クラウドのセキュリティ認証とは？対象範囲と改訂情報の確認

クラウドのセキュリティ認証を確認するときは、認証マークの有無だけでなく、誰が、どのサービスや業務の範囲で、どの基準に基づく認証を受けているかを読みます。同じ会社が提供するサービスすべてを、一つの認証が対象にしているとは限りません。

この記事では、ISMSクラウドセキュリティ認証を例に、調達担当者が登録範囲と現行情報を確認する方法を整理します。認証取得の代行手順や、個別サービスの安全性を保証する記事ではありません。

本人認証と第三者認証を区別する

ログイン時に利用者を確かめる認証と、組織の管理の仕組みを審査する認証は、答える問いが異なります。本稿で扱うのは後者です。

ISMS-ACは、通常のISMS認証に加え、クラウド固有の管理策が適切に導入・実施されていることを、JIP-ISMS517に基づいて認証する制度として説明しています。対象はクラウドを提供する組織、利用する組織、またはその両方です。ISMS-AC「ISMSクラウドセキュリティ認証」

したがって、認証の説明では「提供者としての範囲なのか」「利用者としての範囲なのか」も読みます。クラウドを使う企業が認証されていることと、その企業が作るすべてのサービスが対象であることを混同しないためです。

確認資料として、認証登録証や登録範囲の説明、認証機関の現行情報を求めます。ISMS-ACの検索では、組織名だけでなく部門名、登録範囲、認証登録番号などから調べられます。認証取得組織検索

次の表は、調達資料を読むための確認案です。

検索で見つからなかった場合も、直ちに未取得と断定しないようにします。検索ページには、公表の同意や手続きによって情報掲載に差が生じる旨の注意があります。登録番号や名称を確かめ、必要なら提供者や認証機関へ確認します。

ISMS-ACの2026年7月28日付案内は、ISO/IEC 27017:2026が同年7月27日に発行されたことを知らせています。同案内では、認証基準JIP-ISMS517を改訂中とし、改訂版の発行後3年間を移行期間とする予定を示しています。ISO/IEC 27017:2026発行のお知らせ

2026年10月14日に確認した制度案内では、JIP-ISMS517-1.0へのリンクが掲載されていました。ここで、規格が改訂された日を、そのまま既存認証が無効になる日へ置き換えないことが大切です。移行の詳細は、最新の認証基準と案内、対象組織の認証状態を照合してください。

調達の記録には、確認した基準の版、提供者が示した認証資料の版、確認日を残します。移行中なら、どの案内を根拠に次の更新を予定しているかを質問する材料になります。「新版対応済み」という一文だけで、対象範囲や審査状態まで確認済みにしないようにします。

架空の会社が、文書共有サービスAと分析サービスBを提供しているとします。認証資料には「文書共有サービスAの提供」と書かれている設定です。

この場合、会社名が一致するという理由だけで、Bも同じ認証範囲に含まれるとは判断できません。次のように確認事項を分けます。

これは実在企業の認証評価ではありません。認証範囲にないことだけで危険と断定するのではなく、何の資料で確認する必要があるかを明確にする例です。

認証情報を確認しても、自社の利用設定、共有先、権限、データの持ち出し条件などは別に点検します。第三者認証を確認する作業と、日々の利用状況を確認する作業を、一つの合格欄で済ませないようにします。

調達メモには「認証範囲を確認できた資料」と「契約・運用で別途確認する事項」を分けて残すと、次の担当へ説明しやすくなります。認証のないサービスを一律に排除するかどうかも、自社の調達方針や扱う情報に基づく判断です。

まず利用予定のサービス名を一つ決め、登録範囲の記載と対応させてみてください。自社に残る管理はクラウドの責任共有モデル、具体的な点検はクラウドのセキュリティ対策を参照できます。基盤の相談はインフラ支援をご覧ください。