SC 27専門委員会 (情報セキュリティ，サイバーセキュリティ及びプライバシー保護)

委員長 崎村 夏彦((一財)日本情報経済社会推進協会)

 SC 27では，以下のようなセキュリティとプライバシーの両方の側面に対処するための一般的な方法，技術，ガイドライン等，情報とICTの保護のための標準の開発が行われている．

•   セキュリティ要求事項の適切な獲得手法．
•   情報及びICTセキュリティの管理（特に情報セキュリティマネジメントシステム(ISMS)，セキュリティプロセス，セキュリティ管理及びサービス）．
•   暗号およびその他のセキュリティメカニズム（例：情報の説明責任，可用性，完全性，機密性を保護するためのメカニズム）．
•   セキュリティ管理を支援する文書（例：用語，ガイドライン，及びセキュリティコンポーネントの登録のための手順を含む）．
•   ID 管理，バイオメトリクス，プライバシーのセキュリティの側面
•   情報セキュリティマネジメントシステム分野における適合性評価，認定及び監査の要求事項
•   セキュリティ評価基準及び方法論

SC 27 では，関連分野における SC 27 規格及び技術報告書の適切な開発及び適用を確実にするために，適切な機関との積極的な連絡及び協力を行っている．

本標準化活動は，1981年に暗号の標準化審議から始まり，その後対象を年々広げ，現在以下6つのWGに分かれて標準化が行われている．

• SC 27/WG 1（情報セキュリティマネジメントシステム）
• SC 27/WG 2（暗号とセキュリティメカニズム）
• SC 27/WG 3（セキュリティの評価・試験・仕様）
• SC 27/WG 4 （セキュリティコントロールとサービス）
• SC 27/WG 5（アイデンティティ管理とプライバシー技術）
• SC27/JWG7 (サイバーセキュリティ試験とバイオメトリクスの評価) ．

SC27は現在55の参加メンバー国と37のオブザーバーメンバー国で構成されている．これまでに253の国際規格を発行，現在71の規格を開発中である．

• SC27
4回の会議をハイブリッド形式で行った．参加者は委員長，幹事，各WG主査等15人前後．主な議題としては国際会議に向けた情報共有及び報告である．その他，投票案件のメール審議は随時行っている．

• 第1回　2025年4月19日　15:00～17:00
• 第2回　2025年9月1日　15:00～17:00
• 第3回　2025年11月07日　15:00～17:00
• 第4回　2026年2月12日　15:00～17:00

• SC 27/WG 1小委員会
WG1小委員会では4回の会議を開催し，参加者は北原主査，幹事を含め10～12人ほどである．

• 第1回　2025年5月9日　15:00～17:00
• 第2回　2025年8月22日　15:00～17:00
• 第3回　2025年11月19日　15:00～17:00
• 第4回　2026年2月20日　15:00～17:00

• SC 27/WG 2小委員会
WG2小委員会は年6回開催しており，主に年2回の国際会合に対応して，各国際会合の前に2回，終了後に1回実施している．参加者は永井主査や幹事を含む17～22名程度．小委員会は，いずれも対面会場とオンラインを併用したハイブリッド形式で実施した．

• 第1回　2025年4月3日　15:00～17:00
• 第2回　2025年7月3日　15:00～17:30
• 第3回　2025年8月26日　15:00～17:30
• 第4回　2025年10月16日　15:00～16:30
• 第5回　2026年1月13日　15:00～16:00
• 第6回　2026年2月10日　15:00～17:00

• SC 27/WG 3小委員会
　 WG3小委員会ではWG3会議の報告書を作成し共有し，委員からの要望があった場合には小委員会を開催していますが，本年度の開催はありませんでした．

• SC 27/WG 4小委員会
WG 4小委員会の会議をオンライン形式で4回開催した．参加者は主査，幹事を含む6～7名前後，議題は策定を進めている各ドラフトの検討，国際会議の準備及び結果報告等である．

• 第1回　2025年6月26日（木）10:00～11:40
• 第2回　2025年8月27日（水）10:00～12:00
• 第3回　2025年10月14日（水）10:00～12:00
• 第4回　2026年2月18日（水）13:00～15:00

また，プロジェクトごとの投票・コメント案件について，メールによる審議を随時行っている．

• SC27/ WG5　小委員会
WG5小委員会では3回の会議開催した．参加者は大熊主査を含む8～9名程度．

• 第1回　2025年8月20日（水）13:00～14:00　
• 第2回　2025年12月2日（水）8:00～9:00
• 第3回　2026年3月3日 （火）9:30～10:30

　
 

(1) 日本からの役職引き受け状況
• WG 2コンビーナ：吉田博隆（産業技術総合研究所）
• WG 2副コンビーナ：近澤武（(独)情報処理推進機構）
• WG 3副コンビーナ，JWG7副コンビーナ：甲斐成樹（(独)情報処理推進機構）
• Liaison: • Editor:


(2) トピックス
a) WG1 Information security management systems関連
2025年度中，SC27 WG1においては，下記1件の国際規格が発行された．
ISO/IEC TS 27103:2026 Cybersecurity -- Guidance on using ISO and IEC standards in a cybersecurity framework
以下を含む主要な規格が開発，改定作業中であり，日本としては引き続き情報セキュリティマネジメントシステム関連の国際規格開発に貢献していきたいと考えている．

•  ISO/IEC CD 27003.2 - Information security management systems — Guidance
•  ISO/IEC CD 27007 -Guidelines for information security management systems auditing
•  ISO/IEC FDIS 27017 - Information security controls based on ISO/IEC 27002 for cloud services
•  ISO/IEC DIS 27028.2 - Guidance on using information security control attributes
•  ISO/IEC WD 27102 Guidelines for applying ISO/IEC 27001 and related standards in support of cyber insurance

b) WG2 Cryptography and security mechanisms関連
2025年度中，SC27 WG2においては，下記3件の国際規格が発行された．

• ISO/IEC 11770-3:2021/Amd1:2025　Information security — Key management — Part 3: Mechanisms using asymmetric techniques — Amendment 1: TFNS identity-based key agreement
• ISO/IEC 18014-1:2008/Amd 1:2025　Information technology — Security techniques — Time-stamping services — Part 1: Framework — Amendment 1
• ISO/IEC 29192-1:2012/Amd 1:2025　Information technology — Security techniques — Lightweight cryptography — Part 1: General — Amendment 1

現在，規格化作業において日本が係わっている以下の案件については，これまでと同様に，規格開発の推進を図っていく方針である．

• ISO/IEC 11770-4 REV （Key management， Part 4: Mechanisms based on weak secrets）
• ISO/IEC 18033-7 AMD 1（Encryption algorithms，Part 7: Tweakable block ciphers）
• ISO/IEC 20009-4 AMD 1（Anonymous entity authentication，Part 4: Mechanisms based on weak secrets）
• ISO/IEC 29192-4 AMD 2（Lightweight cryptography，Part 4: Mechanisms using asymmetric techniques）
• ISO/IEC 29192-8 AMD 1（Lightweight cryptography，Part 8: Authenticated encryption）

c) WG3 Security evaluation，testing and specification関連
2025年度中，SC27 WG3においては，下記9件の国際規格が発行された．

• ISO/IEC 15408-1　 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 1: Introduction and general model
•  ISO/IEC 15408-2　 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 2: Security functional components
•  ISO/IEC 15408-3　 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 3: Security assurance components
•  ISO/IEC 15408-4　 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 4: Framework for the specification of evaluation methods and activities
•  ISO/IEC 15408-5　 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 5: Pre-defined packages of security requirements
•  ISO/IEC 18045 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Methodology for IT security evaluation
•  ISO/IEC 19896-1 Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 1: Introduction, concepts and general requirements
•  ISO/IEC 19896-2 Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 2: Knowledge and skills requirements for ISO/IEC 19790 testers and validators
•  ISO/IEC 19896-3 Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 3: Knowledge and skills requirements for ISO/IEC 15408 evaluators and certifiers

ISO/IEC 15408/18045は別名CC/CEMとも呼ばれ，IT製品の第三者セキュリティ評価の枠組みを定めた国際規格だが改訂作業が終了し，26年5月に発行された．

ISO/IEC 19896はISO/IEC 15408やISO/IEC 19790に基づく評価・認証に携わる関係各社の能力要件を定めた国際規格であり，26年1月に発行された．

日本国内でも15408を認証基準とする適合性評価活動が行われているため，認証機関を中心とした関係各位と引き続き連携していく．

AIのセキュリティ評価規格25959に関しては，日本がプロジェクトエディタを務め主導している．今後，この規格をベースにした新規提案も見込まれる予定で，その活動に積極的に関与していく．

脆弱性の開示・取扱いに関わる規格30111に関しても，日本がプロジェクトエディタを務めドラフト開発を主導している．また，前回日本が中心的な役割を担った20897の改訂も開始された．


d) WG4 Security controls and services関連

•  ISO/IEC 27404が2025年10月に出版された．消費者向けIoT機器の普及を受けて，当該機器の技術的実装及び運用についてセキュリティ評価をラベル付けによって示す制度を各国で整備している．本規格は，各国における制度の設計に対する指針となり，また，国ごとの制度の間で相互運用性を確保するための参照資料となる．日本では，経済産業省のもとで制定された「IoT製品に対するセキュリティ適合性評価制度」（JC-STAR）を，2025年3月から情報処理推進機構（IPA）が運用している．本制度の概要が，ISO/IEC 27404の附属書に各国事例の一つとして記載されている．
•  ISO/IEC TS 5689は，経済産業省のもとで策定した「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」を基礎に，日本からの提案により開始したプロジェクトである．日本のエキスパートがエディタ及びコエディタを担当している． DTS (Draft Technical Specification)への移行に向けた準備の中で，OT（運用技術）に関連するコメントがあり，その後，数度のエディティング会議を繰り返し，2026年6月の会議でDTSへの移行が正式に決定され，現在エディタによるDTSテキストの策定を実施しているところである．
•  人工知能（AI）に関する一般的な標準化は，ISO/IEC JTC 1では，SC 42において進められている．ISO/IEC 27090は，SC 42で策定したAI関連規格群を前提として，SC27/WG4において開発している規格で，AIシステムに特有のセキュリティ上の脅威がライフサイクル全体を通じて及ぼす影響をより深く理解するための情報，及びそのような脅威を検知・軽減する方法に関する情報を組織に対し提供するものである．AIが急速に発展する状況において，本規格は，最新の知見及び研究成果も取り込みながら検討を進めている．

e) WG5 Identity management and privacy technologies関連
2025年度中，SC27 WG5においては，下記8件の国際規格，1件の技術仕様書が発行された．

• ISO/IEC 24760-1　A framework for identity management—Part 1: Core concepts and terminology
• ISO/IEC 24760-2　 A framework for identity management—Part 2: Reference architecture and requirements
• ISO/IEC 24760-3　　A framework for identity management—Part 3: Practice
• ISO/IEC 27018　Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors
• ISO/IEC 27553-2　Security and privacy requirements for authentication using biometrics on mobile devices－Part 2: Remote modes
• ISO/IEC TS 27564　Guidance on the use of models for privacy engineering
• ISO/IEC 27566-1　Age assurance systems－Part 1: Framework
• ISO/IEC 27701　Privacy information management systems－Requirements and guidance
• ISO/IEC 27706　Requirements for bodies providing audit and certification of privacy information management systems

ISO/IEC 27553（モバイル端末における生体認証のためのセキュリティとプライバシー要件 Part 2 リモートモード）は生体データが端末と遠隔サービス間で伝送される「リモートモード」を対象に，日本から山田 朝彦（産業技術総合研究所）がCo-editorを務め発行された．

ISO/IEC 27706（PIMSの審査・認証機関への要求事項）はISO/IEC 27701 に基づく PIMS の審査・認証を行う機関に対する要求事項と指針を規定し，日本から畔津（日本情報経済社会推進協会）がCo-editorを務め発行された．

ISO/IEC 27566-1（年齢保証システム Part 1 フレームワーク）は年齢保証システムが25年12月に発行された．ITU-Tとも連携した規格開発が進められ，続くPart 2およびPart 3は仕様策定中であり，この後数年以内にすべてが発行される見込みである．

ISO/IEC 27018はパブリッククラウドサービスを提供する組織がPII 処理者としてPIIを保護するための管理目的・管理策・指針を定める．ほか，ISO/IEC 24760（アイデンティティマネジメントの枠組み Part 1~3），ISO/IEC TS 27564（プライバシーエンジニアリングのためのモデル活用指針），ISO/IEC 27701（プライバシー情報マネジメントシステム）が発行されている．

日本国内でも27701を認証基準とする適合性評価活動が行われているため，認証機関を中心とした関係各位と引き続き連携していく．

また，AIプライバシー・デジタルIDウォレット・メタバース・デジタルツインといった新興技術におけるプライバシー分野の規格策定が進められている．

26年3月にドイツ・ニュルンベルクで行われた会合には3名が現地参加し，ほかアドホック会議を含めリモートから多く参加している．規格開発においては現地での参加は欠かせず，また日本では夜間にあたる会合もある．各派遣元組織の理解と協力に感謝するとともに，今後も各規格開発へ積極的に関与していく．


(3) 国際会議での貢献
WG1
WG2

WG 4

a) WG1関連
WG1では，ISO/IEC 27000が改定作業中であるが，改定版では用語の定義が削除される見込みである．ISO/IEC 27000:2018 の用語及び定義を引用している文書は，それぞれの中に必要な用語及び定義を追加する等の対処が必要となるが，ISO/IEC 27001 を含む多数の文書で必要な対処が進められていない．この点については継続的に注視していきたい．

b) WG2関連
WG2では，PQC，完全準同型暗号，秘密計算，Oblivious Transfer，属性ベースクレデンシャル，軽量暗号及び実装攻撃対策など，専門性の異なる多数の案件が同時に進行している．このため，国内担当者及びエキスパートの継続的な確保，規格案を横断してレビューする体制の維持が課題である．加えて，OSDへの変換に伴う数式・タイトル等の不具合への対応，OID維持管理の後継体制についても整理を進める必要がある．

c) WG3関連
AIセキュリティ評価の必要性は，欧州AI Actなどの影響もあり高まっているが，一般的なソフト・ハードを想定した15408の評価は，AIモデル評価においてその全てが適用できず，新たな評価手法を導入する必要がある．しかしながら，膨大なモデルパラメタをトレーニングで最適化するAIモデルに対する最適な評価手法の検討は未だ始まったばかりであり，規格の完成までには今後の多大な議論，労力が要求されるものと思われる．

d) WG4関連
近年，WG4で扱っているテーマの粒度がばらばらで，その範囲も一般的なものから個々のサービスまでと多岐にわたっている．このように，WG4では広範囲にわたる粒度の異なるテーマを扱っているため，個々のプロジェクトにそれぞれの専門性を持つ国際エキスパートを十分に配置できていない．さらに，提案される新規検討項目については，実際に国際標準を開発することが望ましいプロジェクトを厳選する必要がある．
国内委員会も人的リソースが限られているため，今後も，多くのプロジェクトの中から重要なプロジェクトを選んで対応していく．

e) WG5関連
WG5は近年，Artificial IntelligenceやBrain Computer Interface，Metaverseなど，非常に幅広いテーマを扱っており，これらの新技術における最適なPIIライフサイクルの融合を図ることの難しさに直面している．

a) WG1関連
ISO/IEC 27000及びISO/IEC 27017が改定版として出版に至る見込みである．
このうちISO/IEC 27017については，ISO/IEC 27002に基づくクラウドサービス固有の情報セキュリティ管理策を規定した国際標準であるとともに，
日本国内においては「ISMSクラウドセキュリティ認証」の認証基準として，クラウドサービスの提供者や利用者に幅広く利用されている規格である．

b) WG2関連
次の規格が現在、発行準備段階にあり，2026年度に発行される予定である．
• ISO/IEC 18033-2:2006/Amd 2:2026　Information technology — Security techniques — Encryption algorithms — Part 2: Asymmetric ciphers — Amendment 2（2026年6月に発行された）
• ISO/IEC 20009-4:2017/Amd 1　Information technology — Security techniques — Anonymous entity authentication — Part 4: Mechanisms based on weak secrets — Amendment 1
• ISO/IEC 11770-8　Information security — Key management — Part 8: Password-based key derivation
• ISO/IEC 14888-3:2018/Amd 1　IT Security techniques — Digital signatures with appendix — Part 3: Discrete logarithm based mechanisms — Amendment 1
• ISO/IEC 28033-3　Information security — Fully homomorphic encryption — Part 3: Mechanisms for arithmetic on approximate numbers
• ISO/IEC 28033-4　Information Security — Fully homomorphic encryption — Part 4: Mechanisms for arithmetic based on look-up table evaluation

c) WG3関連
ISO/IEC TR 22216、ISO/IEC 29128-2及びISO/IEC 29128-３が2026年度に出版に至る見込みである．

d) WG4関連
ISO/IEC TS 5689及びISO/IEC 27090が出版に至る見込みである．
WG 4の初期の成果の一つに，ネットワークセキュリティを扱うISO/IEC 27033シリーズがある．このシリーズを構成する各部は，主に2010年代前半に出版された．また，アプリケーションセキュリティを扱うISO/IEC 27034シリーズも，2010年代に各部が順次出版された．WG 4では既にこれらのシリーズの今後についての検討に着手しているが，2026年度には今後の方針を明らかにすることが求められる．
国内委員会では，引き続き重要なプロジェクトに集中して対応していく．

e) WG5関連
次の規格が現在、発行準備段階にあり，2026年度に発行される予定である．
・ ISO/IEC 29151 :2026 Information security, cybersecurity and privacy protection —Controls, requirements, and guidance for personally identifiable information protection
・ ISO/IEC 27091 Cybersecurity and privacy—Artificial Intelligence－Privacy protection
・ ISO/IEC 27555 Information security, cybersecurity and privacy protection —Guidelines on personally identifiable information deletion
・ ISO/IEC 10267 Information technologyーData usageーMethods to quantify the amount of personal information in a dataset

国際会議開催予定
・2026年10月7日～8日 SC27総会(Zoom)
・2026年9月29日～10月1日WG1会合（Zoom）
・2026年9月8日～11日WG2会合（ベルギー・ルーヴェン）
・2026年9月14日～18日 WG3会合（Zoom）
・2026年9月23日～10月2日 WG4会合（Zoom）
・2026年9月28日～10月2日WG5会合（リトアニア・カウナス）