JIS Q 27001:2023(ISO/IEC27001:2022)改訂解説5「8.運用」

「8.1運用の計画策定及び管理」の変更点（１）

趣旨に変化は無く、要求事項（この要求事項は、利害関係者の要求等を含む広い意味での要求事項です）を満たすため、にプロセス（所謂手順などです）を決め、それを実施、管理することを求めています。また、箇条6で定めたプロセス（リスクアセスメントなどの手順）を実施し、管理することを求めています。

変更点としては、JIS Q 27001:2014では箇条6.1、6.2と個別に指定して記述されていた内容が、箇条6という表現に統合された記述になりました。箇条6を包括的に対象とする表現になったということです。それに伴い、6.2の目的達成のための計画が実施するだけでなく、管理対象になったと明記されたということになりますが、実態上6.2で設定する目的は元々管理される前提の要求でしたので、通常追加のタスクは発生しないと思われます。

なお、箇条6に6.3が追加されたので、必然的に6.3も対象となります。

また、文書化に関する要求が「文書化した情報を保持しなければならない」が「文書化した情報を利用可能な状態にしなければならない」に変更されていますが、趣旨は6.2と同じです。

「8.1運用の計画策定及び管理」の変更点（２）

外部委託したプロセスの管理を要求されていたところに、プロセスに加えて「製品」と「サービス」も対象に追加されました。

プロセスだけでなく、製品やサービスも管理の対象であることが明確になりました。したがって、外部委託した業務だけでなく製品を購買した場合はその製品、サービスを利用した場合（例えばコンサルティングサービス等）は、そのサービスの管理が必要となります。