ISO27001附属書Aとは？管理策の構成・選び方・2022年版の変更点を解説

ISO27001附属書Aとは

ISO27001附属書Aとは、情報セキュリティリスクに対応するための管理策をまとめた一覧です。
管理策とは、情報セキュリティリスクを下げるために行う具体的な対策のことです。
たとえば、アクセス権を管理する、情報資産を台帳化する、従業員へ教育を行う、バックアップを取る、委託先を管理する、といった取り組みが管理策にあたります。

附属書Aは、ISO27001本文の要求事項とは役割が異なります。
本文は、ISMSをどのように構築し、運用し、評価し、改善するかというマネジメントの仕組みを定めています。
一方で附属書Aは、リスク対応のために検討できる具体的な対策候補を示しています。
つまり、本文が仕組みのルールで、附属書Aが対策のカタログという関係です。

ここで大切なのは、附属書Aをそのまま全部実施すればよいわけではないという点です。
ISO27001はリスクベースの規格です。
自社の事業内容、情報資産、脅威、脆弱性、リスク評価の結果に基づいて、必要な管理策を選び、不要な管理策は理由を明確にしたうえで除外します。
附属書Aは、対策の漏れを防ぎ、審査で説明できるようにするための実務ツールとして使います。

イソログに寄せられた附属書A・管理策選定のリアルな声

ISO27001の相談では、附属書Aについて「93管理策を全部やる必要があると思っていた」「適用宣言書に除外理由を書けない」「2022年版で追加された管理策の扱いが分からない」という声が多くあります。
附属書Aは重要な文書ですが、初めて見る担当者にとっては、項目数が多く、専門用語も多いため、どこから手をつければよいか分かりにくい部分です。

また、管理策を選ぶだけで終わってしまい、社内規程や手順、運用記録まで落とし込めていないケースもあります。
審査では、適用宣言書に適用と書いている管理策について、実際にどのように運用しているかを確認されることがあります。
文書上は整っていても、アクセス権レビュー、教育記録、委託先評価、バックアップ確認などの証跡が残っていなければ、説明が難しくなります。

ここでは、イソログに寄せられる相談傾向をもとに、附属書Aや管理策選定で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談内容をもとに、附属書A、管理策選定、適用宣言書（SoA）、規程化、審査対応で担当者がつまずきやすい場面をまとめました。

ISO27001本文と附属書Aの違い

ISO27001本文と附属書Aは、どちらもISMSに関係しますが、役割が違います。
本文は、ISMSを構築・運用するための要求事項です。
組織の状況、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善といった、マネジメントシステムとして必要な仕組みを定めています。

一方で附属書Aは、情報セキュリティリスクに対応するための管理策を示しています。
たとえば、情報セキュリティ方針、役割と責任、情報資産の管理、アクセス制御、委託先管理、インシデント対応、バックアップ、ログ監視、セキュアコーディングなど、具体的な対策候補が並んでいます。

本文のリスク対応では、自社が選んだ管理策を附属書Aと照合し、必要な管理策に漏れがないかを確認します。
つまり、本文が求めるリスク対応の流れの中で、附属書Aを参照するという関係です。
附属書Aだけを見て規程を作るのではなく、まずリスクアセスメントを行い、その結果に基づいて附属書Aの管理策を選ぶことが重要です。

附属書A・ISO27002・適用宣言書（SoA）の違い

附属書Aを理解するときは、ISO27002と適用宣言書（SoA）との違いも押さえておくと混乱しにくくなります。
附属書AはISO27001の一部であり、管理策の一覧を示します。
ただし、各管理策の具体的な実装方法までは詳しく書かれていません。

ISO27002は、附属書Aに対応する管理策について、実装の考え方や運用上の注意点を示すガイドです。
たとえば、アクセス制御をどう設計するか、ログ監視をどう考えるか、クラウドサービス利用時に何を確認するか、といった実務の参考になります。
ISO27001の認証規格そのものではありませんが、管理策を現場で運用できる形にするために役立ちます。

適用宣言書（SoA）は、自社が附属書Aの各管理策を適用するか、適用しないか、その理由と実施状況を整理する文書です。
SoAは審査で確認されやすい重要文書です。
附属書Aが管理策の一覧、ISO27002が実装ガイド、SoAが自社の判断結果と考えると分かりやすいです。

2022年版の附属書Aの構成

ISO27001:2022の附属書Aは、4カテゴリ・93管理策で構成されています。
旧版では14カテゴリ・114管理策でしたが、2022年版ではISO27002:2022との整合により、組織的管理策、人的管理策、物理的管理策、技術的管理策の4つに再編されました。

ここで注意したいのは、管理策数が114から93に減ったからといって、対応すべき内容が単純に減ったわけではないことです。
多くの管理策は統合・再編・更新されています。
さらに、クラウドサービス利用、脅威インテリジェンス、データマスキング、監視活動、構成管理など、現代のサイバーリスクやクラウド利用を反映した新規管理策も追加されています。

実務では、4カテゴリを大きな地図として捉えると分かりやすいです。
組織的管理策は方針や体制、資産管理、委託先管理など。
人的管理策は採用、教育、退職時対応など。
物理的管理策は施設や機器の保護。
技術的管理策はアクセス制御、ログ、脆弱性管理、バックアップ、暗号化、開発などです。

2022年版で追加された11の新規管理策

ISO27001:2022では、附属書Aに11の新規管理策が追加されています。
これらは、近年のクラウド利用、サイバー攻撃、データ保護、監視、ソフトウェア開発、事業継続などの重要性を反映したものです。
新規管理策は、旧版から移行した会社だけでなく、これから新規取得する会社も必ず検討すべき項目です。

ただし、新規管理策だからといって、すべての会社が同じ深さで実施する必要があるわけではありません。
たとえば、クラウドサービスを業務で広く使っている会社ではクラウドサービス利用の管理策が重要になります。
自社でシステム開発を行う会社ではセキュアコーディングや構成管理が重要です。
個人情報や機微情報を多く扱う会社では、データマスキングや情報削除、データ漏えい防止の検討が重要になります。

新規管理策を検討するときは、名称だけで判断せず、自社の業務、情報資産、利用システム、委託先、開発体制、クラウド利用、個人情報の扱いと照らして考えます。
適用する場合は、どの規程や手順、記録に反映するかまで整理しましょう。

附属書Aの管理策は全部適用する必要があるのか

附属書Aの管理策は、すべてを一律に適用する必要はありません。
ISO27001はリスクベースの規格であり、自社のリスクアセスメントに基づいて必要な管理策を選びます。
リスクが存在しない、または事業実態として該当しない管理策は、理由を明確にしたうえで除外することができます。

ただし、面倒だから除外する、運用できないから除外する、よく分からないから不適用にする、という考え方は危険です。
除外する場合も、情報資産、業務内容、脅威、脆弱性、リスク評価の結果から説明できる必要があります。
たとえば、自社でシステム開発を行っていない会社がセキュアコーディングを除外する場合は、自社開発がないこと、外部委託している場合は委託先管理で確認することなどを整理します。

一方で、とりあえず全部適用する方法もおすすめできません。
すべてを規程に入れると、運用負荷が大きくなり、現場で守れないルールが増えます。
審査では、適用と書いた管理策について実際の運用を確認される可能性があります。
管理策は、全部やるのでも、雑に除外するのでもなく、自社のリスクに合わせて選ぶことが重要です。

管理策の選び方

管理策は、附属書Aの一覧を上から順番に見て感覚で選ぶものではありません。
基本は、情報資産の洗い出し、脅威・脆弱性の確認、リスク評価、リスク対応、附属書Aとの照合、適用宣言書への反映という流れで進めます。
この順番を守ると、なぜその管理策を選んだのかを説明しやすくなります。

まず、自社が守るべき情報資産を洗い出します。
顧客情報、従業員情報、契約書、ソースコード、業務システム、クラウドサービス、紙資料、端末、ネットワークなどを整理します。
次に、それぞれの情報資産に対して、漏えい、改ざん、紛失、利用不能、不正アクセス、誤送信、委託先事故などのリスクを評価します。

リスク対応で低減が必要と判断した場合、附属書Aから有効な管理策を選びます。
たとえば、顧客情報の漏えいリスクにはアクセス制御、情報分類、情報転送、データ漏えい防止、教育などが関係します。
クラウド設定ミスのリスクにはクラウドサービス利用、構成管理、アクセス権、ログ監視などが関係します。
一つのリスクに複数の管理策が対応することも、一つの管理策が複数のリスクをカバーすることもあります。

適用宣言書（SoA）への落とし込み方

適用宣言書（SoA）は、附属書Aの管理策について、自社が適用するか、適用しないか、その理由と実施状況を整理する文書です。
ISO27001の審査では、SoAは重要な確認対象になります。
リスクアセスメントの結果とSoAの内容が合っているか、適用とした管理策が実際に運用されているか、不適用とした管理策の理由が妥当かが見られます。

SoAには、管理策番号、管理策名、適用・不適用、理由、実施状況、関連文書、運用記録などを整理します。
適用する場合は、どの規程や手順で実施しているのか、どの記録で確認できるのかを書いておくと審査対応がしやすくなります。
不適用にする場合は、事業実態やリスク評価に基づいた具体的な理由を記載します。

たとえば、自社開発がない会社がセキュアコーディングを不適用にする場合は、自社でソフトウェア開発を行っていないこと、開発を委託している場合は委託先管理でセキュリティ要求を確認していることを記載します。
紙資料を扱わない会社が一部の物理的管理策を軽く扱う場合も、実態と代替管理策を説明できるようにします。

管理策を社内規程・手順・記録へ落とし込む方法

附属書Aの管理策は、そのまま現場で使える手順ではありません。
たとえば、アクセス制御という管理策を適用すると決めても、それだけでは誰が何をすればよいか分かりません。
権限申請、承認、付与、変更、棚卸し、退職者削除、ログ確認など、実際の運用へ分解する必要があります。

管理策を運用できる形にするには、規程、手順、記録の3段階で考えると整理しやすいです。
規程では会社として守るルールを定めます。
手順では担当者がどのように作業するかを示します。
記録では実施した証跡を残します。
審査では、SoAで適用とした管理策について、この3つがつながっているかを見られることがあります。

たとえば、教育の管理策であれば、規程には教育を実施する方針、手順には対象者・頻度・教材・実施方法、記録には受講者一覧や理解度確認を残します。
バックアップであれば、規程にはバックアップの方針、手順には取得方法・保管場所・復旧方法、記録には取得ログや復元テスト結果を残します。

業種別・会社規模別の管理策選定例

附属書Aの管理策は、業種や会社規模によって重視するポイントが変わります。
SaaS企業、受託開発会社、BPO、EC、人材会社、医療・福祉、製造業、物流、士業、小規模オフィスでは、守る情報資産や想定リスクが異なります。
管理策は、自社の業務実態に合わせて選びます。

SaaS企業では、クラウドサービス利用、アクセス制御、ログ監視、脆弱性管理、事業継続のためのICTの備えが重要になりやすいです。
受託開発会社では、セキュアコーディング、開発環境管理、ソースコード管理、顧客環境情報の管理が重要です。
人材会社や医療・福祉では、個人情報の保護、アクセス制御、情報転送、教育、委託先管理が重要になります。

小規模オフィスでは、すべてを大企業並みに作り込む必要はありません。
ただし、少人数だからこそ退職者アカウントの削除、端末管理、クラウド利用、メール誤送信、バックアップなどは実務上のリスクになりやすいです。
会社規模に合わせて、無理なく続く管理策を選び、記録を残せる形にすることが大切です。

審査で見られるポイント

ISO27001の審査では、附属書Aをどれだけ暗記しているかではなく、自社のリスクに基づいて管理策を選び、適用宣言書に理由を示し、実際に運用しているかが確認されます。
特に、リスクアセスメント、リスク対応、SoA、社内規程、運用記録の整合が重要です。

審査員からは、なぜこの管理策を適用したのか、なぜこの管理策を除外したのか、この管理策はどのリスクに対応しているのか、どの規程に反映しているのか、運用記録はどこにあるのか、といった質問を受けることがあります。
適用と書いている管理策について記録がない場合や、不適用の理由が曖昧な場合は、説明に苦労しやすくなります。

また、2022年版では新規11管理策の検討状況も見られやすいです。
クラウドサービスを利用しているのにクラウド利用の管理策を十分に検討していない、自社開発があるのにセキュアコーディングを除外している、重要システムがあるのにICT継続性を考えていない、といったズレがないか確認しましょう。

よくある失敗と改善策

附属書Aでよくある失敗は、93管理策をすべて規程化しようとして運用が重くなることです。
文書だけは整っているものの、現場が守れず、記録も残らない状態になると、審査でも運用実態を説明しにくくなります。
附属書Aは全部を一律に入れるのではなく、リスクに基づいて必要なものを選びましょう。

次に多いのは、適用宣言書だけ作って運用まで落ちていないケースです。
SoAで適用と書いているのに、関連規程がない、手順がない、実施記録がない、という状態です。
SoAはゴールではなく、管理策を運用へつなげるための橋渡しです。
適用した管理策については、誰が、いつ、何を実施し、どの記録を残すのかを決めておく必要があります。

また、除外理由が曖昧、新規11管理策を見落とす、旧版番号のまま管理している、業務変更後にSoAを更新していない、審査直前に証跡を探す、といった失敗もあります。
改善するときは、SoAだけでなく、リスク評価、規程、手順、記録、内部監査の確認項目まで合わせて見直しましょう。

コンサルに相談するときに確認すべきこと

ISO27001の附属書Aや管理策選定についてコンサル会社へ相談する場合は、管理策の一覧を渡してくれるだけでなく、リスクアセスメント、SoA、社内規程、手順、運用記録、内部監査、審査対応までつなげて見てくれるかを確認しましょう。
附属書Aは、選定して終わりではなく、運用に落とし込んで初めて意味があります。

確認したいのは、自社の業務や情報資産に合わせて管理策を選んでくれるか、除外理由の書き方を支援してくれるか、2022年版の新規11管理策を検討してくれるか、SoAと規程・手順・記録の整合を確認してくれるか、審査で聞かれやすいポイントを事前に確認してくれるかです。

低価格のコンサル会社でも、支援範囲、追加費用、対応方法、取得後支援、安さの理由が明確であれば有力な選択肢になります。
ISOトラストのように月額費用を抑えた支援を行う会社もあるため、初めてISO27001を取得する会社や担当者工数を減らしたい会社は、複数社を比較して自社に合う進め方を確認するとよいでしょう。

まとめ：附属書Aは暗記する一覧ではなく、自社のリスクに合わせて使う道具

ISO27001附属書Aは、情報セキュリティリスクに対応するための管理策をまとめたカタログです。
2022年版では、4カテゴリ・93管理策に再編され、クラウドサービス利用、脅威インテリジェンス、構成管理、情報削除、監視活動、セキュアコーディングなど、現代のリスクに対応する新規管理策も追加されています。

ただし、附属書Aは93管理策をすべて一律に適用するためのリストではありません。
自社の情報資産、業務内容、脅威、脆弱性、リスク評価に基づいて、必要な管理策を選びます。
適用する場合も、適用しない場合も、適用宣言書（SoA）で理由を説明できるようにし、社内規程、手順、運用記録へ落とし込むことが重要です。

審査では、管理策の採否理由、リスクアセスメントとの整合、規程への反映、運用記録、有効性レビューが確認されます。
附属書Aを暗記するのではなく、自社のリスクに合わせて使う道具として活用しましょう。
管理策の選定やSoAの作成に不安がある場合は、ISO27001に詳しいコンサル会社へ相談し、複数社の支援内容を比較しながら進めるとよいでしょう。

よくある質問