比較
ISO 27001とGDPR：プライバシー法のセキュリティ部分
ISO/IEC 27001:2022 · GDPR · データ 2026-10-27
Paul Gillet 別 · 更新日 2026-10-17
GDPRはプライバシー法であり、ISO 27001はセキュリティ規格です。両者が交わるのは、セキュリティ上の義務を定める条文です。具体的には、完全性と機密性（第5条(1)(f)）、データ保護バイデザイン（第25条）、処理者（第28条）、処理の安全性（第32条）、侵害通知（第33条～第34条）、影響評価（第35条）、データ保護責任者（第37条～第39条）が該当します。ControlMappingはこれらの条文のみをマッピングしており、公式な対応表が存在しないため、GDPRへのすべてのリンクは編集によるものです。
ISO 27001からGDPRのセキュリティ条文への対応では、ほぼすべてがカバーされます。ISMSにより、リスクベースのセキュリティ対策、侵害通知につなげられるインシデント管理、処理者に対するサプライヤー管理、文書化された責任分担が得られるためです。例外はデータ保護責任者の地位（第38条）であり、ISOはこれを扱っていません。
GDPRからISO 27001への対応では、附属書Aのほとんどがマッピングされるか緩やかに関連します。ただし、GDPRはマネジメントシステムを要求していないため、ISMSの箇条、物理的セキュリティ、一部の技術的管理策（エンドポイント機器、容量、ログ取得）は「当サイトのデータにはマッピングがありません」と表示されます。また、GDPRは適用範囲外の事項も多く要求しており、たとえば法的根拠、透明性、データ主体の権利がこれに当たります。ISO/IEC 27701は、ISMSをプライバシー管理まで拡張する規格です。
要点
- ISO 27001はGDPR第32条について有力な根拠となりますが、GDPRへの準拠そのものを示すものではありません。
- インシデント対応プロセスに、侵害通知の手順（監督機関への72時間以内の通知）を追加してください。
- プライバシー管理については、ISMSに加えてISO/IEC 27701を確認してください。
GDPR の要件 13 件のうち、12 件は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。
GDPR はプライバシー法であり、ここではセキュリティに関連する条文のみを対応付けています。すべての対応付けは編集上の判断によるものです。
新規対応が必要と見込まれる項目: ISO 27001 へのマッピングがない GDPR の要件 (1)
| GDPR | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには ISO 27001 へのマッピングがありません。 |
マッピング済み (12)
| GDPR | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | 編集 | A.5.14A.8.10A.8.11+3 | 同じトピック： データ保護 (編集部のおすすめ) |
| Art.24 | Responsibility of the controller | 編集 | Clause 6.1.1Clause 6.1.3A.5.37+1 | 同じトピック： リスクマネジメント, ガバナンスポリシー (編集部のおすすめ) |
| Art.25 | Data protection by design and by default | 編集 | A.8.25A.8.26A.8.28+5 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| Art.28 | Processor | 編集 | A.5.19A.5.20A.5.21+2 | 同じトピック： サプライチェーンリスク, ベンダーリスク管理 (編集部のおすすめ) |
| Art.29 | Processing under the authority of the controller or processor | 編集 | A.6.1A.6.4A.8.16 | 同じトピック： 内部脅威 (編集部のおすすめ) |
| Art.30 | Records of processing activities | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| Art.32 | Security of processing | 編集 | A.8.24A.5.16A.5.18+6 | 同じトピック： 暗号化, アクセス制御 (編集部のおすすめ) |
| Art.33 | Notification of a personal data breach to the supervisory authority | 編集 | A.5.5A.5.24A.5.25+2 | 同じトピック： 報告, インシデント対応 (編集部のおすすめ) |
| Art.34 | Communication of a personal data breach to the data subject | 編集 | A.5.5A.5.26A.6.8+2 | 同じトピック： 報告, 連絡と復旧 (編集部のおすすめ) |
| Art.35 | Data protection impact assessment | 編集 | Clause 6.1.2Clause 6.1.3 | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| Art.37 | Designation of the data protection officer | 編集 | A.5.2A.5.4 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| Art.39 | Tasks of the data protection officer | 編集 | A.5.2A.5.4A.6.3+1 | 同じトピック： 役割と責任, 意識向上とトレーニング (編集部のおすすめ) |
ISO/IEC 27001:2022 の要件 123 件のうち、47 件は GDPR の何らかの項目にマッピングされ、47 件は緩やかに関連するのみで、29 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: GDPR へのマッピングがない ISO 27001 の要件 (29)
| ISO 27001 | 要件 | 一致 | GDPR | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.5.35 | Independent review of information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.2 | Physical entry | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.3 | Securing offices, rooms and facilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.5 | Protecting against physical and environmental threats | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.6 | Working in secure areas | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.8 | Equipment siting and protection | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.11 | Supporting utilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.7.12 | Cabling security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.8.6 | Capacity management | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| A.8.15 | Logging | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 4.3 | Determining the scope of the ISMS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 4.4 | Information security management system | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 5.1 | Leadership and commitment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 6.3 | Planning of changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 7.5.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 7.5.2 | Creating and updating | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 7.5.3 | Control of documented information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 8.2 | Information security risk assessment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 8.3 | Information security risk treatment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 9.2.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 9.2.2 | Internal audit programme | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 10.1 | Continual improvement | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
| Clause 10.2 | Nonconformity and corrective action | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには GDPR へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (47)
| ISO 27001 | 要件 | 一致 | GDPR | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | CSF ID.RA-03, ID.RA-05, ID.RA-06 のみを共有: 関連はあるがマッピングではありません | |
| A.5.8 | Information security in project management | Art.30(1) | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | CSF PR.DS-01, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | CSF ID.IM-04, RS.MA-01, RS.MA-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | CSF RS.MA-01, RS.MA-02, RC.CO-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.32 | Intellectual property rights | Art.24(2) | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | CSF GV.RR-04, GV.RR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | CSF GV.PO-01, PR.AA-05, PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | CSF PR.DS-01, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.7.13 | Equipment maintenance | Art.30(1) | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02… のみを共有: 関連はあるがマッピングではありません | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | CSF PR.AA-01, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.9 | Configuration management | Art.28(1) | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | CSF PR.DS-02, PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.21 | Security of network services | Art.28(1) | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.8.23 | Web filtering | Art.28(1) | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.30 | Outsourced development | Art.5(2) | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | CSF PR.PS-06 のみを共有: 関連はあるがマッピングではありません | |
| A.8.32 | Change management | Art.5(2) | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10… のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | CSF GV.RR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | CSF GV.RR-01, GV.RR-02, GV.RR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | CSF GV.SC-01, GV.SC-03, RC.RP-04 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.1 | General | Art.28(1) | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.3 | Management review results | Art.28(1) | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (47)
| ISO 27001 | 要件 | 一致 | GDPR | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | 編集 | Art.24(2) | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| A.5.2 | Information security roles and responsibilities | 編集 | Art.37(1)Art.39(1) | 同じトピック： 役割と責任 (編集部のおすすめ) |
| A.5.4 | Management responsibilities | 編集 | Art.37(1)Art.39(1) | 同じトピック： 役割と責任 (編集部のおすすめ) |
| A.5.5 | Contact with authorities | 編集 | Art.33(1)Art.34(1) | 同じトピック： 報告 (編集部のおすすめ) |
| A.5.9 | Inventory of information and other associated assets | 編集 | Art.30(1) | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.5.11 | Return of assets | 編集 | Art.30(1) | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.5.14 | Information transfer | 編集 | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | 同じトピック： データ保護 (編集部のおすすめ) |
| A.5.15 | Access control | 編集 | Art.25(2)Art.32(1)(b) | 同じトピック： アクセス制御 (編集部のおすすめ) |
| A.5.16 | Identity management | 編集 | Art.25(2)Art.32(1)(b) | 同じトピック： アクセス制御 (編集部のおすすめ) |
| A.5.18 | Access rights | 編集 | Art.25(2)Art.32(1)(b) | 同じトピック： アクセス制御 (編集部のおすすめ) |
| A.5.19 | Information security in supplier relationships | 編集 | Art.28(1)Art.28(3) | 同じトピック： サプライチェーンリスク, ベンダーリスク管理 (編集部のおすすめ) |
| A.5.20 | Addressing information security within supplier agreements | 編集 | Art.28(1)Art.28(3) | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| A.5.21 | Managing information security in the ICT supply chain | 編集 | Art.28(1) | 同じトピック： サプライチェーンリスク (編集部のおすすめ) |
| A.5.22 | Monitoring, review and change management of supplier services | 編集 | Art.28(1)Art.28(3) | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| A.5.23 | Information security for use of cloud services | 編集 | Art.28(1) | 同じトピック： クラウドセキュリティ (編集部のおすすめ) |
| A.5.24 | Information security incident management planning and preparation | 編集 | Art.33(1)Art.33(5) | 同じトピック： インシデント対応 (編集部のおすすめ) |
| A.5.25 | Assessment and decision on information security events | 編集 | Art.33(1)Art.33(5) | 同じトピック： インシデント対応 (編集部のおすすめ) |
| A.5.26 | Response to information security incidents | 編集 | Art.33(1)Art.33(5)Art.34(1) | 同じトピック： インシデント対応, 連絡と復旧 (編集部のおすすめ) |
| A.5.29 | Information security during disruption | 編集 | Art.32(1)(b)Art.32(1)(c) | 同じトピック： 事業継続, 復旧計画 (編集部のおすすめ) |
| A.5.30 | ICT readiness for business continuity | 編集 | Art.32(1)(b)Art.32(1)(c) | 同じトピック： 事業継続, 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 編集 | Art.5(2) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| A.5.36 | Compliance with policies, rules and standards for information security | 編集 | Art.5(2) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| A.5.37 | Documented operating procedures | 編集 | Art.24(2) | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | 編集 | Art.29Art.32(4) | 同じトピック： 内部脅威 (編集部のおすすめ) |
| A.6.3 | Information security awareness, education and training | 編集 | Art.39(1)(b) | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| A.6.4 | Disciplinary process | 編集 | Art.29Art.32(4) | 同じトピック： 内部脅威 (編集部のおすすめ) |
| A.6.8 | Information security event reporting | 編集 | Art.33(1)Art.34(1) | 同じトピック： 報告 (編集部のおすすめ) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | 編集 | Art.30(1) | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | 編集 | Art.25(2)Art.32(1)(b) | 同じトピック： アクセス制御 (編集部のおすすめ) |
| A.8.8 | Management of technical vulnerabilities | 編集 | Art.32(1)(d) | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| A.8.10 | Information deletion | 編集 | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | 同じトピック： データ保護 (編集部のおすすめ) |
| A.8.11 | Data masking | 編集 | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | 同じトピック： データ保護 (編集部のおすすめ) |
| A.8.13 | Information backup | 編集 | Art.32(1)(c) | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| A.8.14 | Redundancy of information processing facilities | 編集 | Art.32(1)(b)Art.32(1)(c) | 同じトピック： 事業継続, ディザスタリカバリ (編集部のおすすめ) |
| A.8.16 | Monitoring activities | 編集 | Art.29Art.32(4) | 同じトピック： 内部脅威 (編集部のおすすめ) |
| A.8.24 | Use of cryptography | 編集 | Art.32(1)(a)Art.34(3)(a) | 同じトピック： 暗号化 (編集部のおすすめ) |
| A.8.25 | Secure development life cycle | 編集 | Art.25(1) | 同じトピック： セキュア開発 (編集部のおすすめ) |
| A.8.26 | Application security requirements | 編集 | Art.25(1) | 同じトピック： セキュア開発 (編集部のおすすめ) |
| A.8.28 | Secure coding | 編集 | Art.25(1) | 同じトピック： セキュア開発 (編集部のおすすめ) |
| A.8.29 | Security testing in development and acceptance | 編集 | Art.25(1) | 同じトピック： セキュア開発 (編集部のおすすめ) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | 編集 | Art.24(2) | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| Clause 6.1.1 | General | 編集 | Art.24(1)Art.32(2) | 同じトピック： リスクマネジメント (編集部のおすすめ) |
| Clause 6.1.2 | Information security risk assessment | 編集 | Art.35(1)Art.35(7) | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| Clause 6.1.3 | Information security risk treatment | 編集 | Art.24(1)Art.32(2)Art.35(1)+1 | 同じトピック： リスクマネジメント, リスクアセスメント (編集部のおすすめ) |
| Clause 7.3 | Awareness | 編集 | Art.39(1)(b) | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| Clause 7.4 | Communication | 編集 | Art.34(1) | 同じトピック： 連絡と復旧 (編集部のおすすめ) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 編集 | Art.5(2) | 同じトピック： コンプライアンス (編集部のおすすめ) |
トピック別
両方でカバー（23）：
ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメント脆弱性管理アクセス制御暗号化データ保護バックアップと復旧セキュア開発クラウドセキュリティインシデント対応報告復旧計画事業継続連絡と復旧ディザスタリカバリ内部脅威ベンダーリスク管理
ISO 27001 のみ（27）:
よくある質問
ISO 27001を取得すればGDPRに準拠できますか？
いいえ。ISO 27001はセキュリティ上の義務、特に第32条を支えるものですが、GDPRは適法な処理、透明性、データ主体の権利などもカバーしています。
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.