ISMS適用宣言書とは？作成する理由や記載する内容 

「ISMS適用宣言書とは何だろう？」
「ISMS認証を取得するためには、ISMS 適用宣言書も作らないといけないの？」
「ISMS適用宣言書にはどんなことを記載するの？」

初めてISMS認証を取得しようと考えている組織・企業の担当者様は、 ISMS 適用宣言書についてよく知らない方が多いのではないでしょうか。

ISMS適用宣言書は、ISMS 認証を取得するために作成が必須の文書です。本記事では ISMS 適用宣言書とは何か、記載する内容などを紹介します。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

ISMS 適用宣言書とは？

ISMS 適用宣言書とは、ISMS の国際規格である ISO/IEC 27001:2013 の附属書 A に記載された情報セキュリティ管理策114項目（2022年版では93項目）のうち、自社に適用する項目と除外する項目および除外理由を記した文書のことです。

附属書 A に記載された管理策は全て適用する必要はありません。自社に必要なもののみを適用し、それ以外は除外することができます（ただし、除外理由の妥当性は審査員が着目するポイントであり、基本的には全項目を記載するつもりで作成するのがおすすめ）。どの管理策を適用・除外するのか、その理由も明記し、社外に宣言するのが ISMS 適用宣言書の役割です。各項目の採否が変わった場合、認証書の再発行が必要になります（再発行の費用がかかります）。

ISMS 適用宣言書はなぜ必要なのか？

ISMS 適用宣言書を作成する理由は、ISMS 認証を取得するためだけではありません。組織・企業が行うセキュリティ対策を外部に対して明確にするためにも作成します。

さらに ISMS 適用宣言書は組織外部だけでなく内部にとっても意義があり、適用宣言書の作成にあたって適用・除外する管理策を選択することで、適切な ISMS の構築につながります。

ISMS 適用宣言書に記載すること

ISMS 適用宣言書には、 ISO/IEC 27001 の附属書 A に記載された情報セキュリティ管理策のうちどの項目を適用し、どの項目を除外するのか、適用・除外する理由とあわぜて規格番号の順に記載します。

また適用した項目の実行可否を記載する場合もあります。

ISMS 適用宣言書を作成する主な流れ

ISMS 適用宣言書を作成するまでの基本的な流れをまとめました。

1. 管理策・管理目的を把握する

2. 適用・除外する管理策を選択する

3. 適用する管理策を具体化し、適用・除外する理由とあわせて記載する

管理策・管理目的を把握する

まず ISO/IEC 27001:2013 の附属書 A に記載された管理策を大まかに把握しましょう。管理策は以下14のグループに分かれています。

1. セキュリティ方針

2. 組織体制

3. 人的資源

4. 資産管理

5. アクセス制御

6. 暗号

7. 物理的・環境的セキュリティ

8. 運用のセキュリティ

9. 通信のセキュリティ

10. システム開発保守

11. 供給者管理

12. インシデント管理

13. 事業継続マネジメント

14. 順守

適用・除外する管理策を選択する

管理策を把握したら、適用するもの、除外するものを選択していきます。

附属書 A に記載されていることを具体的に自社で運用するならばどんなケースなのかを想像し、それを含めた場合のコスト、含めなかった場合のリスクを天秤にかけて、コスパを見る方法や、代替措置など、柔軟な思考が求められます。

適用する管理策を具体化し、除外する理由とあわせて記載する

適用する管理策が決まったら、どのように自社で運用していくのか、具体化させていきましょう（適用する理由も宣言書に記載する）。

あわせて、除外する管理策とその理由も考え、適用宣言書に落とし込んでいきます。

SecureNaviを活用して、ISMS認証を効率的に取得しましょう！

今回は、ISMS適用宣言書とは何かや、ISMS適用宣言書作成する理由、記載内容などについて紹介しました。ISO/IEC 27001 で定義されている管理策は全て適用する必要がない分、どの管理策を適用・除外するのかを明確にすることが求められます。そのために作成するのが ISMS 適用宣言書であり、ISMS 認証を取得する場合、適用宣言書の作成が義務付けられています。
これから ISMS 認証を取得しようと考えている組織・企業の担当者様は、適用する管理策・除外する管理策を慎重に検討した上で、適用宣言書の作成を必ず行ってください。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。