ISO27017（ISO/IEC 27017）とは、ISO/IEC 27002に基づいて、クラウドサービス固有の情報セキュリティ管理策を示すガイドライン規格です。2026年7月27日に改訂版が発行されました。クラウドを使っているだけの会社に、認証が一律に求められるわけではありません。
今日やることは2つです。1つ目は、自社がクラウドを「提供している」のか「利用している」のかを紙に書くことです。2つ目は、使っているクラウドを一覧にすることです。列は「サービス名」「置いている情報」「管理者」「契約者」の4つで足ります。この2つが、認証を検討するかどうかの出発点になります。
サプライチェーンのセキュリティの話で「27017はありますか」と聞かれたら、相手が何を確かめたいのかを、この一覧を手元に置いて聞き返せます。
ISO27017は認証なの？規格なの？
ここがいちばん混同されます。ISO/IEC 27017そのものは、管理策と手引を示すガイドライン規格で、認証基準（要求事項）ではありません。
日本で認定の枠組みの中にある認証は、ISMSクラウドセキュリティ認証です。ISMS（JIS Q 27001）の認証に加え、ISO/IEC 27017の管理策が導入・実施されていることを、JIP-ISMS517という基準で認証します。
| 名前 |
中身 |
認証を受けられるか |
| ISO/IEC 27017 |
クラウド固有の管理策のガイドライン |
規格そのものは認証基準ではない |
| JIP-ISMS517 |
認証のための要求事項 |
この基準で審査される |
| ISMSクラウドセキュリティ認証 |
ISMS認証の拡張 |
ISMS認証が前提 |
したがって、ISMS認証を持たない会社には、クラウドの部分だけを先に認証する道はありません。ISMS認証を取得している、または取得する組織が対象です。既存のISMSの定期審査や再認証審査に合わせて実施できると、JIPDECのFAQは説明しています。
海外企業の案内で「ISO 27017認証」と書かれているものを見かけることがあります。JIPDECのFAQは、2023年1月時点で、それを行う認証機関が公式な認定を受けている事例は見当たらないとしています。海外サービスの資料を読むときは、どの機関が、どの基準で確認したのかを確かめます。
提供側と利用側で、何が違う？
新しい認証基準JIP-ISMS517-2.0は、提供者（プロバイダ）、利用者（カスタマ）、または両方のどの立場かを明確にするよう求めています。同じ「27017の認証」でも、示している内容が違います。
|
提供側（プロバイダ） |
利用側（カスタマ） |
| 示すこと |
サービスの提供と、利用者への情報提供の管理 |
クラウドの使い方に伴うリスクの管理 |
| 主な論点 |
管理策の実施と、利用者が必要な情報の提供 |
リスク評価と、提供者から得た情報の確認 |
| 範囲の注意 |
別のクラウド上で提供するなら利用側も範囲に含める |
サービスを提供する組織は含めなくてよい |
利用側の説明は、JIPDECのFAQ（認証基準の解釈）にあります。「クラウドサービスの利用」は適用範囲に含めますが、提供する組織まで含める必要はありません。
取引先に認証を見せられたときも、立場の確認が要ります。たとえばあるSaaS会社が利用側の立場で認証を受けているだけなら、そのSaaS自体の提供の管理を示すものとは読めません。登録証やISMS-ACの認証取得組織の検索で、範囲と立場を確かめます。検索ページでは、2026年11月5日付の表示で登録828件、公表793件です。
自社に認証は要る？
次の順番で判断します。
- クラウドサービスを社外に提供しているか。提供していて、取引先から認証の提示を求められているなら、検討の対象です。自社のSaaSが別のクラウドの上で動いているなら、両方の立場が要ります
- 利用するだけで、取引先の指定があるか。指定があれば、提供側の認証を求めているのか、自社の利用側の認証を求めているのかを聞き返します
- ISMS認証を持っているか。持っているなら、審査に合わせて拡張できるかを認証機関に相談します。持っていないなら、まずISMSとPマークのどちらが要るかから考えます
- どれにも当てはまらないか。認証の検討は後に回し、次の節の点検を先に進めます
クラウドを利用するだけで取引先の指定もなければ、4番です。認証は、取引先に示す必要があるときの手段です。社内のクラウド管理そのものは、認証がなくても始められます。
製造業では、どう考える？
たとえば、産業機械のメーカーを考えます。社内で図面の共有にクラウドストレージを使い、顧客には自社の機械の稼働状況を見られる遠隔監視サービスを提供している場合です。
図面の共有は利用側、遠隔監視サービスは提供側です。遠隔監視の基盤が大手のクラウドの上にあるなら、提供側と利用側の両方の立場が関わります。
顧客から「遠隔監視のセキュリティを示してほしい」と言われたら、取引先の調査票への回答で足りるのか、第三者の認証が要るのかを確かめます。認証が要るとなれば、ISMSの範囲に遠隔監視の部門とシステムを入れるかどうかが最初の論点です。一方、図面共有の使い方だけなら、次の節の点検で多くの問いに答えられます。
認証がなくても、利用側がやること
IPAの「中小企業のためのクラウドサービス安全利用の手引き」は、提供者と利用者が役割と責任を分担するという前提で、確認事項を挙げています。実務では次の5つを見ます。
- 提供者が公表している情報セキュリティ方針と、認証の取得状況
- SLA（稼働率、障害の頻度、回復の目標時間）
- 障害でデータが失われたとき、どこまでが提供者の責任かを定めた利用規約
- 利用者側の設定：共有の範囲、管理者、多要素認証
- 使わなくなったアカウントと、契約終了時のデータの扱い
JIPDECの説明でも、利用者が決めたリスク対応を提供者に期待できない場合は、自ら対応が必要です。提供者が認証を持っていれば、提供者への要求を満たす材料にはなります。ただ、社内の誰がどのファイルを見られるかまでは、提供者の認証は答えてくれません。
設定の点検を人手で回しきれないなら、道具も比較できます。Microsoft 365やGoogle Workspaceの設定の不備を見るならSSPM（SaaSセキュリティ管理）の比較、自社でクラウド基盤を運用しているならCNAPPの製品比較が入口です。
利用先を選ぶときは、IPAの手引きが紹介するISMSクラウドセキュリティ認証、クラウド情報セキュリティ監査制度、政府向けのISMAPも参考になります。ただし、ISMAPは政府のクラウド調達のための評価制度です。
2026年の改訂で、何をすればいい？
ISMS-ACの案内によると、経緯は次のとおりです。
| 日付 |
できごと |
| 2026年7月27日 |
ISO/IEC 27017:2026 発行 |
| 2026年10月14日 |
認証基準 JIP-ISMS517-2.0 発行 |
| 2026年10月15日 |
ISO/IEC 27017:2026 の邦訳版発行 |
| 2026年10月31日 |
移行期間の開始（3年間） |
すでに認証を持つ会社は、移行が必要です。移行の詳細は認証機関に確認するよう案内されています。次の審査の時期と合わせて、計画を立ててください。
新規に検討する会社は、取引先の調査票や入札条件が「ISO/IEC 27017:2015」と版を指定していないか見ておきます。検索で出てくる2015年版の解説は、基準の版が古いことがあります。また、JIPDECのFAQの一部もこの記事の時点では2015年版を前提にした文面なので、版は認証機関に確かめます。
ISMSの文書作りから取りかかるなら、ISMS・Pマーク取得支援ツールの比較で進め方を比べられます。認証の前に、取引先へ取り組みを示す手段としてはSECURITY ACTIONの宣言もあります。ただし自己宣言であり、ISO27017の認証の代わりにはならないことは、相手にも正直に伝えます。
