ISO27001の管理策とは？附属書Aの考え方・運用例を他社事例を交えてわかりやすく解説

ISO27001の管理策とは？

ISO27001の管理策とは、情報セキュリティリスクを下げるために組織が実施する具体的な対策のことです。
情報資産を洗い出し、リスクアセスメントでリスクを評価したあと、そのリスクに対して何をするのかを決める段階で管理策が必要になります。

たとえば、顧客情報の漏えいリスクが高いと評価された場合、アクセス権限を限定する、ファイル共有ルールを作る、メール送信前の確認を行う、従業員教育を実施する、ログを確認するなどの管理策が考えられます。
サーバー停止のリスクが高い場合は、バックアップ、復旧手順、監視、代替手段などが管理策になります。

初心者向けにいうと、管理策は、リスクアセスメントで見つけたリスクに対して、自社が実際に行う対策です。
附属書Aは、その対策を考えるための標準的な候補リストとして使います。

イソログに寄せられたISO27001管理策・附属書Aのリアルな声

ISO27001の管理策や附属書Aでは、初めて担当する方ほど、一覧の多さや言葉の抽象度に戸惑いやすくなります。
附属書Aの管理策を全部実施しなければならないと思ってしまう、リスクアセスメント結果と管理策のつなげ方が分からない、適用宣言書の理由欄が書けないといった相談は珍しくありません。

また、管理策を決めたあとも、実際に社内で誰が何をするのか、どの記録を残すのか、現場が守れるルールになっているのかでつまずくことがあります。
規格文言をそのまま規程に写しても、日常業務に落ちていなければ審査でも説明しにくくなります。

ここでは、イソログに寄せられる相談の傾向をもとに、ISO27001の管理策・附属書Aで初心者担当者が迷いやすい状況を整理します。

イソログに寄せられる相談でも、管理策や附属書Aでは同じような悩みが多くあります。

ISO27001の附属書Aとは？

ISO27001の附属書Aとは、情報セキュリティリスクに対応するための管理策を整理した一覧です。
アクセス制御、情報セキュリティ教育、委託先管理、クラウドサービスの利用、バックアップ、ログ監視、物理的セキュリティなど、組織が検討すべき対策が体系的にまとめられています。

ただし、附属書Aは、すべての会社がすべての項目を同じように実施するための強制リストではありません。
自社の情報資産、リスクアセスメント結果、法規制、取引先要求、業務範囲を踏まえて、必要な管理策を選びます。
選ばない管理策がある場合も、業務上該当しない、リスクがない、別の管理策で十分に対応しているなど、合理的な理由を説明できる必要があります。

初心者担当者は、附属書Aを『何を全部やるか』ではなく、『リスク対応に漏れがないかを確認する管理策カタログ』として見ると理解しやすくなります。

2022年版の附属書A：4分類93項目の全体像

ISO27001の附属書Aは、2022年版で4分類93項目に整理されています。
旧版では項目数や分類が異なっていましたが、2022年版では、組織的管理策、人的管理策、物理的管理策、技術的管理策という4つの分類で考える形になりました。

組織的管理策は、方針、役割、情報資産、委託先、クラウドサービス、インシデント管理など、会社全体のルールや管理体制に関する項目です。
人的管理策は、従業員の雇用前、在職中、退職・異動時の情報セキュリティに関する項目です。
物理的管理策は、オフィス、設備、媒体、紙文書、入退室などの物理的な対策です。
技術的管理策は、アクセス制御、認証、ログ、脆弱性、バックアップ、マルウェア対策など、ITやシステムに関する対策です。

93項目を暗記する必要はありません。
重要なのは、自社のリスクに関係する管理策を重点的に読み、必要な対策を現場で運用できる形に変えることです。

管理策はどう選ぶ？リスクアセスメント結果とのつなげ方

管理策は、附属書Aの上から順番に選ぶものではありません。
まず情報資産を洗い出し、リスクアセスメントで脅威や脆弱性を評価し、対応が必要なリスクを決めます。
そのうえで、そのリスクを下げるためにどの管理策が必要かを検討します。

たとえば、退職者のアカウントが残るリスクが高い場合は、人的管理策の退職・異動時の対応や、技術的管理策のアクセス権管理が関係します。
クラウドストレージの誤共有リスクが高い場合は、クラウドサービス利用、アクセス制御、ログ確認、教育など複数の管理策が関係します。

管理策を選ばない場合も、理由が必要です。
『現在実施していないから不適用』ではなく、『適用範囲内で該当する業務がない』『自社で物理的サーバーを保有していない』『別の管理策でリスクに対応している』など、リスクと業務実態に基づいて説明できるようにします。

適用宣言書（SoA）とは？

適用宣言書、SoAとは、附属書Aの管理策について、自社がどの管理策を適用し、どの管理策を不適用とするのか、その理由と実施状況を整理した文書です。
ISO27001の管理策を考えるうえで、適用宣言書は非常に重要な資料になります。

適用宣言書では、管理策番号、管理策名、適用の有無、適用理由、不適用理由、実施状況、関連する規程や手順、記録などを整理します。
審査では、リスクアセスメント結果と適用宣言書がつながっているか、適用とした管理策が実際に運用されているか、不適用理由が妥当かを確認されやすくなります。

不適用理由で避けたいのは、『該当なし』『不要』『現在やっていない』だけで終わる書き方です。
なぜ該当しないのか、適用範囲や業務実態、リスク評価から説明できるようにしましょう。

管理策を社内ルール・手順に落とし込む方法

附属書Aの管理策は抽象的に書かれているため、そのまま社内規程に貼り付けても現場では運用しにくくなります。
管理策を実際に使えるルールにするには、誰が、いつ、何を、どのように実施し、どの記録を残すのかまで具体化する必要があります。

たとえば、アクセス権を管理するという管理策をそのまま規程に書いても、現場は何をすればよいか分かりません。
実務では、情報システム部門が、入社・異動・退職時に申請に基づいてアカウントを発行・変更・削除し、四半期ごとに主要システムのアクセス権を棚卸しし、確認結果を記録する、といった形に変換します。

また、すべてを新しいISMS専用規程として作る必要はありません。
就業規則、秘密保持契約、情報セキュリティ規程、クラウド利用ルール、入退室管理ルール、委託先管理規程など、既存文書と紐づけることで運用しやすくなります。

他社ではどう運用している？業種別の管理策事例

管理策は、業種によって重点が変わります。
製造業では設計図や生産管理システム、IT企業ではソースコードやクラウド設定、医療・福祉では患者情報や共有端末、小売・ECでは注文情報やEC管理画面など、守るべき情報資産やリスクが違うためです。

ここで紹介する例は、実在する特定企業名を出すものではなく、イソログの記事内で実務担当者がイメージしやすいように匿名化した他社事例です。
自社に近い業種の例を参考にしながら、どの管理策を選び、どのように運用するかを考えてみてください。

管理策は、附属書Aの番号を覚えることよりも、自社の業務で誰がどう動くかに落とすことが重要です。

部署別に見る管理策の運用例

ISO27001の管理策は、情報システム部門だけで運用するものではありません。
営業、人事、総務、現場部門、経営層など、各部署がそれぞれの情報資産に応じて管理策を運用します。

営業部門では顧客情報や提案書の外部共有、人事部門では履歴書や給与情報、総務部門では契約書や入退室、情報システム部門ではアカウントやログ、現場部門では紙記録や共有端末、経営層では方針承認や残留リスク承認が関係します。

管理策を決めるときは、どの部署が実際に運用するのかを明確にしておくことが大切です。
担当部署が曖昧だと、規程には書かれているのに誰も実施していない状態になりやすくなります。

ISO27001管理策の代表的な運用例

ISO27001の管理策は、規程や一覧表に書くだけでなく、日常業務で運用されて初めて意味があります。
ここでは、初心者担当者がイメージしやすい代表的な管理策の運用例を整理します。

アクセス権限管理では、誰がどのシステムにアクセスできるかを決め、入社・異動・退職時に権限を変更し、定期的に棚卸しします。
情報セキュリティ教育では、従業員にルールを伝え、受講記録を残します。
バックアップ管理では、対象データ、頻度、保存先、復元確認を決めます。
委託先管理では、情報を預ける相手を評価し、契約や定期確認を行います。

どの管理策でも共通するのは、担当者、頻度、手順、記録を決めることです。
これがないと、審査で『実際にどのように運用していますか』と聞かれたときに説明しにくくなります。

管理策で初心者がやりがちな注意点・失敗例

管理策で初心者がやりがちな失敗は、附属書Aを全部適用すれば安全だと思ってしまうことです。
管理策を増やすほど安全になるように見えますが、現場で守れないルールを増やすと、運用が形骸化しやすくなります。

また、リスクアセスメントと関係なく管理策を選ぶ失敗もあります。
リスク評価表ではクラウド共有のリスクが高いのに、適用宣言書ではクラウド利用に関する管理策が曖昧になっている。
逆に、自社では該当しない管理策まで不自然に適用としている。
このようなズレは審査でも確認されやすくなります。

さらに、規格文言をそのまま規程にコピーする、管理策を決めても実施記録がない、除外理由を『不要』だけで済ませる、現場が守れないルールを作る、運用後に見直さないといった失敗にも注意が必要です。

ISO27001審査でみられる内容

ISO27001の審査では、管理策をいくつ適用したかだけではなく、なぜその管理策を選んだのか、リスクアセスメント結果とつながっているか、適用宣言書と規程・運用記録が一致しているかを確認されます。

たとえば、リスクアセスメントで不正アクセスを高リスクとしているのに、アクセス権限管理やログ確認の管理策が曖昧な場合、リスク対応が不十分に見える可能性があります。
適用宣言書では適用としているのに、実際の規程や記録がない場合も、運用との不整合として確認されやすくなります。

審査で説明しやすくするには、情報資産台帳、リスクアセスメント表、リスク対応計画、適用宣言書、社内規程、運用記録を一本の流れでつなげることが大切です。

コンサル会社に相談する前に整理しておきたいこと

ISO27001の管理策や適用宣言書で迷う場合、コンサル会社へ相談する方法があります。
ただし、相談前に自社の状況をある程度整理しておくと、支援範囲、スケジュール、費用、必要な準備を具体的に話しやすくなります。

まず、リスクアセスメント結果、情報資産台帳、既存の社内ルール、利用しているクラウドサービスや業務システム、委託先、外部共有の状況を確認しましょう。
適用宣言書をすでに作っている場合は、適用・不適用の理由や実施状況に不安がある箇所をメモしておくと、相談が進みやすくなります。

コンサル会社を選ぶときは、附属書Aの一覧を埋めるだけでなく、自社のリスクに合った管理策を選び、現場で運用できる社内ルールや記録に落とし込めるかを確認することが大切です。

まとめ：管理策は一覧を埋める作業ではなく、自社のリスクに合わせて運用する対策

ISO27001の管理策とは、情報セキュリティリスクを下げるために自社が実施する具体的な対策です。
附属書Aは、管理策を体系的に整理したカタログであり、すべてを無条件に実施するリストではありません。

管理策を選ぶときは、情報資産の洗い出し、リスクアセスメント結果、法規制・契約要求、事業内容、適用範囲をもとに判断します。
選んだ管理策は、適用宣言書に適用・不適用・理由・実施状況として整理し、社内規程や手順、運用記録とつなげる必要があります。

初心者担当者は、93項目を暗記することよりも、自社のリスクに関係する管理策を選び、誰が、いつ、何を、どう運用するかに落とし込むことを意識しましょう。
自社だけで管理策の選定や適用宣言書の作成が難しい場合は、ISO27001に強い専門家へ相談し、審査で説明でき、現場で続けられる形に整える方法もあります。

よくある質問