- 現行版であるISO/IEC 27001:2022は、2022年10月25日に発行されました。
- 2013年版に基づいて発行されたすべての証明書は、2025年10月31日に失効しました。
- 2022年版の付属書Aには、4つのテーマにわたる93の管理策が記載されている。内訳は、組織的管理策37項目、人的管理策8項目、物理的管理策14項目、技術的管理策34項目である。
- DPDP規則に基づくセキュリティおよび情報漏洩報告義務のほとんどは、2027年5月13日から適用されます。
このページで
ISO 27001は実際には何を認証するのでしょうか？
監査は製品ではなく、管理システムです。監査人は、プロバイダーがリスクを発見し、管理策を選択し、監視し、改善するための有効なプロセスを備えているかどうかを確認します。
付属文書Aは、管理策の一覧です。アクセス権限、暗号化、サプライヤー管理、安全なデータ削除、インシデント対応、従業員研修などが含まれます。プロバイダーは、記載していない管理策については、それぞれ理由を説明する必要があります。
ISO/IEC 27001:2022のISOページには、この規格の適用範囲が記載されています。認証は、外部監査を経て、認定された認証機関によって発行されます。
ですから、対象範囲の項目を確認してください。海外の営業所のみを対象とした証明書では、給与計算を担当するインドのチームについては何も分かりません。
ISO 27001とSOC 2の違いは何ですか？
ISO 27001は認証であり、SOC 2は証明報告書である。
| ISO / IEC 27001：2022 | SOC 2 | |
|---|---|---|
| が発行 | 認定認証機関 | 公認会計士事務所（AICPA基準準拠） |
| 出力 | 認証 | 報告書：タイプ1（設計）またはタイプ2（一定期間の運用） |
| に共通 | インド、ヨーロッパ、アジア | 米国 |
| あなたが読んだもの | 証明書、適用範囲および適用性に関する声明 | 監査報告書および例外事項 |
米国のバイヤーは、デフォルトでSOC 2を要求することが多い。それはもっともなことだ。ISO 27001認証を取得したインドのEOR（エンジニアリング・アウトソーシング・レビュー）でも、認証書に記載されている適用範囲と適用性に関する記述を読めば、通常は同様のセキュリティに関する質問に答えることができる。
ISO 27001はDPDP準拠をどのようにサポートするのか？
これは、適切な保護措置が講じられていることの証拠となります。DPDP法第8条(5)項は、データ受託者に対し、処理者が処理するデータを含め、個人データを保護することを義務付けています。
EOR（雇用代行業者）を通じて雇用する場合、EORは従業員のAadhaar番号、銀行口座情報、給与履歴、納税申告書を、各従業員が退職した後も何年も保管することがよくあります。電子情報技術省（MeitY）が定めるDPDP法では、適切なセキュリティ対策を講じなかった場合の罰金は最大250億ルピーに達します。違反があった場合は、72時間以内に理事会に詳細な報告書を提出する必要があります。
ISO 27001はDPDP（データ保護・データ保護）への準拠を保証するものではありません。しかし、プロバイダーが同法で求められる管理策を実施していることを示します。ノートパソコンも重要な要素となるため、IT機器のプロビジョニングと人事情報システム（HRIS）は監査対象に含める必要があります。
Remunanceは従業員のデータをどのように保護しますか？
RemunanceはISO/IEC 27001:2022認証を取得しており、従業員の身元情報、銀行口座情報、給与データは監査済みのセキュリティ管理システム内で管理されています。また、EORスタッフ向けにノートパソコンのプロビジョニングと復旧も行っており、デバイス管理も同一システムで行っています。当社のISO認証情報をご覧いただき、EORを選ぶ際に認証が重要な理由についてお読みください。認証範囲のコピーをご希望の場合は、セキュリティ関連文書をご請求ください。
ISO 27001について、他にどのような質問がありますか？
ISO 27001はインドでは義務付けられていますか？
いいえ。任意です。クライアントの方からよくリクエストされます。
ISO 27001認証の有効期間はどれくらいですか？
通常は3年ごとに監査が行われ、その間に定期的な監査が実施されます。最新の監査日と証明書を請求してください。
ISO 27001:2013認証はまだ有効ですか？
いいえ。それらはすべて2025年10月31日に期限切れとなりました。