ISO/IEC 27018

ISO/IEC 27018は、国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で発行する、パブリッククラウドにおける個人識別情報（PII）の保護に関する国際規格である。クラウドサービスを提供する事業者が、利用者の委託を受けて個人を識別できる情報を処理する立場（PII処理者）にある場合を対象とし、その管理策と実施の手引を定める。ISO/IEC 27002の情報セキュリティ管理策を基礎とし、プライバシーの枠組みを定めたISO/IEC 29100のプライバシー原則に沿って、クラウド環境向けの手引を加えた構成をとる。初版は2014年8月に発行され、2026年時点の最新版は2025年8月に発行された第3版である。

概要

クラウドコンピューティングを利用する組織は、自らが保有する個人情報の処理を外部の事業者の設備に委ねることになる。ISO/IEC 27018は、この処理を担うパブリッククラウドの事業者に向けて、広く受け入れられた管理目的、管理策および実施の手引を定め、ISO/IEC 29100のプライバシー原則に沿って個人情報を保護する措置を実施できるようにすることを目的としている。ISOは、この規格が事業者と利用者の間で個人情報の取り扱いに関する役割と責任を明確にし、処理の透明性と監査可能性を支えるものだと説明している。

適用の対象は、民間企業、政府機関、非営利組織を含むあらゆる種類と規模の組織のうち、他の組織との契約に基づいてクラウドコンピューティングにより情報処理サービスをPII処理者として提供するものである。規格の手引は、個人情報の処理の目的と方法を決定する立場（PII管理者）の組織にも関係し得るが、PII管理者にのみ課される法令上・契約上の追加の義務は規格の対象に含まれない。

ISO/IEC 27018は、それ自体が認証の要求事項を定めた規格ではなく、ISO/IEC 27002を補う手引として位置づけられる。ISOは、この規格がクラウドでの個人情報の処理に合わせてISO/IEC 27002の管理策を適応させたものであり、ISO/IEC 27001に基づく情報セキュリティマネジメントシステム（ISMS）を補完すると説明している。＠ITに寄稿した打川和男は、ISO/IEC 27017とISO/IEC 27018はいずれもISO/IEC 27001の認証にアドオンする形の規格であると述べている。

規格の作成は、ISOとIECの合同技術委員会ISO/IEC JTC 1/SC 27が担当している。

主な内容

適用範囲
他の組織との契約に基づき、クラウドコンピューティングによって情報処理サービスをPII処理者として提供する組織を対象とする。組織の種類と規模は限定されない。
対象とする情報
パブリッククラウドの事業者が利用者に代わって取り扱う個人情報を対象とし、その収集、保存、処理、伝送および削除の各段階が含まれる。
ISO/IEC 27002に基づく実施の手引
ISO/IEC 27002が定める情報セキュリティ管理策について、パブリッククラウドの事業者が置かれる情報セキュリティリスク環境と、個人情報の保護に関して適用され得る規制上の要求事項を考慮した実施の手引を示す。
プライバシー原則との対応
管理目的、管理策および実施の手引は、ISO/IEC 29100が示すプライバシー原則に沿って整理される。ISO/IEC 29100は、プライバシーに関する共通の用語、個人情報の処理に関わる関係者とその役割、プライバシー保護上の考慮事項、および情報技術におけるプライバシー原則への参照を定めた規格である。
2025年版での改訂
2025年に発行された第3版は、改訂されたISO/IEC 27002:2022との整合が図られ、実施の手引を拡張した附属書Bが新たに加えられた。分量は第2版の23ページから35ページになった。

経緯

初版のISO/IEC 27018:2014は2014年8月に発行された。正式名称は「Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors」で、分量は23ページである。

InfoWorldは2015年11月、規格への適合がクラウドサービスの契約交渉で確認される事項になりつつあると報じ、適合の前提としてISO/IEC 27001とISO/IEC 27002への適合が必要であること、認証には年ごとの更新が必要であることを挙げた。2016年には、パウル・デ・ヘルト（Paul De Hert）らがこの規格を欧州連合（EU）のデータ保護法制の観点から検討した論文を『Computer Law & Security Review』誌に発表している。日本国内については、打川和男が2017年に、クラウドコンピューティングの利用が増える一方でセキュリティへの懸念が残っており、クラウドサービスの情報セキュリティと個人情報保護に関するISO認証を取得する組織が増えていると述べている。

第2版のISO/IEC 27018:2019は2019年1月15日に発行された（23ページ）。2023年10月に改訂の対象とすることが決まり、2025年8月26日に第3版のISO/IEC 27018:2025が発行された。第3版では正式名称が「Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors」に変更され、第2版は同じ日付で廃止された。

関連する規格

ISO/IEC 27018は、ISO/IEC 27000番台の情報セキュリティに関する規格群に含まれる。このうちISO/IEC 27001はISMSの要求事項を定め、ISO/IEC 27002は情報セキュリティ管理策の実施の手引を示す。クラウドサービスを対象とする規格としてはISO/IEC 27017があり、ISO/IEC 27002が定める管理策の追加の実施の手引と、クラウドサービスに固有の追加の管理策を示している。プライバシー情報マネジメントシステム（PIMS）の要求事項と手引を定めるISO/IEC 27701は2019年に初版が発行され、2025年10月に第2版が発行された。プライバシー原則の基礎となる用語と枠組みはISO/IEC 29100が定めている。

関連項目

脚注

  1. 1 2 3 4 5 6 7 8 9 10 11 12 “ISO/IEC 27018:2025 Information security, cybersecurity and privacy protection — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors” (英語). 国際標準化機構 (2025年8月26日). 2026年9月7日閲覧。
  2. 1 2 3 4 5 6 7 8 9 10 11 12 “ISO/IEC 27018:2019 Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors” (英語). 国際標準化機構 (2019年1月15日). 2026年9月7日閲覧。
  3. 1 2 “ISO/IEC 27018:2014 Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors” (英語). 国際標準化機構. 2026年9月7日閲覧。
  4. 1 2 打川和男 (2017年3月7日). “クラウドセキュリティ規格解説：Microsoft、Google、AWSも取得した「ISO/IEC 27018」とは？”. ＠IT. アイティメディア. 2026年9月7日閲覧。
  5. 1 2 “ISO/IEC 29100:2011 Information technology — Security techniques — Privacy framework” (英語). 国際標準化機構. 2026年9月7日閲覧。
  6. ↑ Gibson, Stan (2015年11月2日). “ISO 27018 compliance: Here's what you need to know” (英語). InfoWorld. 2026年9月7日閲覧。
  7. ↑ de Hert, Paul; Papakonstantinou, Vagelis; Kamara, Irene (2016). “The cloud computing standard ISO/IEC 27018 through the lens of the EU legislation on data protection” (英語). Computer Law & Security Review 32 (1): 16–30. doi:10.1016/j.clsr.2015.12.005.
  8. ↑ “ISO/IEC 27017:2015 Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services” (英語). 国際標準化機構. 2026年9月7日閲覧。
  9. ↑ “ISO/IEC 27701:2025 Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance” (英語). 国際標準化機構. 2026年9月7日閲覧。

外部リンク