ISO27001の適用宣言書とは？作成方法・管理策との関係・記載例を解説

ISO27001の適用宣言書とは

ISO27001の適用宣言書とは、附属書Aの管理策について、自社が適用するもの、適用しないもの、その理由、実施状況を整理する文書です。
英語ではStatement of Applicabilityと呼ばれ、SoAと略されることがあります。
ISO27001の審査では、リスク対応の結果を説明するための重要な文書として確認されます。

附属書Aには、情報セキュリティリスクに対応するための管理策が整理されています。
2022年版では、組織的管理策、人的管理策、物理的管理策、技術的管理策の4カテゴリ、合計93管理策に再編されています。
適用宣言書では、この93管理策について、自社で適用するかどうかを判断し、その理由と実施状況を明確にします。

適用宣言書は、単なる一覧表ではありません。
情報資産を洗い出し、リスクアセスメントを行い、必要な管理策を選び、社内規程や手順、運用記録へ落とし込んだ結果を整理する文書です。
審査員に対して、なぜこの管理策を適用したのか、なぜ除外したのか、どの証跡で実施を確認できるのかを説明する地図のような役割を持ちます。

イソログに寄せられた適用宣言書作成のリアルな声

ISO27001の相談では、適用宣言書について、93管理策を全部適用しなければならないと思っていた、除外理由をどう書けばよいか分からない、適用と書いた管理策の証跡が残っていない、という声が多くあります。
適用宣言書はISO27001で重要な文書ですが、初めて担当する方にとっては、附属書A、リスクアセスメント、社内規程、運用記録との関係が分かりにくい部分です。

また、審査直前になって、適用宣言書と実際の運用が合っていないことに気づくケースもあります。
たとえば、アクセス権レビューを適用としているのに棚卸し記録がない、委託先管理を適用としているのに評価記録がない、クラウドサービス利用の管理策を適用しているのに利用台帳がない、といった状態です。

ここでは、イソログに寄せられる相談傾向をもとに、適用宣言書作成で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談内容をもとに、適用宣言書の初回作成、除外理由、実施状況、関連文書、旧版管理で担当者がつまずきやすい場面をまとめました。

適用宣言書がISO27001で必須になる理由

適用宣言書がISO27001で重要になる理由は、リスク対応の結果を明確に説明するためです。
ISO27001では、情報資産を洗い出し、リスクを評価し、そのリスクに対してどのように対応するかを決めます。
リスクを低減する場合、附属書Aなどを参考にして管理策を選びます。
その選定結果を整理する文書が適用宣言書です。

適用宣言書がないと、どの管理策を採用したのか、どの管理策を除外したのか、その理由は何かが分かりにくくなります。
審査でも、リスクアセスメントと管理策のつながりを説明しづらくなります。
たとえば、クラウドサービスを多く利用しているのにクラウド利用の管理策を検討していない、重要データを扱っているのにバックアップや情報削除の管理策が曖昧、という状態では説明が難しくなります。

また、適用宣言書は内部管理にも役立ちます。
どの管理策をどの規程に落とし込み、どの記録で運用を確認するかを整理しておくことで、内部監査やマネジメントレビューでも確認しやすくなります。
つまり適用宣言書は、審査のためだけでなく、ISMSを継続的に運用するための管理台帳としても使えます。

適用宣言書・附属書A・管理策・リスクアセスメントの関係

適用宣言書を作るときは、附属書A、管理策、リスクアセスメントの関係を整理しておく必要があります。
附属書Aは管理策の候補一覧です。
管理策は、情報セキュリティリスクを下げるための具体的な対策です。
リスクアセスメントは、自社の情報資産にどのようなリスクがあるかを評価する作業です。

実務の流れとしては、まず情報資産を洗い出し、脅威や脆弱性を確認し、リスクを評価します。
その結果、低減が必要なリスクに対して、附属書Aから有効な管理策を選びます。
そして、選んだ管理策、除外した管理策、その理由、実施状況を適用宣言書にまとめます。

この流れが逆になると、適用宣言書が形だけの文書になりやすくなります。
附属書Aの一覧を見て感覚で適用・不適用を決めるのではなく、リスクアセスメントを根拠にして管理策を選ぶことが重要です。

適用宣言書に書くべき項目

適用宣言書には、附属書Aの各管理策について、少なくとも管理策番号、管理策名、適用・不適用、理由、実施状況を整理します。
実務ではさらに、関連文書、証跡、担当部門、最終見直し日などを入れておくと、審査や内部監査で確認しやすくなります。

特に重要なのは、理由と実施状況です。
適用と書くだけでは、なぜ必要なのか、どのリスクに対応しているのかが分かりません。
不適用と書くだけでも、なぜ除外できるのかが分かりません。
理由は、事業内容、情報資産、リスク評価、法令・契約要求、既存の管理策に基づいて書きます。

また、関連文書と証跡をひもづけることで、運用実態を説明しやすくなります。
たとえば、情報セキュリティ教育を適用している場合は、教育規程、教育計画、教育資料、受講記録を関連づけます。
バックアップを適用している場合は、バックアップ手順、設定、実行ログ、復元テスト記録を関連づけます。

適用・不適用・未実施・代替管理策ありの違い

適用宣言書では、適用、不適用、未実施、代替管理策ありを混同しないことが大切です。
適用とは、自社のリスク対応としてその管理策を採用するという意味です。
不適用とは、業務実態やリスク評価から、その管理策を採用しないと判断することです。

未実施は、不適用とは違います。
管理策として必要だと判断しているが、まだ運用が始まっていない、または一部しか実施できていない状態です。
この場合、適用として扱ったうえで、実施状況や対応予定、期限、責任者を整理する必要があります。
必要な管理策を未実施だから不適用にするのは危険です。

代替管理策ありとは、附属書Aの管理策そのものを同じ形で実施しないものの、別の方法で同等のリスク低減を行っている状態です。
たとえば、特定の技術対策を導入していない代わりに、手続き、監視、委託先契約、レビューなどでリスクを管理している場合があります。
ただし、代替策が本当にリスクを下げているかを説明できる必要があります。

適用宣言書の作成手順

適用宣言書は、附属書Aの一覧を見ながらその場で適用・不適用を決めるよりも、リスクアセスメントの結果から順番に作成するほうが実務に合います。
まず情報資産台帳やシステム一覧、委託先一覧を整え、自社が守るべき情報や業務を明確にします。

次に、リスクアセスメントを行い、どの情報資産にどのようなリスクがあるかを評価します。
リスク対応方針を決めたうえで、附属書Aの93管理策と照合し、必要な管理策を選びます。
その後、管理策ごとに適用・不適用、理由、実施状況、関連文書、証跡を整理します。

作成後は、関係部門の確認と承認を行います。
情報システム部門だけでなく、総務、人事、営業、開発、現場責任者、経営者など、管理策に関係する部門を巻き込むことが重要です。
最後に、内部監査やマネジメントレビュー、システム変更、委託先変更、規格改訂に合わせて見直します。

適用理由の書き方

適用理由を書くときは、なぜその管理策が自社に必要なのかを、リスクや業務実態に基づいて説明します。
単に重要だから、一般的だから、規格にあるからという理由だけでは弱くなります。
顧客情報を扱う、クラウドサービスを利用している、委託先に業務を任せている、法令・契約要求がある、過去に事故やヒヤリハットがある、といった根拠を入れると説明しやすくなります。

たとえば、アクセス制御を適用する理由は、顧客情報や契約情報への不要なアクセスを防ぎ、機密性を維持するためです。
教育を適用する理由は、社員の誤送信、パスワード管理不備、不審メール対応ミスなどの人的リスクを下げるためです。
バックアップを適用する理由は、データ破損やランサムウェア、システム障害時に業務を復旧するためです。

適用理由は、長文である必要はありません。
ただし、どの情報資産やリスクに関係しているかが分かるように書きます。
関連するリスク番号や情報資産名、規程名をひもづけると、審査や内部監査で説明しやすくなります。

除外理由の書き方

除外理由を書くときは、なぜその管理策を適用しなくてもよいのかを、事業内容、対象業務、情報資産、リスク評価に基づいて説明します。
単に該当なし、費用がない、運用が難しい、担当者がいない、といった理由だけでは不十分です。
審査では、除外理由がリスク評価と整合しているかが見られます。

除外できる代表的なケースは、対象となる業務が存在しない、該当する情報資産がない、管理策が想定するリスクが自社に該当しない、または別の方法でリスクを管理している場合です。
たとえば、自社でソフトウェア開発を行っていない会社がセキュアコーディングを除外する場合、自社開発がないこと、開発委託がある場合は委託先管理で確認していることを説明します。

ただし、除外は慎重に判断する必要があります。
小規模企業でもクラウドサービスを使っていればクラウド利用の管理策は関係します。
紙資料が少なくても端末やクラウド上の情報資産は存在します。
名称だけで該当なしと判断せず、管理策がどのリスクを対象にしているのかを確認しましょう。

適用宣言書の記載例

ここでは、適用宣言書の記載例を示します。
実際の適用宣言書では、93管理策すべてについて適用・不適用、理由、実施状況、関連文書、証跡を整理します。
以下は一部の例です。
自社で使う場合は、事業内容、情報資産、リスク評価、既存規程に合わせて必ず調整してください。

記載例では、適用と不適用を混ぜています。
適用にする場合は、なぜ必要か、どの文書や記録で確認できるかを書きます。
不適用にする場合は、対象業務がない、該当する情報資産がない、別の管理策で対応しているなど、審査で説明できる理由を書きます。

また、実施状況は正直に書くことが大切です。
まだ準備中の管理策を実施済みと書くと、審査で記録を求められたときに説明できません。
準備中の場合は、対応予定、期限、責任者を管理し、審査前までに必要な証跡を整えましょう。

業種別に見る適用・除外の判断例

適用宣言書の判断は、業種や事業内容によって変わります。
SaaS、受託開発、BPO、EC、人材、医療・福祉、製造業、士業、小規模オフィスでは、扱う情報資産やリスクが異なるため、適用しやすい管理策や注意点も異なります。

SaaS企業では、クラウドサービス利用、アクセス制御、ログ監視、事業継続のためのICTの備え、脆弱性管理が重要になりやすいです。
受託開発会社では、ソースコードへのアクセス、セキュアコーディング、構成管理、開発環境管理が重要です。
人材会社や医療・福祉では、個人情報の保護、情報転送、教育、アクセス権管理が重視されます。

小規模オフィスでは、すべてを大企業並みに作り込む必要はありませんが、クラウド利用、端末管理、メール誤送信、退職者アカウント削除、バックアップは実務上のリスクになりやすいです。
会社規模に合わせて、無理なく実施できる管理策を選び、証跡が自然に残る形にしましょう。

審査で見られるポイント

ISO27001の審査では、適用宣言書の内容がリスクアセスメントや実際の運用と整合しているかが確認されます。
審査員は、なぜこの管理策を適用したのか、なぜ不適用にしたのか、その判断はリスク評価に基づいているか、実施状況をどの証跡で確認できるかを見ます。

特に見られやすいのは、除外理由の妥当性です。
自社開発がない、対象業務がない、該当する情報資産がない、といった理由は説明しやすいですが、面倒だから、費用がないから、まだ準備していないから、という理由は不適切です。
必要な管理策が未実施の場合は、不適用にするのではなく、対応計画として管理する必要があります。

また、2022年版への対応も重要です。
旧版の114管理策番号のままになっていないか、新規11管理策を検討しているか、クラウド利用やICT継続性、構成管理、情報削除などの論点を見落としていないかを確認しましょう。
内部監査やマネジメントレビューで適用宣言書を見直しているかも、審査で説明しやすいポイントです。

よくある失敗と改善策

適用宣言書でよくある失敗は、93管理策をすべて適用にしてしまうことです。
全部適用にすると一見安全に見えますが、実際には運用できない管理策まで抱えることになり、審査で記録を求められたときに説明しにくくなります。
必要な管理策をリスクに基づいて選ぶことが大切です。

次に多いのは、除外理由が曖昧なケースです。
該当なし、不要、対象外とだけ書いていると、なぜ対象外なのかが分かりません。
事業内容、情報資産、リスク評価、対象業務の有無を根拠にして、審査で説明できる粒度にします。

また、SoAと規程・手順書がつながっていない、実施状況が古い、証跡がない、旧版番号のまま、更新ルールがない、という失敗もあります。
改善するときは、SoAだけを直すのではなく、リスク評価、関連規程、手順、記録、内部監査の確認項目まで合わせて見直しましょう。

コンサルに相談するときに確認すべきこと

ISO27001の適用宣言書についてコンサル会社へ相談する場合は、SoAの表を作ってもらえるかだけでなく、リスクアセスメント、附属書A、社内規程、手順、運用記録、内部監査、審査対応までつなげて見てもらえるかを確認しましょう。
適用宣言書は単体で完成する文書ではなく、ISMS全体の判断結果をまとめる文書です。

確認したいのは、自社の情報資産や業務内容に合わせて管理策を判断してくれるか、除外理由を審査で説明できる内容にしてくれるか、2022年版の93管理策で整えてくれるか、適用とした管理策の関連文書や証跡まで確認してくれるかです。
内部監査やマネジメントレビューでの見直し方法まで支援範囲に含まれているかも確認しましょう。

低価格のコンサル会社でも、支援範囲、追加費用、対応方法、取得後支援、安さの理由が明確であれば有力な選択肢になります。
ISOトラストのように月額費用を抑えた支援を行う会社もあるため、初めてISO27001を取得する会社や担当者工数を減らしたい会社は、複数社を比較して自社に合う進め方を確認するとよいでしょう。

まとめ：適用宣言書は審査用の表ではなく、リスク対応を説明する地図

ISO27001の適用宣言書は、附属書Aの管理策について、適用・不適用、理由、実施状況を整理する重要文書です。
単なる93管理策の採否表ではなく、情報資産、リスクアセスメント、管理策、社内規程、運用記録、審査説明をつなぐ地図のような役割を持ちます。

適用理由も除外理由も、事業内容、情報資産、リスク評価、法令・契約要求、運用実態に基づいて書くことが重要です。
適用と書いた管理策については、関連文書や証跡を確認できる状態にします。
不適用にする場合も、該当なしだけで済ませず、なぜ対象外なのかを説明できるようにします。

適用宣言書は作って終わりではありません。
業務変更、システム変更、クラウド利用変更、委託先変更、内部監査、マネジメントレビュー、規格改訂に合わせて見直す必要があります。
自社だけで判断が難しい場合は、ISO27001に詳しいコンサル会社へ相談し、複数社の支援内容を比較しながら進めるとよいでしょう。

よくある質問