適用宣言書とは？

適用宣言書の意味

JIS Q 27001の附属書に示された管理策について、自組織で採用する・しないを判断し、その理由を記載した文書。ISMS認証審査において重要な文書の一つとなる。

適用宣言書の具体例

ある管理策について「クラウド利用がないため対象外」と除外理由を明記したり、「多要素認証を導入済み」として採用状況を記載したりする。

適用宣言書は試験でどう引っ掛けられる？

附属書の管理策をすべて採用する必要はなく、組織のリスクアセスメント結果に基づいて必要な管理策を選択し、選定理由を示すことが求められる。

適用宣言書と関連する用語

• 管理策
• JIS Q 27001
• リスクアセスメント

適用宣言書が出た過去問

• 組織がJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）への適合を宣言するとき，要求事項及び管理策の適用要否の考え方として，適切…

  正解：規格本文の箇条4〜10に規定された要求事項：全て適用が必要である。附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる。

  要点：本文の要求事項は必須、附属書Aの管理策は理由があれば除外可

  JIS Q 27001への適合を宣言するには、規格本文の箇条4〜10の要求事項をすべて満たす必要があり、適用除外は認められない。一方、附属書Aの管理策は必要性を検討したうえで選択するもので、不要と判断した理由を適用宣言書に記載すれば除外できる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、…

  正解：情報セキュリティ方針

  要点：全員が認識すべきは方針・自らの貢献・不適合の意味

  JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣…

  正解：情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。

  要点：適用宣言書は必要な管理策と附属書Aを比較して作る

  ISMSでは、リスクアセスメントの結果から必要な管理策を決定し、それを附属書Aの管理策一覧と比較して見落としがないかを検証したうえで適用宣言書を作成する。適用宣言書には、適用する管理策とその理由、除外した管理策とその正当化理由を記載する。したがって適用宣言書は、リスク特定やリスク対応の選択肢選定より後の成果物であり、リスク対応計画の作成はさらにその後になる。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）