ISO27001の文書管理とは？必要文書・記録の種類・審査で確認されるポイントを解説

ISO27001の文書管理とは

ISO27001の文書管理とは、ISMSに必要な方針、規程、手順、台帳、様式、記録などを、最新版が分かり、必要な人が使え、改ざんや紛失を防げる状態で管理することです。
ISO27001では、これらをまとめて「文書化した情報」として扱います。

文書は、ISMSをどのように動かすかを示すルールです。
たとえば、情報セキュリティ方針、文書管理規程、アクセス管理手順、バックアップ手順などが該当します。
一方で記録は、ルールに基づいて実際に活動した証拠です。
教育受講記録、内部監査記録、マネジメントレビュー議事録、リスク評価結果、アクセス権レビュー記録などが該当します。

文書管理ができていないと、現場で古い手順書を使ってしまう、誰が承認した文書か分からない、記録がどこにあるか分からない、審査で証跡を提示できない、といった問題が起きます。
ISO27001の文書管理は、審査のための事務作業ではなく、ISMSを正しく動かすための土台です。

イソログに寄せられた文書管理・記録管理のリアルな声

ISO27001の相談では、文書管理について、最新版が分からない、記録が残っていない、テンプレートを増やしすぎた、文書の所有者が不明、紙と電子で版が違う、という声が多くあります。
文書管理は地味に見えますが、審査でも運用でもつまずきやすい領域です。

特に初めてISO27001を担当する場合、必要文書をそろえることに意識が向き、運用後の記録管理や最新版管理が後回しになりがちです。
文書を作るだけでは、ISMSは動きません。
誰が更新し、誰が承認し、どこに保管し、どの記録を残すのかまで決めておく必要があります。

ここでは、イソログに寄せられる相談傾向をもとに、文書管理・記録管理で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談内容をもとに、最新版管理、記録不足、文書過多、所有者不明、旧版誤使用で担当者がつまずきやすい場面をまとめました。

ISO27001の「文書化した情報」とは

ISO27001では、従来の意味での文書や記録をまとめて「文書化した情報」として扱います。
文書化した情報には、紙の規程や手順書だけでなく、PDF、Excel、クラウド文書、台帳、ワークフローの承認履歴、電子メール、ログ、議事録なども含まれることがあります。

文書化した情報には、大きく分けて2つの役割があります。
一つは、ISMSを運用するために維持する情報です。
これは方針、規程、手順、基準、様式など、ルールや仕組みを示すものです。
もう一つは、活動の結果を証明する情報です。
これは教育記録、監査記録、レビュー記録、点検記録、是正処置記録など、実施した証拠になるものです。

重要なのは、紙か電子かではなく、その情報がISMSにとってどのような役割を持つかです。
クラウド上のスプレッドシートであっても、リスク評価表や文書管理台帳として使っているなら管理対象です。
チャットやメールであっても、重要な承認や顧客要求を含む場合は記録として保存対象になることがあります。

文書・記録・様式・外部文書の違い

ISO27001の文書管理では、文書、記録、様式、外部文書の違いを整理しておくと管理しやすくなります。
文書は、これから何をするかを示すルールです。
記録は、実際に何をしたかを示す証拠です。
様式は、記録を残すためのフォーマットです。
外部文書は、社外から入手し、ISMSに影響する文書です。

たとえば、教育手順書は文書です。
教育受講者一覧やテスト結果は記録です。
教育受講記録の空欄フォーマットは様式です。
顧客から受け取ったセキュリティ要求書や契約書は外部文書です。
この違いを混同すると、版管理や保存方法が曖昧になります。

特に混同しやすいのが、様式と記録です。
空のチェックリストや申請書テンプレートは、文書として版管理します。
一方で、記入済みのチェックリストや承認済み申請書は、実施証拠として記録管理します。
記録は後から勝手に書き換えられないようにし、必要な期間保管します。

ISO27001で必要になる主な文書

ISO27001で必要になる文書には、規格上求められるものと、自社がISMSを有効に運用するために必要と判断するものがあります。
必要文書を考えるときは、テンプレートをすべて導入するのではなく、自社の業務、規模、リスク、運用体制に合わせて整理することが大切です。

代表的な文書には、ISMSの適用範囲、情報セキュリティ方針、リスクアセスメントの手順、リスク対応の手順、適用宣言書、情報セキュリティ目標、文書管理規程、内部監査手順、インシデント対応手順、アクセス管理手順、委託先管理手順、バックアップ手順などがあります。

ただし、すべてを独立した文書にする必要はありません。
小規模企業では、ISMSマニュアルや情報セキュリティ規程の中に複数の要求事項をまとめることもあります。
重要なのは、必要な内容が文書化され、最新版が管理され、関係者が使える状態になっていることです。

ISO27001で必要になる主な記録

ISO27001では、文書だけでなく記録も重要です。
記録は、ルールに基づいて実際に活動したことを示す証拠です。
審査では、規程や手順書があるかだけでなく、その通りに運用されているかを記録で確認されます。

代表的な記録には、教育記録、力量の証拠、リスク評価結果、リスク対応結果、内部監査記録、マネジメントレビュー議事録、不適合・是正処置記録、アクセス権レビュー記録、委託先評価記録、バックアップ確認記録、インシデント対応記録などがあります。

記録は、後から作るものではありません。
活動を行うタイミングで自然に残る仕組みにしておくことが大切です。
たとえば、教育を実施したら受講者一覧と教材を保存する、アクセス権レビューをしたら確認日・確認者・結果を残す、委託先評価をしたら評価表と改善依頼を保存する、といった形です。

文書管理台帳に入れるべき項目

文書管理台帳は、管理対象の文書を一覧化し、最新版、所有者、保管場所、承認状況、見直し時期を確認するための台帳です。
必ず特定の様式でなければならないわけではありませんが、文書が増えるほど台帳がないと管理が難しくなります。

文書管理台帳には、文書名、文書ID、版数、所有者、承認者、保管場所、公開範囲、機密区分、制定日、改訂日、次回見直し日、保存期間、廃止日などを入れると実務で使いやすくなります。
重要なのは、台帳を作ること自体ではなく、台帳を見れば最新版と責任者が分かる状態にすることです。

クラウドで管理する場合も、台帳は有効です。
フォルダリンクを台帳に入れておく、閲覧用PDFと編集用ファイルを分ける、承認済み文書だけを公開フォルダに置く、旧版はアーカイブへ移す、といった運用にすると、現場の誤使用を防ぎやすくなります。

記録管理で決めるべき項目

記録管理では、どの活動をしたときに、どの記録を、誰が、どこに、どの期間保存するかを決めます。
記録は実施証拠なので、後から勝手に書き換えられないこと、必要なときに検索できること、保存期間中に失われないことが重要です。

記録管理で決める項目には、記録名、作成タイミング、作成者、承認者、保管場所、アクセス権、保存期間、改ざん防止、廃棄方法、検索方法があります。
たとえば教育記録なら、教育実施後に担当者が作成し、指定フォルダに保存し、一定期間保管する、といったルールを決めます。

電子記録の場合は、アクセス権と変更履歴が重要です。
誰でも編集できる共有ファイルに記録を残すと、後から内容が変わっても分からないことがあります。
記録は、PDF化、閲覧権限のみの設定、ワークフローの承認履歴、クラウドの監査ログなどを使い、証跡として信頼できる状態にしましょう。

作成・承認・改訂のルール

文書を作成・更新するときは、誰が作成し、誰がレビューし、誰が承認するかを決めておきます。
文書には、タイトル、文書ID、版数、作成日、改訂日、作成者、承認者、改訂履歴などを入れると管理しやすくなります。

承認ルールは、文書の重要度によって変えても問題ありません。
たとえば、情報セキュリティ方針や適用宣言書は経営者やISMS責任者の承認が必要になります。
一方で、日常的な作業手順の軽微な修正は、部門責任者の承認で足りる場合もあります。
重要なのは、どの文書を誰が承認するかが事前に決まっていることです。

改訂時には、何を、なぜ、いつ変更したのかを残します。
全体見直しだけでは、後から差分が分かりにくくなります。
たとえば、クラウドサービス利用手順を追加、退職者アカウント削除手順を変更、保存期間を3年から5年へ変更、というように具体的に書くと、審査や内部監査で説明しやすくなります。

クラウド・電子ファイルでの文書管理方法

現在のISMS文書管理では、Google Drive、SharePoint、OneDrive、Notion、社内ポータルなどのクラウドツールを使う会社が多くなっています。
クラウド管理は便利ですが、設計が曖昧だと、最新版不明、過剰な編集権限、個人フォルダへの分散、退職者アカウントの残存といった問題が起きます。

クラウドで文書管理を行う場合は、まず最新版の保管場所を決めます。
承認済み文書は閲覧用フォルダに置き、編集用ファイルは管理者のみが触れるフォルダに置くと、誤編集を防ぎやすくなります。
閲覧用はPDF化する、リンクを社内ポータルに固定する、古い版はアーカイブに移す、といったルールも有効です。

また、アクセス権管理も重要です。
全社員が見るべき文書、ISMS事務局だけが編集する文書、人事情報を含む記録、顧客情報を含む記録では、公開範囲が異なります。
退職者や異動者の権限削除、共有リンクの制限、外部共有の禁止または承認制も決めておきましょう。

外部文書の管理

ISO27001の文書管理では、社内で作った文書だけでなく、外部文書も管理対象になります。
外部文書とは、社外から入手し、ISMSの運用に影響する文書です。
たとえば、法令、規格、顧客のセキュリティ要求、委託契約、秘密保持契約、クラウドサービスの利用規約、審査機関からの文書などが該当します。

外部文書で重要なのは、最新版を確認し、必要な内容を社内ルールへ反映することです。
顧客から新しいセキュリティ要求が届いたのにアクセス管理手順へ反映していない、委託契約が変わったのに委託先管理台帳を更新していない、法令改正を把握していない、といった状態はリスクになります。

外部文書管理では、文書名、入手元、管理責任者、最新版確認日、確認頻度、保管場所、社内への影響、反映先文書を整理します。
すべてを細かく管理する必要はありませんが、ISMSや顧客要求に影響するものは、誰が確認し、どのように反映するかを決めておきましょう。

審査で確認されるポイント

ISO27001の審査では、文書が存在するかだけでなく、文書が適切に管理され、実際に使われているかが確認されます。
最新版が明確か、承認されているか、旧版が誤使用されていないか、必要な人が必要なときに参照できるかが見られます。

記録については、実施証拠として信頼できるかが重要です。
教育記録、内部監査記録、マネジメントレビュー記録、リスク評価結果、アクセス権レビュー記録などが、改ざんされず、検索でき、保存期間中に保護されているかを確認されます。
記録が後から自由に編集できる状態だと、証跡としての信頼性が弱くなります。

また、現場確認では、実際に使っている手順書やチェックリストが最新版かどうかを見られることがあります。
クラウド上では最新版でも、現場の紙が古い、部署ごとに別の様式を使っている、台帳と保管場所が一致していない、といったズレに注意しましょう。

よくある失敗と改善策

文書管理でよくある失敗は、文書を増やしすぎることです。
テンプレートを大量に導入すると一見整って見えますが、現場が読まない、似た文書が重複する、更新が追いつかない、審査前に最新版確認だけで時間がかかる、といった問題が起きます。
必要な文書に絞り、現場で使える形にすることが大切です。

次に多いのは、最新版が分からないケースです。
メール添付、個人PC、クラウドフォルダ、紙の印刷物に同じ文書が散らばると、どれを使うべきか分からなくなります。
文書管理台帳、正式な保管場所、旧版アーカイブ、閲覧用リンクを整えましょう。

また、承認履歴がない、記録の保存先が部署ごとにバラバラ、外部文書が古い、退職者が所有者のまま、記録を後から編集できる、といった失敗もあります。
改善するときは、文書単体ではなく、文書管理台帳、アクセス権、保存期間、内部監査の確認項目まで一緒に見直すことが重要です。

コンサルに相談するときに確認すべきこと

ISO27001の文書管理についてコンサル会社へ相談する場合は、必要文書のテンプレートをもらえるかだけでなく、自社で運用できる文書体系にしてくれるかを確認しましょう。
文書を大量に作るだけでは、現場で使われず、審査前の管理負担も増えてしまいます。

確認したいのは、ISMSの適用範囲や業務内容に合わせて必要文書を整理してくれるか、文書管理台帳や記録管理ルールまで整えてくれるか、クラウドフォルダやアクセス権の運用も見てくれるか、審査で提示する資料や記録を事前に確認してくれるかです。
内部監査やマネジメントレビューで文書・記録をどう確認するかも支援範囲に含まれていると安心です。

低価格のコンサル会社でも、支援範囲、追加費用、対応方法、取得後支援、安さの理由が明確であれば有力な選択肢になります。
ISOトラストのように月額費用を抑えた支援を行う会社もあるため、初めてISO27001を取得する会社や担当者工数を減らしたい会社は、複数社を比較して自社に合う進め方を確認するとよいでしょう。

まとめ：文書管理は審査用ではなく、ISMSを正しく動かす仕組み

ISO27001の文書管理は、審査のために文書をそろえる作業ではありません。
文書はISMSを動かすルールであり、記録はルールを実施した証拠です。
必要な文書を作り、最新版を管理し、関係者が使える状態にし、活動した記録を保全することで、ISMSの運用を説明できるようになります。

文書管理では、文書・記録・様式・外部文書の違いを整理し、文書管理台帳と記録管理ルールを整えます。
クラウドで管理する場合は、保管場所、編集権限、閲覧用ファイル、旧版アーカイブ、退職者権限削除まで決めておきましょう。
文書を増やしすぎず、現場で使える文書体系にすることが大切です。

審査では、最新版、承認、改訂履歴、旧版誤使用、記録の保全、検索性、保存期間、外部文書の管理が確認されます。
自社だけで文書体系や記録管理を整理するのが難しい場合は、ISO27001に詳しいコンサル会社へ相談し、複数社の支援内容を比較しながら進めるとよいでしょう。

よくある質問