【サンプルあり】ISMS適用宣言書とは？必要性や作成方法を解説

ISMS認証（ISO27001 ）を取得する際には、ISMS適用宣言書の作成が欠かせません。社内でのセキュリティ体制の管理だけでなく、外部にも自社のセキュリティ体制を示すうえで重要な文書です。

しかし、はじめてISMS認証を取得する場合、ISMS適用宣言書についてよくわからないという企業も多いでしょう。

そこで、この記事ではISMS適用宣言書の概要や必要性、作成の流れを解説します。また作成の具体例や書式サンプルも紹介しますので、作成の参考にしてください。

ISMS適用宣言書とは

ISMS適用宣言書とは、ISO27001（ISMS）の附属書Aに記載されている管理策において、「自社で適用する項目」「除外する項目」、「適用もしくは除外する理由」を記載した文書です。

附属書Aには、情報セキュリティ管理策の一覧（93個）が記載されており、そのすべてを自社に適用する必要はありません。そのため、ISMS適用宣言書によって適用・除外する項目とその理由を記載し、公開することが求められます。

なお、ISMS適用宣言書の作成は、ISO27001の要求事項によって義務付けられています。

ISMS適用宣言書の必要性

ISMS適用宣言書を作成する必要性は、「組織内外に対して、自社の情報セキュリティに対する方針や実施する対策を周知できる」という点にあります。

具体的には、以下の点をISMS適用宣言書によって周知できます。

• 自社の情報セキュリティに関する方針や実施状況の周知
• 自社で適用する・除外する情報セキュリティ対策の周知
• リスクアセスメントの結果に基づいて選定されたという根拠の周知

こうした点を周知できるため、情報セキュリティ対策が組織の実態に即して適切に計画・実施されているかどうかを、第三者が判断するための根拠となります。
適用宣言書が不十分もしくは不適切であると、管理策の網羅性や有効性が疑問視されることになり、内部監査や登録審査時に指摘を受ける可能性もあります。

ISMS適用宣言書に記載する内容

ISMS適用宣言書には、主に以下の内容を記載します。

• 適用する管理策とその規格番号
• 適用する管理策の選択理由
• 除外する管理策とその規格番号
• 除外する管理策の除外理由

適用する管理策と除外する管理策は、規格番号の順番どおりに記載しましょう。
また、管理策の特定の項目を選択した場合には、その管理策に対応する関連文書を明記しても構いません。

詳しい記載内容については、のちほど具体例を交えて紹介します。

ISMS適用宣言書に記載する「管理策」とは

管理策とは、「附属書Aに記載されている、情報セキュリティリスクにおける93項目の対策」です。

例えば、「5.23クラウドサービスの利用における情報セキュリティ」では、組織がクラウドサービスを利用する際の方針の策定やリスク分析、規程や手順の策定などを実施する管理策となっています。

間違えやすい言葉に「要求事項」がありますが、要求事項とは、ISO27001を取得するための基本要件のことです。すべての組織が、ISO27001の適用範囲において対応する必要があります。

ISO/IEC27001:2022の附属書Aには、93項目の管理策が記載されています。93項目の管理策は、以下の4つのカテゴリに分類されています。

ISMS適用宣言書を作成する3つの手順

ここでは、ISMS適用宣言書を作成する3つの手順を解説します。

1.管理策を把握する

まずは、附属書Aに記載されている93項目の管理策について内容を把握しましょう。
各管理策の概要や目的、方法を理解することで、自社で適用すべきかどうかを判断できるようになります。

2.適用・除外する管理策を選定する

管理策を適用する場合には、自社で運用する場合の方法やコストなどを具体的に検討しましょう。
一方、除外する管理策を決定する際には、「大変だからやらない」といった理由は適切ではありません。のちほど詳しく解説しますが、除外する場合には合理的な理由が必要になります。

管理策93項目中0～10項目程度が適用除外となり、ほとんどの管理策は実行することが一般的です。

3.適用宣言書に落とし込む

適用・除外する管理策が決まったら、ISMS適用宣言書を作成します。除外する場合には、その理由も併せて記載することが必要です。

また適用宣言書を作成するとともに、管理策内容を実際に運用できるようにルール・マニュアルを明確にしましょう。

【サンプル】ISMS適用宣言書の具体例

ISMS適用宣言書の具体例を作成しましたので、自社で作成する際の参考にしてください。

■目的
当社の情報セキュリティマネジメントシステム（以下ISMS）の構築及び運用にあたり、一般財団法人日本規格協会が発行する「ISO/IEC27001:2022(JISQ27001:2022)情報セキュリティマネジメントシステムの国際規格」の附属書Aに記載された管理目的及び管理策の各規定項目に対して宣言したものである。

■管理策の適用・除外一覧表
※適用欄（適用：〇、適用除外：×、管理策を実施していない：△）

ISMS適用宣言書作成の注意点

ここでは、ISMS適用宣言書を作成する際の注意点を解説します。

リスクアセスメントとの整合性を保つ

「自社に適用すべき管理策をどうやって判断すべきか」と感じる方も多いでしょう。実は、ISMS適用宣言書は、リスクアセスメントの結果に基づいて作成する必要があります。

そもそもリスクアセスメントとは、自社の情報資産を守るために「情報セキュリティリスクを特定し、特定したリスクにおいて脅威・脆弱性・影響などを分析し、評価するプロセス」のことです。

そして、リスク対策を立案する際に参照するものが、ISO27001の管理策です。そのため、リスク評価の結果と管理策の選定に一貫性がないと、適用宣言書の信頼性が損なわれる可能性が高くなります。
例えば、リスクアセスメントの結果、「物理的セキュリティリスク」のリスク評価が高い値だったのにもかかわらず、物理的なアクセス制御に関する管理策が適用対象から除外されている場合、整合性が問われることになります。

またリスクアセスメントを実施した結果、「リスク受容（リスクが発生した際の影響を受け入れること）する」「自社に該当しない」と判断した場合には、除外することを決定します。その際には、除外すると判断した証拠についても用意することが必要です。

審査でよくあるISMS適用宣言書の不備

以下のような不備は、審査での指摘事項となる場合があるため、注意して作成しましょう。

除外管理策の理由が不明確

「当社に該当しないため」などの記載のみで、具体的な理由が記載されていない場合

リスク評価結果との関係性が不明確

その管理策を採用した理由において、リスクとの整合性が不明瞭な場合

運用現場と実態が一致していない

宣言書では適用と記載しているものの、実際には未運用の場合

まとめ

この記事ではISMS適用宣言書の概要や必要性、作成の流れを解説しました。

現在ISO27001の管理策は93個にわたり提示されています。これら一つひとつについて、自社のルールと照らし合わせて、適合・除外を決めていくことが必要です。そのため自社のルールだけでなく管理策に対する理解も求められます。

適用宣言書の作成に不安がある場合は、ISMSの取得サポートをプロのコンサルに相談することがおすすめです。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。