 pdf 2] ―――――

                                                              Q 27006 : 2018 (ISO/IEC 27006 : 2015)

まえがき

  この規格は,工業標準化法第14条によって準用する第12条第1項の規定に基づき,一般財団法人日本
情報経済社会推進協会(JIPDEC)及び一般財団法人日本規格協会(JSA)から,工業標準原案を具して日
本工業規格を改正すべきとの申出があり,日本工業標準調査会の審議を経て,経済産業大臣が改正した日
本工業規格である。
  これによって,JIS Q 27006:2012は改正され,この規格に置き換えられた。
  この規格は,著作権法で保護対象となっている著作物である。
  この規格の一部が,特許権,出願公開後の特許出願又は実用新案権に抵触する可能性があることに注意
を喚起する。経済産業大臣及び日本工業標準調査会は,このような特許権,出願公開後の特許出願及び実
用新案権に関わる確認について,責任はもたない。

(pdf 一覧ページ番号 3)

――――― [JIS Q 27006 pdf 3] ―――――

                                       日本工業規格(日本産業規格)                             JIS
                                                                            Q 27006 : 2018
                                                                       (ISO/IEC 27006 : 2015)

情報技術−セキュリティ技術−情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項

Information technology-Security techniques-Requirements for bodies providing audit and certification of informationsecurity management systems

序文

  この規格は,2015年に第3版として発行されたISO/IEC 27006を基に,技術的内容及び構成を変更する
ことなく作成した日本工業規格(日本産業規格)である。
  なお,この規格で点線の下線を施してある参考事項は,対応国際規格にはない事項である。
  マネジメントシステムを審査及び認証する機関に対する基準を規定する規格として,JIS Q 17021-1:2015
がある。
  このような審査及び認証する機関を,JIS Q 27001:2014に沿って情報セキュリティマネジメントシステ
ム(以下,ISMSという。)の審査及び認証を実施する目的で,JIS Q 17021-1:2015に適合しているとして
認定するためには,JIS Q 17021-1:2015に対して追加の要求事項及び手引が必要である。この規格は,こ
のような追加の要求事項及び手引を提供する。
  この規格は,JIS Q 17021-1:2015の構成に沿っている。また,JIS Q 17021-1:2015をISMS認証に適用す
るためのISMS固有の追加の要求事項及び手引は,“IS”という表記によって識別されている。
  この規格において,“なければならない”という表現は,JIS Q 17021-1:2015及びJIS Q 27001:2014の
要求事項を反映する必須要件の規定を示すために用いられている。“ことが望ましい”という表現は,推
奨事項を示すために用いられている。
  この規格の主な目的は,認定機関が認証機関を評価しようとする場合に用いる規格の適用を,より有効
に整合できるようにすることである。
  この規格において,“マネジメントシステム”及び“システム”という用語は,区別なく用いられている。
マネジメントシステムの定義は,JIS Q 9000:2005に規定されている。この規格で用いられているマネジメ
ントシステムを,他の種類のシステム,例えば,ITシステムと混同しないほうがよい。

1 適用範囲

  この規格は,JIS Q 17021-1:2015及びJIS Q 27001:2014に規定する要求事項に加えて,ISMSの審査及び
認証を行う機関に対する要求事項を規定し,かつ,手引を提供する。この規格は,ISMS認証を行う認証
機関の認定を支援することを主として意図している。
  この規格に含まれる要求事項は,ISMS認証を行う機関によって,力量及び信頼性の観点から実証され

――――― [JIS Q 27006 pdf 4] ―――――

2
Q 27006 : 2018 (ISO/IEC 27006 : 2015)
る必要があり,また,この規格に含まれる手引は,ISMS認証を行う機関に対し,要求事項に関する追加
の解釈を提供する。
    注記1 この規格は,認定,同等性評価又は他の審査プロセスに対する基準文書として使用できる。
    注記2 この規格の対応国際規格及びその対応の程度を表す記号を,次に示す。
            ISO/IEC 27006:2015,Information technology−Security techniques−Requirements for bodies
                providing audit and certification of information security management systems(IDT)
              なお,対応の程度を表す記号“IDT”は,ISO/IEC Guide 21-1に基づき,“一致している”
            ことを示す。

2 引用規格

  次に掲げる規格は,この規格に引用されることによって,この規格の規定の一部を構成する。これらの
引用規格のうちで,西暦年を付記してあるものは,記載の年の版を適用し,その後の改正版(追補を含む。)
は適用しない。西暦年の付記がない引用規格は,その最新版(追補を含む。)を適用する。
    JIS Q 17021-1:2015 適合性評価−マネジメントシステムの審査及び認証を行う機関に対する要求事
        項−第1部 : 要求事項
      注記 対応国際規格 : ISO/IEC 17021-1:2015,Conformity assessment−Requirements for bodies
             providing audit and certification of management systems−Part 1: Requirements
    JIS Q 27000 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語
      注記 対応国際規格 : ISO/IEC 27000,Information technology−Security techniques−Information
             security management systems−Overview and vocabulary
    JIS Q 27001:2014 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事
        項
      注記 対応国際規格 : ISO/IEC 27001:2013,Information technology−Security techniques−Information
             security management systems−Requirements

3 用語及び定義

  この規格で用いる主な用語及び定義は,JIS Q 17021-1:2015及びJIS Q 27000によるほか,次による。
3.1
認証文書(certification documents)
  依頼者のISMSが,特定したISMS規格及び依頼者のISMSの下で要求される他の補足文書に適合してい
ることを示す文書。

4 原則

  原則は,JIS Q 17021-1:2015の箇条4による。

5 一般要求事項

5.1 法的及び契約上の事項

  法的及び契約上の事項は,JIS Q 17021-1:2015の5.1による。

5.2 公平性のマネジメント

  公平性のマネジメントは,JIS Q 17021-1:2015の5.2によるほか,次の要求事項及び手引による。

――――― [JIS Q 27006 pdf 5] ―――――

次のページ PDF 6