情報セキュリティ規格

 

ISO/IEC 27001:2022に準拠した情報セキュリティの体系的な管理は、

情報セキュリティの重要な保護目標（機密性、完全性、可用性）に関して、

情報およびITシステムの効果的な保護を確保することを目的としています。

この保護はそれ自体が目的ではなく、

ビジネスプロセスを支援し、企業目標を達成し、

情報の円滑な提供と処理を通じて企業価値を維持することを目的としています。実際には、ISMSはこの目的のために以下の3つの視点を使用します。

◗ G - ガバナンスの視点

– IT目標と情報セキュリティ目標は、

より上位の企業目標（例：

COSOやCOBITによって裏付けられている、またはそれらから派生している）から導き出されます。

◗ R - リスクの視点

– 企業価値とITシステムの保護ニーズとリスクエクスポージャー

– 企業のリスク許容度

– 機会とリスク

◗ C - コンプライアンスの視点

– 法律、規制、規格による外部要件

– 内部仕様とガイドライン

– 契約上の義務

これらの視点によって、どのプロセスがセキュリティ対策の対象となるかが決定されます。

マネジメントシステムの進化

 本稿は、マネジメントシステムの未来を探る新シリーズの第一弾となる記事である。

本シリーズ（訳者注：本編に続き文書化に関する次編がある）では、個々の規格を検証するのではな

く、マネジメントシステムが当初開発された際の原則を再検討し、組織が意図せずして、プロセス管

理やパフォーマンス向上から、文書管理、監査、認証活動へと注意を移してしまったのではないかと

いう問いを投げかける。

このシリーズを通して、私はもう一つの一般的に受け入れられている前提にも異議を唱えていきたい

と思う。

この記事の前では、マネジメントシステムが本来の目的から徐々に逸脱してきたかどうか、そしてプ

ロセス管理、リーダーシップの関与、組織の有効性に立ち返ることの重要性について考察した。

その議論を通して、ある共通のテーマが繰り返し浮かび上がってきた。

1ヘッダ

多くの組織は、文書化された情報、記録、台帳、様式、テンプレート、監査スケジュール、そしてま

すます高度化するソフトウェアプラットフォームの維持に多大な労力を費やしていることである。し

かし、こうした資源の投入にもかかわらず、多くの組織は依然として、業務上の問題、プロセスの非

効率性、監査疲れ、そして限られた業務改善といった課題に直面している。

--------------

紙ベースの文書を無くすシステムは生成AI Claude で作成できる。このリンク先(GetHub)は、そのことを証明している。いろいろとクリックして確かめてほしい。手順書もClaudeが自動で作成してくれた。なお、このダッシュボードと文書は完成したものではない。あくまで、サンプル事例である。

https://yy1002-ai.github.io/qms-addition/

ISO42001

 

この規格の正式名称は「ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system（情報技術 — 人工知能 — マネジメントシステム）」ですが、簡潔に「ISO/IEC 42001」や単に「ISO 42001」と呼ばれることが一般的です。

名称に含まれる「2023」という数字は発行年を表しています。実際、この規格は2023年12月に発行されました。これは、2022年11月のChatGPT公開を機にAIブームが始まってから1年後のことです。

ISO 42001はISO（国際標準化機構）によって発行されました。ISOは世界各国の政府によって設立された国際機関であり、各規格は多くの国の代表者による承認を必要とします。

実質的に、ISOが発行する各規格は、世界中の国々に受け入れられるものとなります。

1.2. どのような企業がISO 42001を導入できるか？

ISO 42001は、営利・非営利、大企業・中小企業、あらゆる業種といった、どのような種類の組織であってもその要件に適合できるように策定されています。

基本的には、AIシステムを開発または利用する企業を対象としています。ビジネスの世界でAIの存在感が増すにつれ、本規格はISO 9001、ISO 14001、ISO 27001などと同様に、最も広く導入される規格の一つになると予想されています。

音声解説 ISO90001:2026

 

notebooklm.google.com/notebook/1e040cf6-055b-4d67-a7e9-10056acffd8d/artifact/40182752-bbd6-4100-ad79-b3ccd3f39c7f

ISO 9001:2026の改訂は、組織に対して単なるルールの変更以上の、**マネジメントシステムの統合性、デジタル化、および運用効率の大幅な向上**という多面的な影響を与えます。主な影響は以下の通りです。

### 1. 整合化された構造（HS）による統合の容易化

2026年版では、以前のAnnex SL（上位構造：HLS）に代わり、**「整合化された構造（HS）」**が採用されます [1]。

*   **管理の効率化**: 箇条のタイトルや順序が標準化されるため、ISO 14001（環境）やISO 45001（労働安全衛生）など、**複数のマネジメントシステムを統合して運用することが容易になります** [1, 2]。

*   **重複の排除**: 統一されたアーキテクチャにより、コンプライアンスの枠組みにおける冗長性が削減され、組織全体での一貫した理解が促進されます [1]。

### 2. 「文書化された情報」の概念と管理手法の変化

文書管理に関する用語と意図が大きく変わり、組織は「単なる保管」から**「活用のためのアクセシビリティ」**への転換を求められます。

*   **用語の変更**: 「文書化された情報を維持する」が「文書化された情報として**利用可能であること**」へ、「保持する」が「**証拠として**利用可能であること」へと変更されます [2, 3]。

*   **リアルタイムの意思決定**: 文書は単に保存されるだけでなく、必要な時に関係者が即座にアクセスでき、**意思決定やプロセスの検証にリアルタイムで活用される状態**にあることが義務付けられます [3]。

*   **デジタルトランスフォーメーションの推進**: バインダーやPDFによる管理から、**デジタルツールやAIを活用した動的な管理システム**への移行が推奨されます [4, 5]。

### 3. リスクベースのアプローチによる効率化

不要な文書化を避け、組織の敏捷性（アジャイル）を高めることが重視されます。

*   **過剰な文書化の防止**: 適合性と有効性を示すために**本当に重要な情報のみを文書化する**リスクベースのアプローチが奨励されます [6]。

*   **敏捷性の向上**: 調査によると、文書化の範囲を適切に管理した企業の60%が、業務効率と従業員のエンゲージメントにおいて測定可能な利益を得ています [6]。

### 4. 期待される具体的メリット

これらの変更を適切に導入することで、組織は以下のような具体的な成果を得られるとされています。

*   **監査準備時間の短縮**: 整合化された用語を使用することで、監査準備時間を**最大20%削減**できる可能性があります [2]。

*   **業務効率の向上**: 統合システムを採用した組織では、文書化と監査プロセスの合理化により、**内部プロセスの効率が30%向上**したというデータがあります [2]。

*   **法的リスクの低減**: デジタル記録によるトレーサビリティと完全性を確保することで、非適合に伴うペナルティを15%削減できる可能性があります [7]。

結論として、ISO 9001:2026への対応は、組織にとって**事務的な負担を減らし、より機敏で透明性の高い、テクノロジーを活用した品質管理体制**へと進化する機会となります [4, 8, 9]。

情報セキュリティ

 

組織は情報セキュリティシステムを、単なるチェックリストやポリシー、手順書と捉えがちで、通常の業務とはかけ離れた、多くのことを阻害するものとみなしています。このような考え方に固執することで、組織はISMS（情報セキュリティマネジメントシステム）を適切に構築し、運用面、財務面、あるいはマーケティング面での評判といった面で、その潜在能力を最大限に発揮することができません。幸いなことに、市場には組織がこうした状況に対処するのに役立つ多くのフレームワークが存在し、その一つがISO 27001:2022です。 ISO 27001:2022規格は、単独で運用する場合でも、ISO 9001（品質）、ISO 22301（情報セキュリティ）、ISO 14001（環境）、ISO 45001（業務安全衛生）などの他のマネジメントシステムと統合する場合でも、組織規模や業種を問わず、情報セキュリティを管理し、情報セキュリティリスクに対処する方法に関するガイダンスと方向性を提供します。これは、組織自身だけでなく、顧客、サプライヤー、その他の利害関係者にも多くのメリットをもたらします。しかし、ISO規格や情報セキュリティの概念に馴染みのない方にとって、ISO 27001は理解しにくいかもしれません。そこで、このホワイトペーパーを作成し、ISO 27001の理解を深めるお手伝いをいたします。

リスクベースの考え方

 

品質管理者は一般的に、仕様を満たす製品や、失敗しないプロセスを管理する責任者と見なされがちですが、彼らが本当に関心を寄せているのはパフォーマンス、つまり人と機械が連携して物事をより簡単、より良く、より速く、より低コストで実現できるよう支援することです。時には、損失を防ぐための管理体制を構築したり、無駄を削減したり効率を高めたりするプロジェクトを実行したりすることも含まれます。また、改善と成長の機会を見出し、それを活用することも重要です。リスクを特定し管理するための手法は、多くの場合、品質管理ツールボックスに含まれています。

リスクベース思考とは、「脅威と機会を考慮した手法を用いて、成果達成の確実性を積極的に高めるための考え方」です（Laqua、2018）。この考え方は、業務遂行時、製品やプロセスの設計時、製品やプロセスの改善時、さらには戦略策定時にも適用できます。

リスクベース思考は、損失の防止、機会の獲得、そして組織全体のコミュニケーションの改善に役立ちます。そのため、ISO 9001:2015やバルドリッジ・パフォーマンス・エクセレンス・プロセスなど、多くの品質マネジメントシステムの中核要素となっているのも当然と言えるでしょう。

生成AI

 

残念ながら、ISO 42001はISO 27001やISO 9001といった他の規格に比べて、より多くの文書作成を求めています。何から始めればよいかお悩みの方のために、本記事では、規格の各条項や管理策に対応させた文書および記録の一覧を解説します。

ISO 42001基礎コース

ISO 42001規格について知っておくべきすべてを、分かりやすく解説します。

ISO 42001では、AI方針（トップレベル）、AIMS適用範囲文書、AIリスク管理手法、適用宣言書、AIリスク対応計画など、20種類以上の文書作成が求められます。

ISO 42001の導入方法を検討されている方は、以下の記事で18のステップをご覧いただけます。

このステップは、AIガバナンス規格に完全に準拠し、認証監査を受けるための最適な方法を示しています。

ISO 42001を導入するためのベストプラクティスは、

経営陣のサポートを得ることから始まり、

経営陣によるレビューと是正措置で終わる18のステップに従うことです。

ISO 42001基礎コース

ISO 42001規格について知っておくべきことすべてを、

分かりやすい形式で解説します。

次期規格ISO9001:2026音声解説

 https://drive.google.com/file/d/1Q6Q3z6VTmTyIi7YevRhfq54luFYc_Wzg/view?usp=drivesdk

主な変更点：ISO 9001:2015からISO 9001:2026への移行

ISO 9001:2026は、他のマネジメントシステム規格と共通するISO調和構造（HS）フレームワークを引き続き採用しています。そのため、コアテキスト、共通用語、定義を含み、そのフレームワークで定められた標準化された条項構造に基づいており、ISO 9001固有の内容が追加されています。

ISO 9001:2015に慣れている人にとって、ISO 9001:2026は最初は馴染みのあるものに思えるかもしれないが、文書をより詳細に検討すると、多くの変更が加えられていることがわかるだろう。

はじめに（第0項） 

第0項にはいくつかの変更点があります。第0.3.3項「リスクベース思考」は、 はじめにから削除され、 附属書のA.6.1.2として記載されています。 図1「単一プロセスの概略図」および図2「PDCAサイクルにおける本国際規格の構造の表現」は、いずれも更新されています。第0.1項「一般事項」、第0.2項「品質マネジメントの原則」、第0.3項「プロセスアプローチ」、および第0.4項「他のマネジメントシステム規格との関係」は、 実質的な内容は変更ありませんが、 更新されています。

適用範囲（第1項）

 ISO 9001の適用範囲は変更ありません。ISO 9001の目的は、顧客および適用される法令・規制要件を満たす製品およびサービスを一貫して供給する能力を実証する必要のある組織、そしてシステムの効果的な適用を通じて顧客満足度を高めることを目指す組織に対し、品質マネジメントシステム（QMS）の要求事項を規定することです。

引用規格（第2項）

 ISO 9000:2026は、ISO 9001:2026の引用規格となる。

用語及び定義（第3項） ISO 9001:2015の第3項には、用語及び定義は規定されていませんでした。代わりに、利用者はISO 9000:2015を参照するよう求められていました。ISO 9001:2026では、 HSから抽出されたコアマネジメントシステム用語と、 ISO 9000:2026から抽出された品質マネジメント用語の両方が規定されています。また、規格の利用者は、 ISOのオンライン閲覧プラットフォームまたはIECのElectropediaデータベースで用語及び定義を検索できることをご留意ください。

コンテキスト（第4項）2024年2月、ISOは気候変動対策に関する改正を公表しました。これはISO 9001だけでなく、他の主要規格にも適用されました。ISO 9001:2026は、第4.1項および第4.2項に規範的要求事項を追加することで、この改正を規格に直接組み込んでいます。第4.3項のQMS適用範囲の確立に関する要求事項は、第4.4項の実質的な内容と同様に、箇条書きの書式変更を除いて、基本的に変更されていません。第4項は、要求事項の中で9001:2026が「この国際規格」ではなく「この文書」と呼ばれる最初の例です。

リーダーシップ（第5項） 2026年版規格では、経営陣のリーダーシップとコミットメントに関する要求事項を列挙した箇条書きを改訂・拡充しています。 多くの箇条書きは、意図を実質的に変更することなく若干表現が変更されていますが、新たな 要件が追加されました。これは、経営陣が品質マネジメントシステム（QMS）に対するリーダーシップとコミットメントを、(a) 品質文化と 倫理的行動を促進することによってさらに実証するという要求事項です。

計画（第6項） 第6項は、構造的な変更と技術的な内容の変更の両方を受けています。 ISO 9001:2026では、リスクと機会の分離をより明確にするための意図的な試みが行われています。 6.1項では依然として「リスクと機会」という用語が使用されていますが、 6.1.2項ではリスクのみに焦点を当て、 新たに追加された6.1.3項では機会のみに焦点を当てています。 

QMSに変更を加える際には、 変更内容の伝達、変更の効果をどのように監視・評価するか、 変更の結果をどのようにレビューするかについて検討する必要があります。

サポート（第7項） この規格のこのセクションは、以下の注記を除き、基本的に変更されていません。

 用語が標準化され、QMS記録は文書化された情報として「利用可能」であるべきとなり、「維持」および「保管」という用語は置き換えられました。 

保持すべき組織知識の種類が拡大され、 製品およびサービスの適合性の達成を支援する知識から、 QMSの意図する成果の達成を支援する知識へと拡大されました。 

意識に関する要求事項の変更により、組織の品質文化と倫理的行動に関する期待事項を関係者が認識することが求められます。また、 プロセスの運用環境も、品質と倫理的行動によって影響を受ける可能性があることに留意する必要があります。

運用（第8項）組織は、顧客に対し、関連する場合、商品およびサービスの提供におけるあらゆる中断を含む、緊急時対応措置に関する情報を提供しなければならない。

 

製品およびサービスの要求事項の見直しに関する改訂により、QMS監査員は、新たな要求事項だけでなく、既存の要求事項の変更についても、文書化された情報が証拠として利用可能であることを確認しなければならない。

 設計および開発プロセスにおける潜在的な参加者は、顧客およびユーザーから、顧客およびその他の利害関係者へと拡大した。設計および開発の成果物には、製品およびサービスの特性だけでなく、その意図された目的および安全かつ適切な使用に不可欠な情報を含めなければならない。組織は、設計変更の影響を判断しなければならない。判断とは、証拠または論理に基づいて決定を下すことを意味する。以前の版では、単に識別、つまり、多くの場合分析を伴わずに、変更の潜在的な影響を認識するだけでよかった。組織は今後、外部委託業者に対し、組織自身とのコミュニケーションに関する要件に加え、顧客またはその他の利害関係者とのコミュニケーションに関する要件についても通知しなければならない。

パフォーマンス評価（第9項）今回の改訂では、主要な評価およびレビュー要件を再構築することにより、パフォーマンスの監視と保証を強化しています。

マネジメントレビューは、 一般要求事項、インプット（検討および分析対象）、および結果を網羅する明確なサブ条項に再編成され、監査証跡をより明確にし、手順遵守だけでなく、実証可能な改善を達成するための説明責任を強化しています。

 同時に、本規格はパフォーマンス評価に関する期待値を厳格化しています。組織は、品質パフォーマンスにおいて何を分析すべきか、またQMSの有効性を測定する際に何を分析すべきかを、文書化された情報に基づいて決定する必要があります。 内部監査の目的（範囲と基準に加えて）を定義し、 マネジメントレビューが、これまでと同様に、列挙されたレビューインプットへの対応に基づき、継続的な改善を促進する文書化された成果をもたらすことを引き続き確保する必要があります。

改善（第10項）継続的改善は、品質マネジメント規格の基本原則であり、体系的なパフォーマンス向上と、改善機会の特定および改善につながる是正措置の実施を強く重視しています。今回の改訂では、旧第10.3項を第10.1項および第10.2項に統合することで、改善要求事項を統合しました。これらの変更により、改善が品質マネジメントシステム（QMS）に組み込まれた継続的な義務であることが改めて強調されます。 改善機会は、予防措置、特にリスクを軽減する是正措置の効果的な実施を通じても得られ、それによって全体的な品質パフォーマンスが強化されます。

ISO 9001:2026の附属書Aには、第4項から第10項までのガイダンスを提供する参考附属書があり、 利用者が規格の要求事項を理解するのに役立ちます。ISO 9001:2015にも参考附属書Aがありましたが、 その内容はISO 9001:2015の条項のうち、 さらなる明確化が必要と判断された一部の条項のみに焦点を当てていました。

全般 - 規格の文言を意図的に見直し、要求事項をより理解しやすく、翻訳を容易にすることを目的としています。 附属書AのA.2では、「適切な」、「適用可能な」、「考慮する」、「考慮に入れる」、「継続的な」、「継続的な」、「確保する」、「文書化された情報として利用可能である」、「証拠として利用可能である」、「戦略的方向性」など、いくつかの重要な用語の意味を明確にしています。 

また、ISO 9001:2026では、HSの要求事項に従い、「この国際規格」ではなく、単に「この文書」と表記されている点にも留意してください。

情報セキュリティ

 

システム管理に採用されているプロセスアプローチ、

およびそれらの相互統合の可能性や

他のISOマネジメントシステムとの整合性

に関する情報。

シックスシグマ

 

製造業において、かんばん方式は「ジャスト・イン・タイム（JIT）」生産方式を管理する仕組みです。この方式は、顧客から求められた製品を、必要な時に必要な量だけ生産することを目指しています。かんばん方式は「需要スケジューリング」や「プル（引く）システム」とも呼ばれます。これは、需要予測に基づく従来の生産手法（「プッシュ（押し出す）」型生産）とは異なり、実際の顧客需要に基づいて後工程から生産が「引き出される」仕組みだからです。

監査プログラム

 

ISO9001:2026の主たる変更の 音声解説

 

このテキストは、2024年2月に導入されたISO 9001品質マネジメントシステムの気候変動に関する追補版を解説したウェビナーの記録です。主な内容は、組織が気候変動を自社の事業環境や品質管理に影響を及ぼす要因として特定

この音声解説では、トップマネジメントによる倫理的行動の促進、AIやデジタルツインといったデジタル技術の活用、そして2029年の完全移行に向けた具体的なステップなど、出典資料に基づいた重要なポイントを掘り下げます。

CQI/IRCA公式見解

 

ISO/FDIS 9001:2026が発行されました。FDIS（国際規格の最終案）の段階にあるということは、技術的な内容が確定したことを意味します。そのため、ISO 9001の利用者は、変更内容を検討し、それらが既存の品質マネジメントシステム（QMS）、監査活動、および教育・訓練資料にどのような影響を与えるかを考える際、ある程度の確信を持って作業を進めることができます。本ブリーフィングノートは、FDISの本文に基づいて作成されています。規格が正式に発行されるまでは、ISO 9001:2026への言及はすべてこのFDISの内容に基づくものとしてお読みください。

本ブリーフィングノートは、QMS監査員、ISO 9001に基づくシステムの導入・運用責任者、およびCQI認定トレーニングパートナーの皆様を対象に、ISO 9001:2015と比較したISO 9001:2026の主な変更点の概要を提供するものです。特に注意が必要な箇所の提示、変更点に関するCQIの解釈の解説、そしてQMSの導入・運用・監査を行う人々にとっての実務的な影響を明らかにすることで、適切かつ十分な情報に基づいた移行を支援することを目的としています。

ISO 9001:2026は、規格の根本的な作り直しではなく、慎重かつ段階的な改訂となっています。ISO 9001:2015の利用者にとって、その構造や根底にある意図の多くは馴染み深いものでしょう。それでもなお、実務上重要な変更がいくつかあります。具体的には、品質文化や倫理的行動に関する要求事項の導入、リスクと機会のより明確な区分、QMSの変更計画に関する取り扱いの強化、そして附属書Aにおける説明内容の大幅な拡充などが挙げられます。また、マネジメントシステムの主要な用語・定義に加え、ISO 9000:2026から引用された品質マネジメントの用語・定義が盛り込まれたことは、改訂された本文を理解しようとする利用者にとって有益な改善点となるでしょう。

--------------

主な変更点の概要

第6版の序文では、主な変更点として以下の点が挙げられています。

- ISOマネジメントシステムの中核となる用語と定義の追加

2026年版では、HSコード（調和構造）から抽出された多数の中核的なマネジメントシステムの用語と定義、およびISO 9000:2026「品質マネジメント－基本」から抽出された品質マネジメントシステムの用語と定義が追加されました。ISO 9001の2015年版では、利用者は単にISO 9000:2015を参照するよう指示されていました。

- 品質文化と倫理的行動の導入

品質文化と倫理的行動の概念が、関連する要求事項とともに導入されました。これらの新しい要求事項は、リーダーシップ条項5.1.1「一般」およびサポート条項7.3「意識」に記載されています。また、7.1.4「プロセスの運用環境」の注記にも参照されています。文言の変更は最小限に見えますが、その影響は重大です。

特に、これらの要求事項を実施し、その対応の証拠を提示する経営陣、

そして、これらの要求事項に対する組織の適合性（または不適合性）を判断する監査員にとって、その影響は重要です。

- リスクと機会のより明確な分離

第6.1項に構造的な変更があり、リスクと機会の区別をより明確にするように設計されています。

第6.1.1項は以前は「リスクと機会への対応策」というタイトルで、第6.1.2項はタイトルがありませんでしたが、組織はこれらのリスクと機会への対応策を計画する必要がありました。

2026年版では、第6.1.1項が次のように変更されています。

6.1.1は「リスクと機会の特定」となり、6.1.2は「リスクへの対応策」となり、新しい小項目6.1.3は「機会への対応策」となります。

- 変更管理の強化

QMSの変更実施に関する既存の要求事項に、QMSの変更の伝達、QMS変更の有効性を判断するための監視と評価、およびQMS変更の結果をどのようにレビューするかについての検討に関する追加要求事項が追加されました。

- 附属書Aの説明内容の強化

附属書Aの内容が大幅に改訂されました。これにより、ISO 9001の構造、用語、および規格の要求事項の意図について、より明確な説明が提供されるようになりました。現行の附属書Aはごく一部の特定のトピックのみを扱っていますが、新しい附属書Aではすべての条項を網羅しています。附属書Aは引き続き参考情報として提供されるものであり、ISO 9001:2026の要求事項を追加、変更、または削除するものではありません。

- 附属書Bの削除

現行の附属書Bには、ISO 9001の利用者にとって関心のあると考えられる他のTC176規格のISO参照番号とタイトルが記載されています。この附属書は第6版で削除されます。代わりに、関連するTC176規格は、新しい附属書Aの各セクションの注記内で参照されます。

TC176が管理する規格の一覧は、ISO/TC176のウェブサイトにも掲載されています。

ISOはISO 9001:2026を技術的な改訂版と位置付けていますが、その変更点は、品質文化と倫理的行動に関する新たな要求事項を除き、革新的なものではなく、漸進的なものです。

確立された良好な品質文化を持ち、リーダーが既に倫理的な行動を示している組織は、

品質文化と必要な行動の実現に苦労している組織よりも、新しい要件への移行が容易になるでしょう。

既存のQMS管理システムに対して行う必要のない変更

Giminiの実力

 

主な変更ポイント（箇条別・テーマ別）

1. 「品質文化」と「倫理的行動」の明記（箇条5、箇条7）

●

●

リーダーシップ（5.1）： トップマネジメントが「品質文化（Quality Culture）」および「倫理的行動（

Ethical Behavior）」を推進・促進することが明文で求められます。単にルールを守るだけでな

く、組織全体に品質重視の価値観やコンプライアンス意識を浸透させることが評価対象となり

ます。

認識（7.3）： 組織で働く人々が、品質方針だけでなく「品質文化や倫理的行動」についても認

識・理解することが追加されています。

2. 「リスク」と「機会」の分離と明確化（箇条6）

●

リスクと機会への取り組み（6.1）： 2015年版では「リスク及び機会」として一括で扱われがち

だった記述が整頓され、「リスク」と「機会」を明確に区別して整理・分析・評価し、それぞれの

対応策を講じる構造に整理されました。

3. 「気候変動」の正式統合（箇条4）

●

組織の状況（4.1, 4.2）： 2024年2月に追補発行された「気候変動に関する考慮事項」が本文

へ正式に組み込まれました。自社の事業や供給網における気候変動・環境影響が、品質や

サービス提供にどう関わるか（リスク/外部状況）を検討することが定着化します。

4. 変更管理の強化（箇条6）

●

変更の計画（6.3）： QMSに変更を加える際、変更内容の伝達（コミュニケーション）、変更によ

る影響の監視・評価、結果のレビューなどを適切に行うプロセス管理の重要性が強調されて

います。

5. 箇条3（用語及び定義）と 箇条10（改善）の整理

●

●

用語及び定義（箇条3）： 「品質文化」など特定の主要用語が規格本文内にも記載され、ISO

9000（基本及び用語）を都度参照する負担が軽減されます。

改善（箇条10）： 従来あった「10.1 一般」と「10.3 継続的改善」が整理・統合

サイバー攻撃

 

人工知能（AI）エージェントは、今やサイバー攻撃を指揮・実行できるようになっています。2025年9月、Anthropic社は、中国の国家が支援する脅威アクター（「GTG-1002」と特定）が「Claude Code」を悪用し、約30の組織に対して同時に攻撃を仕掛けた事例を検知しました。この攻撃活動の約80～90%はAIエージェントによって自動化されていました。こうした自動化された攻撃能力は、評価環境においても確認されています。2026年4月、英国のAIセキュリティ研究所は、「Claude Mythos Preview」と「GPT-5.5」の双方が、人間の介入なしに、多段階にわたる模擬ネットワーク侵入をエンドツーエンドで完遂できることを明らかにしました。自動化された攻撃能力は、サイバー脅威の性質を劇的に変える可能性があります。攻撃型AIの進化に伴い、AIエージェントによる攻撃は、攻撃実行の所要時間を短縮し、人間の能力の限界をはるかに超える規模で同時攻撃を行い、高度な侵入に必要なコストや専門知識のハードルを下げ、さらには従来の防御策では対応しきれないような形で自律的に適応していく恐れがあります。

情報マネジメント

 

ISO 27001に携わるセキュリティ実務者の方であれば、2022年の改訂に伴い、どのような新しい対策（コントロール）を導入する必要があるのか​​気になっていることでしょう。

本記事では、ISO 27001に新たに追加された11の管理策に焦点を当てて解説します。改訂の概要については、こちらの記事「ISO 27001 2013年版と2022年版の比較：何が変わったのか？」をご覧ください。

サイバーセキュリティは30年以上にわたり、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」という「CIAトライアド」を指針としてきました。しかし今、私たちはさらに大きな課題に直面しています。それは、人工知能（AI）をいかにガバナンス（統治・管理）するかという問題です。驚くべきことに、CIAトライアドから得た教訓の一部は、AIガバナンスにおける最大の問いの一つである「信頼できるAIをいかに構築するか」に取り組む上でも役立つ可能性があります。

Secure & Simple Podcast

サイバーセキュリティ・ガバナンスとコンプライアンスを扱う

コンサルタントおよびvCISO（仮想CISO）向けポッドキャスト

全エピソードはこちらから

CIAトライアドは、企業にリスクを管理する明確な指針を与えることで、サイバーセキュリティのあり方を変革しました。

現在、AIガバナンスの枠組みにおいても、「信頼性」が同様の役割を果たしています。つまり、リスクの特定や優先順位付けを行う際の重要な指針となっているのです。

初めてISO 27001を導入しようとされている場合、規格の複雑さや、審査（監査）で何を確認すべきかといった点に戸惑いを感じているかもしれません。そのため、この作業に役立つチェックリストをお探しではないでしょうか。本記事では、内部監査の実施に必要なすべての手順と、準備すべき文書について解説します

AIガバナンスの基本

AIガバナンスとは、基本的に、企業がAIシステムの開発方法とライフサイクル全体における利用方法について明確なルールを設定することを意味します。

これらのルールは通常、さまざまな技術的制御（ガードレールなど）、データ管理（トレーニングデータの品質確保など）、ドキュメント（ポリシーと手順、役割と責任など）を通じて定義されます。

しかし、これらのルールで何を定義する必要があるのか​​、制御はどのように構成すべきなのか、そしてトレーニングデータはどのように扱うべきなのか、どうすればわかるのでしょうか？

AIガバナンスの仕組み

AIガバナンスの中核となる概念は、潜在的なリスクを評価する必要があるということです。

サイバーセキュリティ

 

GuidePoint SecurityとSAFEの協賛により、FAIR Instituteが2026年4月に実施した「2026年版サイバーリスク管理の現状（State of Cyber​​ Risk Management）」に関する調査では、ビジネス、規制、および運用面での要求の高まりに対応するため、主要な組織がどのようにサイバーリスク・プログラムを適応させているかを検証しています。サイバーリスク分野のリーダーや実務担当者400名を対象とした世界規模の調査に基づく2026年のデータは、この分野が成熟しつつあることを示しています。具体的には、サイロ化された技術的なコンプライアンス機能から、定量化・自動化され、取締役会レベルの戦略的推進力となる機能へと移行しているのです。2025年の調査結果と比較すると、この分野の現状を定義づけるいくつかの重要なマクロ的変化が浮かび上がってきます。

ISO9001:2026

 

ISO 9001:2026は、品質マネジメントシステムに関する国際規格であるISO 9001の第6版として発行が予定されているものです。改訂版が正式に発行されるまでは、2024年の気候変動に関する修正事項を含め、ISO 9001:2015が引き続き認証の対象となるバージョンです。

今回の改訂は、抜本的な変革（革命的）というよりは、段階的な進化（進化的）となる見込みです。現在示されている指針によれば、顧客重視、リーダーシップ、プロセスアプローチ、リスクに基づく考え方、証拠に基づく意思決定、関係性の管理、継続的改善といったISO 9001の主要な原則の多くは維持されます。改訂の主な方向性としては、明確性の向上、用語の更新、ISOの「整合化された構造（Harmonized Structure）」との整合性強化、持続可能性や気候変動という文脈への明示的な配慮、リスクと機会の取り扱いの明確化、そして品質文化や倫理的行動に対するリーダーシップの関与強化などが挙げられます。

ISO9001

 

ISO 9001は組織の能力を前提とする傾向を強めているが、認証審査では依然として適合性のみが検証されている。本論文では、その結果として生じる「能力と適合性のギャップ」と、それが認証制度への信頼に及ぼす影響について検討する。

ISO42001

 

ISO 27001とISO 42001はいずれも主にITに関連する規格であるため、多くの企業が両規格の同時導入、つまりサイバーセキュリティとAI（人工知能）ガバナンスの統合を検討しています。では、これは理にかなったことなのでしょうか？

本記事では、要件、プロセス、管理策の観点から両規格の類似点と相違点を解説します。これにより、データ保護とAIシステムの倫理的な開発・提供・利用を統合したマネジメントシステムにおいて、何が統合可能で何がそうでないのかを理解できるようになります。

ISO 27001およびISO 42001オンラインコース

ISO 27001とISO 42001への適合方法を学べる無料オンラインコース

無料で受講登録する

ISO 27001とISO 42001を統合するための重要なステップ：

• 共通する条項については、統合マネジメントシステムを導入する。

• リスク管理には共通のプロセスを使用する（ただし、ISO 27001とISO 42001では、リスク評価の対象となるリスクや管理策の内容は異なります）。

• 可能な限り、AI関連の管理策と情報セキュリティ管理策を統合する。