１．ISMS適用宣言書とは

ISMS適用宣言書とは、
組織の管理するセキュリティの目的とその管理策が明示された文書
です。

ISMS（ISO27001）では、情報の取り扱いルールを決めたりリスク評価をしたりして継続的改善を行いますが、
情報の取り扱いルールを決めるときに何か指標がないと、担当者も悩みます。

その指標として、適用宣言書では93個の管理策を定める必要があります。
自社の状況を把握し、適用・適用外を決定し、適用した管理策に対してはセキュリティルールを決め、問題がないかチェックする役割もあります。

２．ISMS適用宣言書の重要性とは

ISMS適用宣言書を作成することは非常に重要です。
なぜなら、適用宣言書はISO27001の規格要求事項に含まれていることに限らず、情報セキュリティに対する取り組みを外部の関係者に示す手段、また組織が行っていくセキュリティ対策を明確にしていくためのものだからです。

また、適用宣言書は審査の必須文書でもあるため、作成しなければなりません。

３．適用宣言書の作り方　３ステップ

難しく思われがちな適用宣言書ですが、下記の３ステップで作るとシンプルで分かりやすいでしょう。

■ステップ１・・・『管理策の大枠を理解する』

まずはじめに、管理策の大枠を理解していきましょう。

管理策において、これまでは14あった管理策グループが、2022年度版で4つのグループにまとめられました。
項目数は合計９３個あります。
まずは、4つの管理策グループの概要を理解していく必要があります。

　⑴組織的な管理策　・・・37項目
　⑵人的な管理策　　・・・8項目
　⑶物理的な管理策　・・・14項目
　⑷技術的な管理策　・・・34項目

■ステップ２・・・『業務内容から適用する管理策を選定する』

９３項目全ての項目を適用する必要はありません。
自社の業務内容を鑑み、管理策の選定を行います。

例えば、⑥暗号や⑩システム開発保守は該当しないケースもあります。

該当しない場合は適用除外にしましょう。
一般的な企業ですと、８５～９３項目程度が適用になり、数個が適用除外となることが多いです。

いきなりセキュリティルールを考えるのではなく、果たしてそのルール作成は必要なのか、
業務とは直接関わらないが間接的に関わり管理する必要があるなど、管理策については現状業務内容と合わせて考える必要があります。

■ステップ３・・・『管理策内容を具体的に作成する』

必要な管理策が明確になったら、自社で現状やっているルールを明確にしてきましょう。

難しく考えなくても、すでにやっていることも多いはずなのでご安心ください。
チェックリストの感覚で、ルールが定まっていない管理策があれば決めていきましょう。

例えば、③人的資源で、雇用前のルールを決める必要がありますが、
すでに、雇用契約書や秘密保持誓約書、支給品の同意書等を締結している企業も多いと思います。
その場合、まずそれを貴社のルールとして決めていきましょう。

また、退職する際のルールが曖昧な企業も多いです。
退職者のアカウント削除、貸与物の管理、などは漏洩事故の可能性も大きく審査の際に審査員が注目するポイントでもありますので、いまルールがなければ、新たに決めることを推奨します。

⑤アクセス制御についてもルールが決まっていないケースが多くあります。
共有フォルダを使っているが、誰でもアクセスできる状態になっていることもあります。
そのような場合はISMS（ISO27001）認証取得をきっかけに、適切なアクセス権付与をすることをおすすめします。

４．ISMS適用宣言書の作成例

一例として、適用宣言書のサンプルを紹介します。

適用宣言書　 ISO27001:2022
適用欄(適用=〇、 適用除外=x、 管理策を実施していない=△)

各項目について、左から順に、〈管理策〉〈適用欄〉〈実施〉〈管理策を含めた理由〉〈関連文書〉という項目で構成します。

また、ここでポイントとなるのが〈適用欄〉〈実施〉の項目です。
“適用はしているけれど実施はしていない”という場合もあるので、どれが自社で当てはまっているか確認をしましょう。

そして、適用宣言書は2022年度版に変更することが必要です。
変更点としては114項目の管理策が、全93項目に削減されています。
・58項目 更新
・24項目 統合
・11項目 新規

「変更点や対策が具体的に分からない・・・」とお悩みの方へ。
管理策のどの項番がどう変わったのか、「ISO27001 管理策新旧対応表」というプレゼント資料に詳しくまとめています。
下記からお気軽にお問い合わせください。

５．審査で見られるポイントはここ！

審査のときに審査員が見るのは、実は、適用した管理策ではありません。
適用除外にした管理策が何かを見られます。

ISMS（ISO27001）では原則として、できるだけ管理策を適用することが望ましいと言われているので、
適用除外にした管理策が本当に除外していいものなのか、対象になる業務はないのかを確認したいのです。

６．よくある適用宣言書のミス

よくあるミスは、適用除外にできない項目を適用除外としてしまっているケースです。

例えば、「３．適用宣言書の作り方　■ステップ１の管理策　⑼通信のセキュリティ」で、インターネットを活用し、メール等を使っていない企業はほぼいないと思いますので、この場合には適用除外できません。

管理策をやりたくないという発想で除外にするのは、審査時にも、適用にすべきと指摘されることが多いですので注意してください。

まとめ

ISMS（ISO27001）の適用宣言書は、自社の状況と比較して、適用・適用外を決定し、
適用した管理策に対してはセキュリティルールを決め、問題がないかチェックする役割があります。

ISMSの適用宣言書には管理策グループが4個あり、93個の管理策が決められております。

適用宣言書の作り方は、
①管理策の大枠を理解する
②業務内容から適用する管理策を選定する
③管理策内容を具体的に作成する
の３つのステップで作成できます。

適用宣言書を作ることを目的にするのではなく、あくまでもチェックリスト代わりに適用宣言書を使って自社でルールが甘いところや定められていないところがないかの洗い出しをしてみましょう。
管理策を確認するだけやルールを定めるだけではなく、そのルールを運用していくことに意味があります。
定められたルール通りに運用を行いましょう。

　

ISO・Pマークについてのお悩みはありませんか？

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ

• ZOOM相談予約

　

ISO・Pマークについてのお悩みはありませんか?

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• ZOOM相談予約