JIS Q 27001:2023(ISO/IEC27001:2022)改訂解説6「9.パフォーマンス評価」

「9.1監視、測定、分析及び評価」の変更点

注記だった内容が、本文の要求事項に組み込まれました。この変更では、注記が本文に組み込まれたのみであり、趣旨の変更はありません。

なお、「比較可能で再現可能」は、再現を可能とするために手順や基準を定め、結果を比較可能とするために数値等で算出できるようにすることを意味しております。

また、本項でも「文書化した情報を保持しなければならない」が「文書化した情報を利用可能な状態にしなければならない」に変更されていますが、趣旨は6.2の内容と同じです。

「9.2内部監査」の変更点

箇条9.2のみであった項番でしたが、JIS Q 27001:2023では9.2の前半を「9.2.1 一般」、9.2の後半を「9.2.2 内部監査プロセス」に分割されました。ただし、表現に若干の変更はあるものの、趣旨は同じなので実態上の影響はありません。

なお、本項でも「文書化した情報を保持しなければならない」が「文書化した情報を利用可能な状態にしなければならない」に変更されていますが、趣旨は6.2の内容と同じです。

「9.3 マネジメントレビュー」の変更点

「9.2内部監査」と同じく、JIS Q 27001:2014では9.3のみであった項番が、JIS Q 27001:2023では「9.3.1 一般」「9.3.2 マネジメントレビューのインプット」「9.3.3 マネジメントレビューの結果」に分割されました。

また、「9.3.2マネジメントレビューのインプット」に、新たにc）が追加されました。この追加では、「4.2利害関係者のニーズ及び期待の理解」の結果（利害関係者とそのニーズや期待）の変化をマネジメントレビューのインプット（トップマネジメントへの報告内容）に含めることを要求しています。

なお、この要求事項で分かるようにニーズや期待は変化する前提であるため、利害関係者のニーズや期待は更新し易い様式に特定するほうが望ましいと考えられます（規程上などに直接特定するとニーズや期待の変化を反映する手間が大きくなります）。

なお、本項でも「文書化した情報を保持しなければならない」が「文書化した情報を利用可能な状態にしなければならない」に変更されていますが、趣旨は6.2の内容と同じです。