CONTROL · A.8.28
セキュアコーディング — 27001:2022の新コントロール
A.8.28は、今サイクルで監査人が最初に確認する項目です。直接マッピング：15以上のスタックにわたる言語別セキュアコーディングカリキュラム、OWASP準拠の脆弱性カテゴリーカバレッジ、出席ではなく開発者ごとの能力の実証。
コンプライアンス・ISO/IEC 27001:2022・ANNEX A.8
セキュアコーディングトレーニング、
ISO/IEC 27001 Annex A.8に対応
ISO/IEC 27001:2022は、A.8.28 セキュアコーディングを新しいコントロールとして導入しました。開発者をそれに対してトレーニングし、内部および外部監査人向けに明確に証拠化し、次回のサーベイランス訪問前に27001:2013から27001:2022への移行ギャップを埋めましょう。
15+言語
A.8.28マッピング済み
監査人対応レポート
・ANNEX Aへのマッピング方法・
4つのAnnex Aコントロールを、設計段階からカバー
27001:2022改訂版はAnnex Aを再構築し、セキュアコーディングを明示的なコントロールとして追加しました。当プラットフォームは、汎用LMSに後付けされたものではなく、新しいコントロールセット — A.8.28、A.6.3、A.8.29、A.5.7 — を中心に設計されています。
CONTROL · A.6.3
意識向上、教育、トレーニング
A.6.3はスタッフの意識向上をより広範にカバーし、エンジニアリングチームには信頼性の高い対応のために開発者専用のトラックが必要です。バックエンド、フロントエンド、モバイルエンジニア向けの役割マッピング済みパス — 汎用的なセキュリティ意識向上とは区別 — で、監査可能な記録を伴いそのギャップを埋めます。
CONTROL · A.8.29
開発と受け入れにおけるセキュリティテスト
A.8.29はSDLC内でのセキュリティテストを期待します。トレーニングは、開発者がマージ前に実行すべきこと — SAST、DAST、IASTの統合パターン、依存関係スキャン、検出結果のトリアージ方法 — をカバーし、コントロールが文書化されるだけでなく運用化されます。
CONTROL · A.5.7
カリキュラム内の脅威インテリジェンス
A.5.7は27001:2022で追加された項目で、監査人がまだ証拠化の方法を模索しています。当社の四半期ごとのカリキュラム更新は、新興の脆弱性クラス — ゼロデイパターン、依存関係の混乱、最近のCVE — を追跡し、脅威インテリジェンスを古いスライドではなくトレーニングへの生きた入力にします。
・証拠パッケージ・
監査人がすぐに受け取れるもの
A.8.28レビューに臨む内部監査人または認証機関の評価者は、特定の成果物セットを求めます。当プラットフォームは7つすべてを自動的に、継続的に、ISMS監査人が期待する形式で生成します。
01
開発者ごとのトレーニング履歴
各履歴はA.8.28およびA.6.3コントロールにマッピングされ、タイムスタンプ、スコア、試行履歴付き。サンプリングされた開発者から監査人がたどる正確な学習者ごとの記録。
02
範囲にマッピングされたカリキュラム
ISMSの対象範囲内の言語、フレームワーク、OWASPカテゴリーに紐づけられたカリキュラム記述 — 監査人が検査できる変更履歴付きでバージョン管理されます。
03
能力評価結果
実証された能力に対するスコアリング — 脆弱なコードの分類、修正の作成、仕込まれた欠陥のあるプルリクエストのレビュー — 受講時間ではなく。A.6.3が実際に求める能力の形態です。
04
マージ前セキュリティレビューの証拠
A.8.29のフックに紐づけられたトレーニング成果：マージ前にSAST、DAST、IAST、コードレビューチェックを実行することについてトレーニングされた開発者と、それらの活動に紐づくモジュール修了記録。
05
四半期ごとのカリキュラム更新ログ
脅威インテリジェンス入力（A.5.7）に紐づけられた更新記録 — 新興の脆弱性クラス、依存関係リスク、最近のCVE — 各カリキュラム変更の文書化された理由付き。
06
監査人がエクスポート可能なレポート
コントロール参照をインラインに含むCSVおよびJSONエクスポート — A.8.28、A.6.3、A.8.29、A.5.7 — そのため監査人はLMSの分類体系から翻訳することなくコントロールの整合性を読み取れます。
07
適用宣言書のエントリ
対象範囲内のAnnex Aコントロール向けに、このトレーニングを主要な緩和策として引用するSoA文言と、評価者がサンプリング対象とする証拠参照を含むドロップイン形式で提供。
・27001:2013 → 27001:2022 移行・
A.8.28を重大な不適合にしないでください。
通常、30分間の通話で、貴社のISMSに当社が適しているかどうかが分かります。担当チームにA.8.28の基準を説明し、貴社のスタックとSoAにプログラムをマッピングし、内部および外部監査人がすでに受け入れた証拠パッケージをお見せします。
・よくある質問・
ISO 27001のトレーニングと認証 — よくある質問
ISO 27001認証は誰に必要ですか？
機密性の高い顧客データを扱う、決済を処理する、または規制市場（金融、医療、公共部門、EU CRAの対象範囲）に販売する組織は、通常ISO 27001 ISMSが必要です。認証を取得した組織内のエンジニアリングチームは、企業規模に関わらず、監査人がサンプリング可能なA.8.28セキュアコーディングトレーニングとA.6.3意識向上トレーニングを必要とします。
ISO 27001:2013と2022の間で何が変わりましたか？
2022年の改訂は、Annex Aを114のコントロールから93に再構築し、4つのテーマにグループ化しました — そして11の新しいコントロールを追加しました。A.8.28 セキュアコーディング、A.5.7 脅威インテリジェンス、A.5.23 クラウドサービスのための情報セキュリティが含まれます。27001:2013から27001:2022への移行期限は2025年10月31日なので、ほとんどの組織は現在、新しいコントロールセットに対する最初のサーベイランスサイクルにあります。
ISO 27001セキュリティ意識向上トレーニングは開発者トレーニングとどう違いますか？
A.6.3は一般的なスタッフの意識向上 — フィッシング、パスワード管理、受け入れ可能な使用 — をカバーし、ほとんどの意識向上プラットフォームがすでに提供しています。A.8.28はエンジニアリング固有で、実証されたセキュアコーディング能力を求めます。ISO 27001セキュリティ意識向上トレーニングだけではA.8.28を満たせません。監査人は、役割マッピング済みカリキュラムと学習者ごとの評価証拠を備えた別の開発者トラックを期待します。
このISO 27001トレーニングは認証の取得に役立ちますか？
トレーニング自体は認証ではありません — 認証されるのは貴社のISMSです。しかし、このプラットフォームが生成する開発者ごとの履歴、能力評価結果、カリキュラムからコントロールへのマッピングは、初回認証またはサーベイランス評価でA.8.28とA.6.3を監査する際に、外部認証機関のサンプラーが求める成果物です。