監査に耐える適用宣言書の書き方

ISO/IEC 27001の箇条6.1.3(d)では、適用宣言書の作成が求められています。これは、必要な管理策、それらを含めた理由、導入済みかどうか、そして附属書Aの93の管理策のうち除外したものがあればその理由を記載した文書です。事務的な文書に聞こえるかもしれませんが、実際にはリスクアセスメントと管理策をつなぐ役割を担っており、認証審査員は内容を注意深く読みます。適用宣言書の質が低い場合、その背後にあるリスクプロセスにも問題がある可能性が高いためです。

記載すべき内容

附属書Aのすべての管理策、および独自に追加した管理策について、以下を記載します。

1. 適用対象かどうか。
2. 含めた理由: 通常は、対応するリスク、法的または契約上の要件、あるいは経営判断です。
3. 導入状況: 導入済み、一部導入済み、または計画中のいずれか。
4. 除外理由（除外する場合）。

多くの適用宣言書には、各管理策の導入方法の簡単な説明と、関連するポリシーや手順への参照も加えられています。これは厳密に必須ではありませんが、監査を大幅に効率化します。

含める理由の示し方

各管理策を具体的なものに結び付けてください。たとえば、リスク登録簿上のリスク、法的要件（GDPR第32条、NIS2、業界規制）、契約、または顧客の要求などです。「ベストプラクティスだから」は弱い理由です。「リスクR-12およびR-17に対応し、NIS2の義務で求められているため」は強い理由です。管理策を法的要件と結び付けておくと、複数のフレームワークに対応する際にも役立ちます。当サイトの要件ページでは、附属書Aの各管理策がどの他フレームワークに対応するかが分かります。例えばA.8.24 暗号の使用などです。

除外理由の示し方

除外は認められますが、監査人が検証できる理由が必要です。有効な理由は次のとおりです。

• その活動は適用範囲内で行われていない。 外部委託による開発を行っていないため、A.8.30を除外する。
• そのリスクは適用範囲内に存在しない。 完全リモートで事務所を持たない組織は、一部のA.7物理的管理策を除外できる場合があります。ただし、所在にかかわらず機器や媒体を対象とする管理策は除外できません。

弱い理由は「関連がない」「IT部門が対応している」「クラウド事業者が実施している」などです。サプライヤーが管理策を実施している場合でも、その管理策は適用対象です。サプライヤー管理策を通じて管理します。

よくある監査指摘事項

• 適用宣言書がリスク対応計画と一致していない。 リスク対応で選定した管理策は適用宣言書に記載され、その逆も必要です。
• 導入済みとされているが証跡がない。 管理策を導入済みとすると、証明を求められます。
• テンプレートの文言。 テンプレートからコピーした説明が、実際の運用と一致していない。
• 古いバージョン。 2013年版の附属書Aの番号体系のまま記載されている、または重大な変更後に更新されていない適用宣言書。

実務的な構成

管理策ごとに1行とし、ID・名称、適用の有無（はい/いいえ）、理由（リスク、法的・契約上の要件）、ステータス、実施方法の一行説明、担当者、証跡への参照を記載します。スプレッドシートまたは文書管理下にあるGRCツールで管理し、リスクアセスメントのたびに見直してください。

適用宣言書を最新に保つ

初回の認証時に作成されたまま更新されない適用宣言書は、次回の監査で指摘事項となります。次の場合には必ず更新してください。

• リスクアセスメントにより選定した管理策が変わった場合
• 適用範囲が変わった場合（新製品、新拠点、新しいクラウド事業者など）
• 管理策の導入状況が変わった場合
• 新たな法的または契約上の要件が適用された場合（例：NIS2や顧客との契約）

更新のたびに、版数、日付、承認者を記録してください。

重要なポイント

• すべての附属書Aの管理策について、除外を含めて判断と理由が必要です。
• 含める管理策は、具体的なリスクおよび法的・契約上の要件と結び付けてください。
• 適用宣言書はリスク対応計画と整合させ、常に最新の状態に保ってください。

複数のフレームワークに同時に対応する

SOC 2、NIS2、PCI DSSにも対応する場合は、それぞれの対応要件を示す列を追加してください。これにより、適用宣言書は共通の管理策セットの基盤となります。SOC 2とISO 27001の共通管理策セットに関する当サイトの記事でその方法を紹介しています。また、ギャップ分析では、附属書Aの各管理策を他のフレームワークと照合できます。認証に関するその他の内容はISO 27001ガイドでご確認ください。

よくある質問

ISO 27001では附属書Aの管理策を除外できますか？

はい、除外に正当な理由がある場合は可能です。通常は、対象範囲内にそのリスクが存在しない場合です（例：外部委託で開発を行っていない場合の外部委託開発）。除外は適用宣言書に正当化して記載する必要があります。

適用宣言書には何を記載する必要がありますか？

ISO 27001の箇条6.1.3(d)では、必要な管理策、それらを含める理由、導入済みかどうか、そして附属書Aの管理策を除外する場合はその理由の記載が求められています。

適用宣言書は顧客と共有されますか？

通常、全文を共有することはありません。適用宣言書は内部文書であり、認証機関が審査します。一部の組織は、どの管理策が適用されるかを示すため、秘密保持契約のもとで要約を顧客と共有しています。