4.7 情報セキュリティマネジメントの維持及び改善（是正処置）に関する要件の解説
令和7年8月29日|p.105
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
4.7情報セキュリティマネジメントの維持及び改善[27001-10
4.7.1是正処置[27001-10.2]
4.7.1.1組織は、不適合が発生した場合、不適合の是正のための処置を取る。[27001-10.2]
a)是正処置を取る際は、以下を実施する。
・その不適合を管理し、是正するための処置
・その不適合によって起こった結果への対処
・是正処置を手順どおりに実施するために、以下について文書化する。
-不適合の再発防止を確実にするために選択した処置の必要性の評価
-必要な是正処置の決定
-必要な是正処置の実施
-実施した処置の記録
-実施した是正処置のレビュー
b)不適合は以下の活動によって検出される。
・定期的な情報セキュリティリスクアセスメント
・定期的な情報セキュリティ内部監査
・定期的なマネジメントレビュー
・不適合を手順どおりに検出するために、以下について文書化する。
-情報セキュリティマネジメントに対する不適合の特定
-情報セキュリティマネジメントに対する不適合の原因の決定
なお、単一の活動だけでは判断できない場合もあるので、複合的な結果の考
察から不適合を検出する。
4.7.1.2組織は、不適合が再発又は他のところで発生しないようにするため、その不適合の
原因を除去するための処置を講じる必要性を評価する。[27001-10.2b)]
必要性を評価する際は、以下を実施する。
・その不適合のレビュー
・その不適合の原因の明確化
・類似の不適合の有無、又はそれが発生する可能性の明確化
4.7.1.3組織は、必要な処置を実施する。「27001-10.2c)
4.7.1.4組織は、講じた全ての是正処置の有効性をレビューする。[27001-10.2d)]