ISMSの管理策の一覧は？

isms 管理策 一覧: 新規格の4テーマ構成と項目数

情報セキュリティ体制の構築には最新規格の理解が必要です。isms 管理策 一覧の全体像を把握することで組織のセキュリティリスクへの正確な対策設計が容易になります。効率的な適用宣言書作成を進めるため構成の詳細を確認してください。

ISMSの管理策の一覧と4つのテーマとは？

ISMSの国際規格（ISO/IEC 27001:2022およびJIS Q 27001:2023）の附属書Aにおける管理策は、全93項目で構成されており、情報セキュリティを多角的に保護するための基準を示しています。これらの管理策は、企業や組織が直面するさまざまなリスクを網羅的にカバーするために設計されており、適切なセキュリティ体制を構築するうえで欠かせない基盤となります。

情報セキュリティの対策をどこから手をつければよいか迷うという声は非常に多く聞かれます。規格が示す全体像をあらかじめ把握しておくことで、自社に足りない部分や優先して対策すべきポイントが見えやすくなります。

附属書Aを構成する4つのテーマと項目数

2022年版の附属書Aでは、管理策が従来の14から4つのテーマへと大幅に再編されました。それぞれのテーマと項目数の内訳は以下の通りです: 組織的管理策（37項目、5.1から5.37）: 情報セキュリティ方針、役割と責任、情報分類、サプライチェーン、インシデント対応、法令遵守など、組織全体のガバナンスに関わる項目を網羅しています。 人的管理策（8項目、6.1から6.8）: 雇用前後のスクリーニング、教育・訓練、規律・懲戒、リモートワークなど、従業員に関するセキュリティを扱います。 物理的管理策（14項目、7.1から7.14）: 物理的セキュリティ境界、入退室管理、クリアデスク・クリアスクリーン、機器保護、記憶媒体の管理などが含まれます。 技術的管理策（34項目、8.1から8.34）: アクセス制御、認証、暗号化、ログ管理、脆弱性管理、バックアップ、セキュアコーディングなど、システム技術に関する対策を定めています。

2022年版改訂で新設された11の管理策

従来の2013年版（114項目）から項目が統合・見直された結果、全体の総数が93項目に減少した一方で、現代のサイバーセキュリティ環境の変化に合わせて以下の11項目が新しく追加されました: 1. 脅威インテリジェンス（5.7） 2. クラウドサービスの利用における情報セキュリティ（5.23） 3. 事業継続のためのICTの備え（5.30） 4. 物理的セキュリティの監視（7.4） 5. 構成管理（8.9） 6. 情報の削除（8.10） 7. データマスキング（8.11） 8. データ漏えいの防止（8.12） 9. 監視活動（8.16） 10. ウェブフィルタリング（8.23） 11. セキュリティに配慮したコーディング（8.28）

クラウドサービスの普及やリモートワークの常態化、さらには高度化するサイバー攻撃に対応するため、これらの新規項目へのキャッチアップが現在のISMS運用において重要視されています。

すべての管理策を適用しなければならないのか？

ISMSの管理策一覧を前にすると、すべての項目を完璧に実施しなければならないプレッシャーを感じる担当者は少なくありません。しかし、全93項目を一律でそのまま適用することが義務付けられているわけではありません。

実際の運用の現場では、リスクアセスメント（リスク評価）の結果に基づいて、自社の事業内容や保有する情報資産の性質に照らし合わせ、不要と判断される管理策を「除外」することが認められています。大切なのは、自社にとってどのリスクが脅威になるかを正しく見極めることです。

適用宣言書（SoA）作成の重要性

どの管理策を「適用」し、どれを「除外」するのか、その正当な理由を含めて一覧化したものが「適用宣言書（Statement of Applicability）」です。ISMSの認証取得や維持審査においては、この適用宣言書の作成が必須となります。

審査の際には、除外した項目について「なぜ自社には不要と言えるのか」をリスクアセスメントの根拠をもって説明できるかどうかが厳しくチェックされます。単に面倒だからという理由で外すことは許されません。

ISMS管理策の4つのテーマ比較

附属書Aを構成する4つのテーマは、それぞれ対象とする領域や役割が異なります。それぞれの特徴を整理します。

組織的管理策

- 方針、役割・責任、情報分類、サプライチェーン、法令遵守

- 37項目（5.1 〜 5.37）

- 企業全体のルール作りやガバナンスの土台を固める

人的管理策

- 雇用前後のスクリーニング、教育・訓練、規律・懲戒

- 8項目（6.1 〜 6.8）

- 従業員のセキュリティ意識向上と内部不正のリスク低減

物理的管理策

- 物理的セキュリティ境界、入退室管理、機器保護

- 14項目（7.1 〜 7.14）

- オフィスやデータセンターなど実空間の安全確保

技術的管理策

- アクセス制御、暗号化、ログ管理、脆弱性管理、バックアップ

- 34項目（8.1 〜 8.34）

- ITシステムやネットワークを通じた脅威の直接防御

これら4つのテーマは相互に補完し合っており、どれか一つが欠けても強固なISMSは成立しません。自社の脆弱な部分を見極め、バランスよく対策を組み込むことが求められます。

中小IT企業における適用宣言書（SoA）見直しの実例

従業員40名のシステム開発会社でセキュリティ担当を務める佐藤さんは、2022年版への移行時に全93項目の多さに圧倒され、何から手をつければよいか途方に暮れていました。

最初の試みとして、すべての管理策に一律でチェックを入れようとしたところ、物理サーバーを持たない完全クラウド型の同社では「物理的管理策」の一部が現実の運用と噛み合わず、無駄な規定書類が増えて現場が混乱する事態に陥りました。

そこで佐藤さんは方針を転換し、リスクアセスメントをやり直して「自社にサーバー室はないため物理的境界の大部分は除外するが、クラウド利用に関する新規項目（5.23など）は徹底的に強化する」というメリハリをつけたアプローチに変更しました。

結果として、無駄な文書化を削減しながら審査をスムーズに通過でき、実態に即した効率的なISMS運用を実現できるようになりました。