ISO 27001、SOC 2、HIPAA に対応する単一のリスクアセスメント

ISO 27001、SOC 2、HIPAA はいずれもリスクアセスメントを出発点とします。3 人の監査人すべてに答えられるよう設計されていれば、必要なのは 1 つだけです。

本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。

リスクアセスメントは、代表的な 3 つのフレームワークが出発点とする領域です。ISO 27001 はすべてをこの評価の上に構築しています（箇条 6.1.2）。SOC 2 は共通規準の中に専用のセクションを設けています（CC3.1〜CC3.4）。HIPAA セキュリティ規則は、リスク分析を最初に求められる実装仕様としています（§164.308(a)(1)(ii)(A)）。また HHS の調査官が最初に要求する文書でもあります。多くの組織は 3 つを別々に実施していますが、1 つで十分です。

各フレームワークの確認事項

ISO 27001 は、定義され反復可能な方法、受容基準、機密性・完全性・可用性に関するリスクの特定、所有者、発生可能性と影響度の分析、そしてリスク対応および適用宣言書（Statement of Applicability）との紐付けを求めます。
SOC 2 は、リスクを特定できる程度に明確に定められた目標（CC3.1）、組織全体にわたるリスクの特定と分析（CC3.2）、不正リスクの考慮（CC3.3）、そして変更の評価（CC3.4）を求めます。
HIPAA は、ePHI が作成、受領、保守、送信されるあらゆる場所を対象に、ePHI に対するリスクと脆弱性の正確かつ網羅的な評価を求めています。評価は最新の状態に保たれ、リスク管理につなげる必要があります（§164.308(a)(1)(ii)(B)）。

当サイトのデータでは、これらの要件は次のように直接対応しています：

フレームワーク	リスクアセスメント	リンク
NIST CSF 2.0	ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06	トピックの定義
ISO 27001	Clause 6.1.2 Clause 6.1.3	対応表
CIS v8.1	—	当サイトのデータにはマッピングがありません
SOC 2	CC3.2 CC3.4 CC3.3	編集
PCI DSS	12.3.1	対応表
CMMC	RA.L2-3.11.1	対応表
800-53	RA-3 RA-7	対応表
HIPAA	§164.308(a)(1)(ii)(A)	対応表
GDPR	Art.35(1)Art.35(7)	編集
NIS2	2.1	対応表
Essential Eight	—	当サイトのデータにはマッピングがありません

各リンクの詳細と根拠：リスクアセスメントのフレームワーク横断 →

3 つすべてに対応する単一のアセスメントの設計

すべてを対象とする範囲を設定する：ISMS の適用範囲、SOC 2 のシステム、ePHI のすべての保管場所を含めます。どの資産がどのフレームワークの対象かを記録してください。
1 つの方法を用いる：資産ベースまたはシナリオベースとし、発生可能性と影響度の尺度、受容基準、所有者を定めます。文書化され反復可能な方法という ISO の要件が最も厳格なので、それを満たすようにしてください。
フレームワーク固有の観点を追加する：不正リスク（SOC 2 CC3.3）、ePHI 固有の脅威と脆弱性（HIPAA）、法的・契約上のリスク。
すべてのリスクを対応策に紐付ける：選定した管理策、残留リスク、リスク所有者による受容。この 1 つの表が、ISO の適用宣言書、SOC 2 の管理活動、HIPAA のリスク管理に反映されます。

3 脚の椅子が小さなテーブルを囲み、白紙 1 枚、ペン 3 本、コーヒーカップ 3 つが置かれた写真 — このテーブルには、セキュリティチームだけでなく、リスク所有者も着席すべきです。

3 人の監査人すべてを満たすアウトプット

承認された方法。
所有者、スコア、対応方針を含むリスク登録簿。
期限を含むリスク対応計画。
残留リスクに対するリスク所有者の受容記録。
少なくとも年 1 回、および重大な変更後に実施したレビューの証跡。

シンプルなリスク登録簿の書式

1 行に 1 つのリスクとすると、3 つのフレームワークすべてに対応できます：

項目	記入例
リスク	ランサムウェアが本番データベースを暗号化する
資産	本番データベース、バックアップ、ePHI ストア
フレームワーク	ISO 27001、SOC 2、HIPAA
発生可能性と影響度	起こり得る、重大
既存の管理策	MFA、EDR、夜間バックアップ
対応	バックアップを隔離する。リストアを四半期ごとにテストする
所有者	インフラ責任者
残留リスクと受容	中、CTO が受容
レビュー日	次四半期

「フレームワーク」列がポイントです。この列があれば、表計算ファイルを 3 つ用意しなくても、1 つの登録簿で 3 人の監査人に答えられます。

要点

1 つの方法と 1 つの登録簿で、ISO 27001、SOC 2、HIPAA の要件を満たせます。
フレームワーク固有の観点を追加してください：不正リスクと ePHI の保管場所。
少なくとも年 1 回、および重大な変更後にレビューしてください。

よくある指摘事項

汎用的なリスク（「ハッカー」「情報漏えい」など）が、具体的な資産や管理策と結び付いていない。
所有者が不在、またはセキュリティチームがすべてのリスクを所有している。
ePHI の保管場所の見落とし：エクスポートデータ、バックアップ、メール、テスト環境。
情報が古い：初回監査のために一度評価したきり、再評価されていない。

これらのフレームワークの関係について詳しくは、ISO 27001 と HIPAA の比較およびリスクアセスメントのトピックをご覧ください。ギャップ分析では、任意の 2 つの間のすべてのマッピングを確認できます。

よくある質問

HIPAA のリスク分析は、ISO 27001 のリスクアセスメントと同じものですか？

両者は大きく重なります。HIPAA は ePHI の機密性、完全性、可用性に対するリスクの正確かつ網羅的な評価を求めており、ePHI を対象範囲に含め、HIPAA 固有の要素を記録した ISO 27001 のリスクアセスメントは、両方の要件に対応できます。

リスクアセスメントはどの程度の頻度で実施する必要がありますか？

ISO 27001 では、計画された間隔で、また重大な変更後にリスクアセスメントを実施することが求められます。SOC 2 の監査人は通常、少なくとも年 1 回のリスクアセスメントを期待します。HIPAA では、リスク分析を最新の状態に保つことが求められます。

リスクアセスメントは定性的と定量的のどちらにすべきですか？

3 つのフレームワークのいずれにも、どちらの方法でも対応できます。ただし、方法が定義され、一貫して適用され、比較可能な結果が得られることが条件です。多くの組織は定性的に始め、判断に数値が必要な箇所で数値を加えています。

データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。対応表公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。