ISO27001更新・サーベイランス審査で見られるポイント

更新・サーベイランス審査で見られる主な項目

ISO27001の審査では、情報セキュリティ方針や規程類が最新かどうかに加えて、リスクアセスメント・リスク対応計画、適用宣言書(SoA)、アクセス管理、インシデント対応、教育、内部監査、マネジメントレビューなど、日常業務の中で積み重ねてきた「記録」全般が確認対象になります。文書が整っていることと、その文書どおりに運用してきたことは別問題として見られる、という点は初回の登録審査との大きな違いです。

サーベイランス審査・更新審査では「直近の記録」だけでなく、前回審査以降の運用記録が見られる

ISO27001の認証サイクルは3年です。2年目・3年目のサーベイランス審査、3年目の更新審査のいずれでも、前回審査以降の運用が継続していたかが確認されます。インシデント対応記録、アクセス権限の棚卸し記録、教育記録、内部監査記録、マネジメントレビュー記録などを横断的に確認し、抜けている期間がないかを棚卸しするのは、実務上かなりの手間がかかる作業です。

「直近1回分の記録は揃っているが、半年前の記録がどこにあるか分からない」という状態は珍しくありません。審査直前になって慌てて探すのではなく、早めに前回審査以降の記録の所在を確認しておくことをおすすめします。

Annex A管理策と適用宣言書(SoA)の整合性を確認しておきたい

ISO/IEC 27001は2022年に改定されており(ISO/IEC 27001:2022)、Annex A管理策(附属書Aの管理策)も旧版の14分野114管理策から4テーマ93管理策に再編されています。移行期限(公表から3年)は既に経過しており、現在の審査はすべて2022年版の要求事項に基づいて実施されます。適用宣言書(SoA)が実際に運用している管理策と一致しているか、除外した管理策の理由が明確か、組織や事業内容の変化(新サービス・新システム・新拠点など)がリスクアセスメントとSoAに反映されているかは、審査で見落とされやすいポイントです。

事前に確認したいこと: SoAが現在運用中の管理策と一致しているか。除外理由が明確か。事業内容の変化がリスクアセスメント・SoAに反映されているか。

ISMS文書・リスクアセスメント・SoAの整合性を事前に確認したい場合は、ISO27001向けの審査前AI診断をご利用ください。

内部監査・教育・マネジメントレビューは「実施した」だけでなく運用の流れが見られる

審査で見られるのは、内部監査を実施したかどうかだけではありません。監査計画、監査チェックリスト、監査結果、不適合・観察事項、その是正処置、そしてマネジメントレビューへの連携まで、一連の流れとして運用されているかが確認されます。認証サイクル全体(3年)でISMS適用範囲の全領域をカバーできているか、監査員が自分の所属部門を監査していないか(独立性)も見られるポイントです。

教育についても、正社員だけでなく中途入社者・派遣社員・役員、必要に応じて委託先まで含めた対象者に実施されているかが確認されます。マネジメントレビューは「開催した」事実だけでなく、インプット(監査結果・インシデントの状況・リスクアセスメントの見直し状況など)とアウトプット(経営層からの改善指示)の両方が議事録に残っているかが確認されます。

リスクアセスメント・SoA・Annex A管理策の整合性

更新・サーベイランス審査前にいつから準備すべきか

審査直前に前回審査以降の記録を探すと、インシデント対応記録、アクセス権限の棚卸し記録、教育記録、内部監査記録などが分散していて確認に時間がかかることがあります。サーベイランス審査・更新審査の日程を意識し、少なくとも数か月前から記録の所在確認を始めると安心です。

よくある不足例

審査前チェックリスト

• 事業内容や情報資産の変化がリスクアセスメントに反映され、残存リスクの承認記録が残っているか
• 適用宣言書(SoA)が実際の運用管理策と一致し、除外理由が明確になっているか
• アクセス権限の定期棚卸し記録、退職者・異動者の権限削除記録があるか
• インシデント対応の記録様式があり、過去のインシデントまたは訓練記録があるか
• 委託先・クラウドサービス一覧が現状と一致し、選定・定期評価の記録があるか
• 内部監査が、監査計画・チェックリスト・監査結果・是正処置・マネジメントレビューへの連携まで一連の流れとして記録されているか
• 全従業者(正社員・中途入社・派遣・役員を含む)への教育実施記録と理解度確認、実践的な訓練記録があるか
• マネジメントレビューの議事録に、インプット項目とアウトプット(指示事項)の両方が記載されているか
• ISMS適用範囲に変更(新サービス・新拠点・組織変更等)があった場合、関連文書に反映されているか
• 前回審査の指摘事項・観察事項に対する是正処置が完了し、記録が残っているか

注意事項 — AI診断は審査合格を保証するものではありません

本サービスのAI診断は「予測」であり、ISO27001の認証取得・更新・審査合格を保証するものではありません。実際の審査では、現地審査によって運用状況が直接確認され、指摘事項がある場合は是正処置とエビデンスの提出が求められることがあります。AI診断はあくまで審査前のセルフチェックを支援するものであり、最終的な審査対応は自社の判断、または必要に応じて専門家にご相談のうえ進めてください。

まとめ

ISO27001の更新・サーベイランス審査前に、書類・記録・運用状況の不足点を整理したい方へ。監査前診断PROでは、ISMS文書や運用記録をもとに、審査前に確認しておきたいポイントをAIが整理します。営業連絡は行いません。診断結果をもとに、自社で確認・改善を進めたい方向けのセルフチェック支援サービスです。

• 営業連絡は行いません（診断結果のご案内メール以外の勧誘連絡はありません）
• アップロードされた文書をAIの学習に利用することはありません
• 診断に使用した文書は、レポート送付後に自動削除されます

ISO27001の無料お試し診断で、規程や台帳の一部をアップロードしてAIによる指摘候補を確認することもできます。より広い範囲の文書を確認したい場合はISO27001診断のご案内もあわせてご覧ください。

よくあるご質問

関連記事

• Pマーク更新審査で見られるポイント
• ISO9001更新・サーベイランス審査で見られるポイント
• ISO14001更新・サーベイランス審査で見られるポイント

参考情報

• ISMS-AC（情報マネジメントシステム認定センター）
• ISO（国際標準化機構）公式サイト