Microsoft、Google、AWSも取得した「ISO/IEC 27018」とは？：クラウドセキュリティ規格解説（2/2 ページ）

» 2017年03月07日 05時00分公開

ISO/IEC 27018とは？

　こうした背景の下、特に注目されているのが、クラウドサービスにおける個人情報保護規格であるISO/IEC 27018:2014です。ISO/IEC 27018:2014は、国際標準化機構（ISO）が2014年に発行したクラウド環境における個人情報保護に関する初の国際規格であり、情報セキュリティ管理策実践のための規範として広く利用されている国際規格ISO/IEC 27002をベースとして、クラウド上で取り扱われる個人情報を保護するための追加管理策を規定しています。

図表5　ISO/IEC 27018規格の構成

　また、この規格の特徴として、ISO/IEC 29100に基づく「パブリッククラウドコンピューティング環境における個人情報（PII）保護のための管理目的および管理策」が附属書Aに規定されています。

　ISO/IEC29100は、国際標準化機構（ISO）が2011年に発行したプライバシーフレームワークを規定する規格で、プライバシー保護のためのOECD8原則やEU指令をベースにして開発された、プライバシー保護に関する国際規格です。

ISO/IEC 27018の対象となる事業者は？

　ISO/IEC 27018は、規格の登場人物として、以下の3者を定義しています。

PII プリンシパル（用語の定義3.4：個人を特定できる情報（PII）に関係する人）
PII コントローラー（用語の定義3.3：個人を特定できる情報（PII）を処理するための目的および手段を決定する者）
PII プロセッサ（用語の定義3.5：PIIコントローラーの代わりに個人情報を処理する、またはPIIコントローラーの指示に従って個人情報を処理するもの）

　PIIプリンシバルは、個人情報の主体（本人）であり、PII コントローラーは、PIIプリンシバル（本人）から個人情報を取得し、明示した利用目的の範囲で個人情報を利用する個人情報取扱事業者を指します。また、PII プロセッサは、クラウド環境を利用したサービスを提供するサービスプロバイダーを指します。

図表6　ISO/IEC 27018の対象事業者

　最後に、筆者が実際にコンサルタントとして支援を行い、ISO/IEC 27018:2014の認証を取得した企業（HDE）の事例を紹介します（取材協力：HDE 服部貴之氏）。

ケーススタディ（HDEの場合）

　HDEは、企業向けにクラウド・セキュリティ分野の製品を開発・販売するクラウドセキュリティソリューション企業。今回は、クラウドセキュリティサービス「HDE One」が、クラウドサービスにおける個人情報の保護に焦点を当てた国際規格 ISO/IEC 27018 の認証を取得した。

※「HDE One」：Microsoft Office 365、G Suite、Salesforceなどのクラウドサービスと連携して、情報漏えい対策／デバイス紛失対策／不正ログイン対策を実現するクラウドセキュリティサービス

認証取得のきっかけ

　HDEでは、2011年にHDE Oneの提供を開始して以来、ユーザー数が増加し、国内外で2500社、200万ユーザーに利用されるまでになった。その結果、取り扱う個人情報量が増え、今まで以上にセキュリティ施策を重視し、将来的な顧客に対してもHDE Oneが個人情報を適切に、透明性をもって運営していることを証明する必要が生じた。

　そこで、サービスへのセキュリティ診断や社内体制の強化を実施するとともに、HDE Oneにおいて個人情報を適切に管理・運用していることを第三者機関に評価してもらい、透明性と説明責任を明確にすることを目指した。