ISO 27001ファイル転送セキュリティ導入ガイド

ファイル転送システムの ISO/IEC 27001:2022 認証とは、附属書 A の93の統制を対象とした情報セキュリティマネジメントシステム（ ISMS ）が機能していることを示すことです。特に重要なのは A.5.14（情報の転送）、 A.8.10（情報の削除）、 A.8.24（暗号化の使用）、 A.8.26（アプリケーションセキュリティ要件）です。2022年改定では以前の114の統制が4つのテーマ（組織、人的、物理的、技術的）にわたる93に統合され、脅威インテリジェンス（ A.5.7 ）、事業継続のための ICT 準備（ A.5.30 ）、セキュアコーディング（ A.8.28 ）を含む11の新しい統制が追加されました。初回認証は通常12〜18か月かかり、監査費用を含めて3万〜10万ユーロのコストが発生します。

ファイル転送製品の ISMS スコープ

ISO 27001 は ISMS の対象範囲を定義することを求めています。ファイル転送プラットフォームの ISMS スコープには通常、アップロードとダウンロードサービス、オブジェクトストレージ層、鍵管理インフラ、認証・認可システム、監査ログパイプライン、ユーザーデータに触れる顧客サポートツール、ビルドとデプロイパイプラインが含まれます。スコープ外：マーケティングサイト、社内 HR システム、一般的な企業 IT （別の ISMS でカバーされる場合があります）。スコープを正確に文書化してください。曖昧さは認証審査での指摘につながります。

A.5.14 情報転送の統制

A.5.14 は情報の転送に関するポリシーと手順を要求しています。ファイル転送プラットフォームにとってこれはメタ的な問題です。あなたのプロダクト自体が顧客への統制である一方、チームがどのように情報を転送するかを管理する内部統制も必要です。ポリシーには、承認された転送チャネル（プラットフォーム自体、署名・暗号化済みメール、大量データには SFTP ）、分類要件（未承認チャネルで機密データを送らない）、受信者確認（機密ファイルを送る前にメールを確認する）、ログ記録（すべての転送を SIEM にログ記録）を含めてください。内部転送手順を公開し、スタッフを年次でトレーニングしてください。

第6.1.2条に基づくリスク評価

ISO 27001 はリスクドリブンです。第6.1.2条は文書化されたリスク評価方法論とリスク台帳を要求しています。ファイル転送システムの典型的なリスク：保存ファイルへの不正アクセス、弱い暗号化による解読、管理者アカウントの侵害、特権オペレーターによる内部脅威、サブプロセッサー経由のサプライチェーンリスク、アップロードエンドポイントへのサービス拒否攻撃、バックアップ失敗によるデータ損失。各リスクを1〜5または1〜3の尺度で可能性と影響度で評価してください。スコアリングに基づいて附属書 A から統制を選択してください。適用宣言書（ SoA ）は93の統制のうちどれが適用されるか、またなぜ適用（または非適用）なのかを文書化します。

A.8.24 暗号化の要件

A.8.24 は暗号化の適切な使用をカバーします。対応するガイダンス（ ISO/IEC 27002:2022 ）は、暗号化ポリシー、現在のベストプラクティスに合致したアルゴリズムと鍵長の選択、生成・配布・保存・使用・ローテーション・回復・廃棄をカバーする鍵管理を期待します。ファイル転送システムについて文書化する内容：コンテンツに AES-256-GCM または XChaCha20-Poly1305 、署名に RSA-4096 または Ed25519 、パスワードベースの鍵に600,000回以上の反復の PBKDF2-SHA-256 または Argon2id 、転送に TLS 1.3 。鍵の保存は FIPS 140-2 レベル2の HSM またはクラウド相当（ AWS CloudHSM 、 Azure Managed HSM ）。マスターキーは年次でローテーションしてください。

A.5.15 アクセス制御と A.8.3 情報アクセス制限

A.5.15 はアクセス制御ポリシーを要求します。 A.8.3 はアクセス制御ポリシーに基づいて情報へのアクセスを制限することを要求します。ファイル転送システムでは、役割ベースのアクセス制御による最小権限を施行し、管理者アクセスに MFA を要求（ FIDO2 推奨）し、中央 ID プロバイダー（ Okta 、 Azure AD 、 Google Workspace ）と統合し、文書化されたサインオフ付きの四半期アクセスレビューを実施し、すべてのアクセス試行をログに記録してください。 ISO 27001 の監査人はアクセスの付与とレビューをサンプリングします。 IdP のエクスポートとチケッティングシステムの統合により、簡単に提示できるようにしてください。

A.8.10 情報削除と保持

2022年の新統制 A.8.10 は、保持ポリシーに従って不要になった情報を削除することを要求します。ファイル転送プラットフォームでは、自動有効期限（通常7〜30日）の施行、ログによる削除の確認、プライマリ削除と同期したバックアップの削除、物理メディアのライフエンドでの安全な削除（ DoD 5220.22-M 上書きまたは鍵破棄による暗号消去）を意味します。データカテゴリごとの保持ポリシーを文書化してください：ユーザーファイル7日、監査ログ365日、バックアップ30日ローテーション、サポートチケット24か月、税務記録7年。

A.5.30 事業継続のための ICT 準備

2022年に新設されました。 ICT システムが事業継続を確保する準備が整っていることを要求します。具体的には、文書化された RPO と RTO を持つテスト済み DR プラン、四半期ごとのバックアップ整合性テスト、年次フェイルオーバーテスト、 ISO 22301 と整合したインシデント対応プレイブック、危機コミュニケーション手順が含まれます。ファイル転送プラットフォームでは、 RPO （例：1時間 — 許容可能な最大データ損失）と RTO （例：4時間 — 最大回復時間）を文書化してください。証拠をランブックに記録しながら、四半期ごとにバックアップからの復元をテストしてください。 AWS 、 Azure 、 OVH などのクラウドプロバイダーは、ほとんどのシナリオを満たすマルチ AZ およびマルチリージョンアーキテクチャを可能にします。

A.5.7 脅威インテリジェンスと A.5.23 クラウドサービスのセキュリティ

A.5.7（新設）は脅威インテリジェンスの収集と分析を要求します。実際には、セクター CERT の勧告、 CISA アラート、ベンダーセキュリティ速報（ AWS Security Bulletins 、 Cloudflare Radar ）を購読してください。インテリジェンスがリスクと脆弱性管理にどのようにフィードされるかを文書化してください。 A.5.23（新設）はクラウドサービスの利用に関するポリシーと手順を要求します。 AWS 、 Azure 、 OVH 上でホストするファイル転送プロバイダーは、クラウドプロバイダーの選定基準、責任の分担（共有責任モデル）、データ保管場所のコミットメント、クラウドプロバイダーが失敗または終了した場合の出口戦略を文書化してください。

A.8.28 セキュアコーディング

2022年の新統制です。セキュアコーディングの原則を適用することを要求します。ファイル転送コードへの適用：CI での SAST （ Semgrep 、 SonarQube 、 Checkmarx ）、リリース前の DAST （ OWASP ZAP 、 Burp Suite ）、依存関係スキャン（ Snyk 、 Dependabot 、 Trivy ）、シークレットスキャン（ gitleaks 、 TruffleHog ）、セキュリティ重視チェックリストを使った必須ピアレビュー、主要機能のための脅威モデリング、年次 OWASP Top 10 トレーニング。監査人が求める証拠：SAST/DAST ステップを示す CI パイプライン設定、監査期間中のスキャンレポート、是正 SLA （重大：7日、高：30日）、トレーニング完了記録。

内部監査と経営レビュー

第9.2条は内部監査プログラムを要求しています。全 ISMS を対象とした監査を少なくとも年次で実施するか、3年サイクルで対象範囲をローテーションしてください。第9.3条は通常四半期ごとの経営レビューを要求します。 ISMS パフォーマンス、 KPI トレンド、監査所見、リスク台帳の変更、リソースニーズを取り上げてください。議事録と対応策を文書化してください。認証機関は内部監査と経営レビューの記録を ISMS の成熟度の強力な指標として審査します。これらの記録が弱いと、技術的統制に関わらず主要所見につながります。

認証審査とサーベイランス

ステージ1審査（1〜3日）：文書レビュー、準備状況評価。ステージ2審査（スコープに応じて3〜10日）：現地またはリモートでの証拠サンプリング、インタビュー、技術確認。認証は3年間有効で、年次サーベイランス審査（各1〜3日）と3年目の全面再認証が必要です。重大な不適合は認証発行前に解消する必要があり、軽微なものは是正措置計画とともに残ることができます。最初のサイクルでは5〜15件の軽微な所見と0〜2件の重大所見を予期してください。認定された認証機関（ BSI 、 DNV 、 TÜV SÜD 、 DEKRA 、 LRQA 、 SGS ）を選択してください。非認定機関からのロゴのみの認証は調達チームに認められません。

ISO 27001 に対応したアーキテクチャの構築

ISO 27001 認証に臨めるファイル転送プラットフォームの要件：ペアリージョンへの DR を伴う EU でのマルチ AZ 展開、クライアントサイド AES-256-GCM プラス保存時のサーバーサイド AES-256 、 IdP 経由で管理者アクセスに施行される FIDO2 MFA 、鍵ベースの暗号消去による自動7日間削除、不変ストレージへの集中ログ記録、 IdP 経由の四半期アクセスレビュー、 CREST 事務所による年次ペネトレーションテスト、 SIEM ベースの脅威検出、文書化された DPA とサブプロセッサー台帳、2022年統制でトレーニングされたセキュリティチーム。 HexaTransfer のアーキテクチャはこれらの多くにデフォルトで対応しています。構造の弱い競合他社は認証前に6〜12か月の是正が必要です。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。