01
組織の状況（箇条 4）
ISMS の適用範囲、利害関係者、内部・外部の課題を定義します。審査員が最初に確認する項目です。
ISO 27001 が重要な理由
-
ベンダー審査が調達を止める
日本、EU、シンガポールの大手企業は、ベンダー契約の締結前に ISO 27001 を求めます。
-
手作業のコントロールマッピングに数週間
プラットフォームがなければ、既存のツールを附属書 A の各コントロールに手作業で対応付けるのに数週間かかります。
-
サーベイランス審査には通年のエビデンスが必要
3 年の認証サイクルの間、毎年サーベイランス審査があります。pTrackly はエビデンスを毎日同期するため、審査前に慌てる必要がありません。
93 附属書 A のコントロール 4 つのテーマに分類
ISO 27001 コンプライアンスのタイムライン
ステップ 01
キックオフと連携
クラウド、コードリポジトリ、ID 管理システムを連携し、チームのオンボーディングを行います。
ステップ 02
準備フェーズ
テンプレートのポリシー、ISO 27001 のコントロールに紐づく自動エビデンス、ギャップの是正。
ステップ 03
監査フェーズ
エビデンスを監査人とリアルタイムで共有し、指摘事項にはその都度対応します。
ステップ 04
認証取得と報告書
最終の監査報告書と認証。継続的なモニタリングが始まります。
ISO 27001 要件のカバー範囲
02
リーダーシップ（箇条 5）
トップマネジメントが情報セキュリティ方針、役割の定義、経営層の承認を通じてコミットします。
03
計画（箇条 6）
リスクアセスメント、リスク対応計画、93 のコントロールすべてを対象とする適用宣言書。第 1 段階審査で確認されます。
04
支援（箇条 7）
力量の記録、認識向上の教育記録、コミュニケーションの手順、文書化した情報の管理。
05
附属書 A のコントロール
組織的（37）、人的（8）、物理的（14）、技術的（34）。2022 年版では脅威インテリジェンス、クラウドセキュリティ、データマスキング、セキュアコーディングが追加されました。
ISO 27001 に pTrackly が選ばれる理由
ISMS の適用範囲と適用宣言書を数日で
適用範囲、リスク台帳、適用宣言書を連携データから事前に作成。貴社チームは一から書くのではなく、レビューするだけです。
実際のギャップから作るリスク台帳
pTrackly が連携したシステムのギャップを検出し、発生可能性の評価と対応策を含むリスク項目の案を作成します。
SOC 2 のエビデンスを再利用
A.8.8（技術的脆弱性の管理）や A.8.9（構成管理）などのコントロールは、SOC 2 と同じエビデンスを利用できます。