← 概念解説に戻る

Concept Fable

ISO 27001

先に結論:ISO/IEC 27001は情報セキュリティマネジメントシステム(ISMS)の国際規格であり、組織がリスクマネジメントの方法で情報セキュリティを確立、実施、維持、継続的に改善することを求めます。資産、リスク評価、管理策の選択、責任、証拠、内部監査、マネジメントレビュー、継続的改善に注目します。企業Agentのベンダーにとって、ISO 27001は体系的な情報セキュリティ管理能力を証明できますが、顧客は依然として具体的なAgentのデータフロー、権限、ログ、サプライヤー、インシデント対応が体系に含まれるかを気にします。

ISO/IEC 27001 · Compliance/Security

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

城を守るとは壁を築くことではなく、町全体がリスクを管理することを学ぶことだ

銀庫鎮は商人の貴重品を保管することで生計を立てていた。どの庫房も自分は安全だと言う。鉄の扉があり、警備がおり、帳簿がある。しかし外地の商人は安心できなかった。各社の「安全」の言い方が違っていたからだ。

ある盗難の後、鎮長はすべての倉庫に錠をかけさせた。錠は確かに厚くなったが、警備の身元確認を忘れた者もいれば、鍵を乱雑に置く者もおり、帳簿が火事で焼けて復元できない者もいた。鉄の扉だけを見ていては、倉庫全体の穴は塞げない。

庫主たちはまたそれぞれ保証書を書いた。保証書は美しくなるほど、商人はますます困惑した。誰が検査したのか、どのくらいの頻度で検査するのか、事故後に誰が処理するのか、古い問題は直ったのか、統一された答えはなかった。

一人の老いた審庫人が一套の管理方法を持ち込んだ。彼はまず扉がどれほど厚いかを問わず、庫房がどのようにリスクを識別し、誰が管理を担当し、記録がどこにあり、人員がどう訓練され、サプライヤーがどう審査され、事故がどう振り返られ、改善がどう追跡されるかを問うた。

当初、蔵の主はそれを煩わしく思った。老いた蔵の監査人は言った。これは一つの錠ではなく、安全を継続的に機能させる制度である。今日は鍵の置き忘れを発見し、明日にはそれが是正されたことを証明できなければならない。新しい蔵が開業するときも、同じ仕組みで組み入れる。

町がこの仕組みで一年運営した後、よその商人も各倉庫を比較できるようになった。盗難が絶対に起きないと約束するものではないが、倉庫に明確な安全管理体系があり、責任者がいて、証拠を確認でき、定期的に改善されることを約束している。

老審庫人はさらに、庫主に証拠を残すよう求めた。訓練を行ったか、鍵を誰が受け取ったか、供給者がいつ交代したか、事故の振り返りが完了したかは、口頭の保証だけに頼ってはならない。監査可能であることが、制度が本当に機能している証拠なのだ。鎮長はさらに、外部の者に定期的な監査を手配した。粗探しのためではなく、庫主が自分に馴染みの隅だけで自画自賛するのを防ぐためだ。外部の者は同じ質問セットで証拠を調べ、「規則は書かれたが誰も実行していない」「事故の振り返りはしたが改善が定着していない」といったよくある空洞を見つけられる。庫主たちも改善に優先順位をつけることを学んだ。核心的な貴重品に触れるリスクを先に直し、周辺的な問題は記録して後で処理する。安全は日々の行動によって積み重なる。

銀庫鎮はこれ以降「私を信じて」と言うのを減らした。彼らは安全をスローガンから監査可能な日常管理に変えた。顧客を本当に安心させるのは、ある鉄の扉だけでなく、庫房全体が長期的にリスクとどう向き合うかから来る。

明らかにする

この物語が語るのは:ISO 27001

ISO/IEC 27001は情報セキュリティマネジメントシステム(ISMS)の国際規格であり、組織がリスクマネジメントの方法で情報セキュリティを確立、実施、維持、継続的に改善することを求めます。資産、リスク評価、管理策の選択、責任、証拠、内部監査、マネジメントレビュー、継続的改善に注目します。企業Agentのベンダーにとって、ISO 27001は体系的な情報セキュリティ管理能力を証明できますが、顧客は依然として具体的なAgentのデータフロー、権限、ログ、サプライヤー、インシデント対応が体系に含まれるかを気にします。

重要なのは、それが単なる用語ではなく、実際のAI/Agentシステムで繰り返し現れる構造的な問題だという点だ。これを理解して初めて、いつモデルを足すべきか、いつプロセスを変えるべきか、いつガバナンスを補うべきかを判断できる。

メタファーのマッピング

  • 海辺の都市国家:顧客データを処理する企業または Agent プラットフォーム
  • 高い壁と厚い錠:単点のセキュリティツール
  • 港、医館、公文書館:異なる情報資産と業務プロセス
  • 城邦安全管理法:ISO/IEC 27001 情報セキュリティマネジメントシステム
  • リスク評価と管理策の選択:ISMSの中核業務
  • 内部検査と議会審査:内部監査とマネジメントレビュー
  • 継続的改善:ISO 27001の運用ロジック

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

ISMSISO 27002リスク対応security controls認証

関連する識別

この概念は隣接概念と混用されやすいので、対比ページを続けて見ることをおすすめする。

京ICP备2026014272号