TISAX2026.10.08
2026年7月、TISAX Assessmentの基準となる新たなISA（Information Security Assessment）として「ISA2027」が公開されました。
ISA2027では、これまでの「ISA 6.0」などのバージョン番号による管理から、適用年を名称とする方式へ変更されます。今後は原則として毎年、翌年のAssessmentに適用するISAが公開される運用へ移行します。
一方、TISAXラベルの有効期間は従来どおり最大3年間です。
このため、TISAX Assessmentの実施頻度が毎年となるわけではありませんが、ラベル取得後、次回Assessmentを受けるまでの間にISAが複数回更新される可能性があります。
今後のTISAX対応においては、Assessment直前に要求事項への適合状況を確認する従来型の対応だけではなく、ISAの変更内容を継続的に確認し、自社の規程、手順、運用及び証跡との差分を管理する仕組みを整備することが重要となります。
本コラムでは、ISAの年次更新への移行を踏まえ、企業が実施すべき継続的な差分管理について解説します。
ISA2027は、2027年に新たに発注されるTISAX Assessmentの基準となります。
ISA2027以降は、原則として毎年夏頃に翌年版のISAが公開され、その翌年のAssessmentに適用される運用が予定されています。
例えば、ISA2028は2027年中に公開され、2028年のAssessmentに使用されるという考え方です。
一方で、TISAXラベルの有効期間は最大3年間のまま変更されません。
ENX Associationも、ISAの年次更新によってAssessment頻度そのものが増加するものではなく、通常の再Assessmentまでの間に複数世代のISAを経る可能性があることを説明しています。
この仕組みにおいて留意すべき点は、ラベルの有効期間と、Assessment基準であるISAの更新周期が一致しないことです。
例えば、ISA2027に基づいてAssessmentを受けた企業が約3年後に再Assessmentを受ける場合、その時点ではISA2029やISA2030など、より新しいISAが適用されている可能性があります。
したがって、ラベル有効期間中にISAの変更内容を確認しないまま運用を継続した場合、次回Assessmentの準備段階で複数年分の変更へ一括して対応する必要が生じる可能性があります。
ISA2027への移行は、単なるバージョン管理方法の変更ではありません。
ISA2027では、ISO/IEC 27001:2022とのマッピングの整理、NIST Cybersecurity Framework 2.0とのマッピング追加、要求内容の明確化、サプライチェーン管理の強化、Prototype Protectionの構成変更など、複数の見直しが行われています。
また、一部の要求事項については、従来のShould要求からMust要求への変更など、要求水準の見直しも行われています。Should要求は原則として実施が求められる要求であるのに対し、Must要求は必須の要求であるため、この変更によって従来よりも厳格な対応が必要となる場合があります。
「前回のAssessmentで適合していた」という事実のみをもって、「次回Assessmentでも適合している」と判断することは適切ではありません。
Assessmentで使用した規程、手順書、管理表、チェックリスト及び証跡についても、新しいISAの要求事項との対応関係を改めて確認する必要があります。
ISA2027では情報セキュリティ分野を中心に多数の項目が見直されており、既存の対応資料をそのまま流用することにはリスクがあります。
TISAX対応では、Assessment日程の確定後に、規程、手順、記録等を集中的に確認する進め方が取られることがあります。
Assessment直前の確認自体は必要ですが、ISAが年次更新される環境において、この方法のみで対応することは適切とはいえません。
3年間にわたり差分確認を実施していない場合、次回Assessment時には、ISAの変更だけでなく、以下のような自社側の変更も同時に発生している可能性があります。
この状態でAssessment直前から対応を開始した場合、要求事項の差分分析に加え、規程改定、プロセス変更、関係部門との調整、証跡の再整備等を短期間で実施する必要があります。
結果として、Assessment準備の負荷増大だけでなく、十分な運用期間を確保できず、成熟度評価にも影響する可能性があります。
継続的なTISAX運用においては、少なくとも次の3種類の差分を管理する必要があります。
新しいISAの公開時には、以下を確認します。
変更の有無だけではなく、「自社のAssessment Scopeに適用される変更か」を判断することが必要です。
ISA側に変更がなくても、自社環境の変更によってリスクや適用すべき統制が変化する場合があります。
確認対象には、例えば以下があります。
TISAX対応は規程の維持だけでなく、実際の組織・システム環境との整合性を継続的に確認する必要があります。
監査・Assessmentの観点で特に重要となるのが、規程上の要求と実際の運用との乖離です。
例えば、規程で「アクセス権限を年1回確認する」と定めていたとしても、実際に確認が行われていない、又は実施記録が残されていない場合、Assessmentにおいて十分な運用実績を説明できない可能性があります。
したがって、「規程が存在するか」だけではなく、「規程に基づく運用が実施されているか」「その実施結果を証跡として提示できるか」まで確認する必要があります。
ISAの年次更新を踏まえると、TISAX対応についても、Assessment前後に集中的に対応するプロジェクトとして管理するだけではなく、継続的な情報セキュリティ管理プロセスの一部として運用することが望ましいと考えられます。
特に、ISAの変更内容を定期的に確認し、自社への影響を評価したうえで、必要に応じて規程、手順、運用及び証跡を見直すプロセスを設けることを推奨します。
具体的には、新しいISAが公開された際に、以下のようなプロセスで確認を行うことが有効です。
1ISA変更内容の確認
2自社への適用有無の判定
3現行の規程・手順・運用・証跡とのギャップ分析
4対応事項及び担当部門の明確化
5規程・手順又は運用の変更
6対応状況及び証跡の確認
7未対応事項及び残存リスクの管理
ISO/IEC 27001に基づくISMSを運用している企業であれば、外部要求事項の変更管理、リスクアセスメント、内部監査、マネジメントレビュー等の既存プロセスへISAの変更確認を組み込む方法も有効です。
重要なのは、新たなTISAX専用プロセスを必要以上に増やすことではなく、既存のマネジメントシステムの中で継続的に管理できる仕組みとすることです。
TISAX Assessmentでは、要求事項に対応する規程や手順が存在することのみで評価が完結するわけではありません。
対象となるプロセスが定義され、実施され、管理され、継続的に改善されているかという成熟度の観点も重要となります。
このため、Assessment直前に文書のみを整備した場合、要求事項への形式的な対応は説明できても、継続した運用実績や有効性を十分に示せない可能性があります。
監査・Assessmentの観点では、少なくとも以下を説明できる状態が必要です。
つまり、TISAX対応では、「要求事項に対応する文書を作成すること」ではなく、「要求事項に対応した管理プロセスを実装し、その実効性を証明できる状態を維持すること」が重要です。
ISA2027への移行にあたり、既にTISAX対応を実施している企業においても、少なくとも以下を確認することが推奨されます。
特に注意が必要なのは、「前回Assessmentで使用した資料が残っている」ことを「対応済み」と判断しないことです。
Assessment時に重要となるのは、過去の資料そのものではなく、現在の要求事項、現在の環境及び現在の運用状況との整合性です。
ISA2027以降、ISAは原則として年次更新される一方、TISAXラベルの有効期間は最大3年間のまま維持されます。
このため、今後のTISAX運用では、ラベルの有効期間中もISAの変更を継続的に確認し、自社への影響を評価する必要があります。
特に重要となるのは、以下の3点です。
TISAXを「3年ごとにAssessmentを受ける制度」としてのみ捉えるのではなく、継続的な情報セキュリティ管理の一部として運用することが、今後一層重要になります。
ISA2027への対応では、変更された要求事項を確認するだけではなく、既存の規程、手順、運用及び証跡との対応関係を整理し、自社に必要な対応を明確化する必要があります。
また、既にTISAXラベルを取得している企業においても、次回AssessmentまでISAの変更を確認しない運用では、更新時の対応負荷が増大する可能性があります。
ブロードバンドセキュリティでは、ISA2027の差分分析、現状分析、ギャップ分析、規程・手順の整備、運用状況及び証跡の確認、Assessmentに向けた改善支援まで、TISAX対応を一貫して支援しています。
ISA2027への移行対応、既存TISAX運用の見直し、次回Assessmentに向けた準備についてご相談ください。
TISAX認証支援コンサルティングを見る＜参考資料＞
この記事をシェアする
