適用宣言書とは？てきようせんげんしょ
適用宣言書とは、ISMSで、JIS Q 27001の附属書に示された管理策のうちどれを採用しどれを除外するかを、それぞれの理由とともに一覧にした文書。リスクアセスメントとリスク対応の結果を管理策の一覧へ突き合わせた成果物であり、認証審査で必ず確認される中核の文書となる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
管理策を「やっている・やっていない」だけで示すと、やらない選択が手抜きなのか、そのリスクが無いという判断なのかを外部から区別できない。採否とその理由を一枚に書き切らせることで、組織の判断を審査でも監査でも同じ土俵に載せて検証できるようにしている。sgでは、全部を採用する必要はないという点と、除外にも理由の記載が要る点が出題される。
具体例
クラウドサービスを一切使っていない組織なら、クラウド利用に関する管理策を「該当する利用が無いため適用除外」と理由つきで記載する。採用した管理策には「全社アカウントへ多要素認証を導入済み」のように実施状況を書き、内部監査ではこの記載と現場の実態が合っているかを確かめる。
試験での引っ掛け
附属書の管理策をすべて採用する必要はなく、リスクアセスメントの結果に基づいて選ぶ文書である。ただし除外する場合も理由の記載が求められ、書かずに外すのは不適合となる。リスクアセスメント報告書や情報資産台帳とは別の文書で、「管理策の採否と理由の一覧」という役割で区別される。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）解説で登場
組織がJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）への適合を宣言するとき，要求事項及び管理策の適用要否の考え方として，適切…
正解：規格本文の箇条4〜10に規定された要求事項：全て適用が必要である。附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる。
要点：本文の要求事項は必須、附属書Aの管理策は理由があれば除外可
JIS Q 27001への適合を宣言するには、規格本文の箇条4〜10の要求事項をすべて満たす必要があり、適用除外は認められない。一方、附属書Aの管理策は必要性を検討したうえで選択するもので、不要と判断した理由を適用宣言書に記載すれば除外できる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、…
正解：情報セキュリティ方針
要点：全員が認識すべきは方針・自らの貢献・不適合の意味
JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣…
正解：情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。
要点：適用宣言書は必要な管理策と附属書Aを比較して作る
ISMSでは、リスクアセスメントの結果から必要な管理策を決定し、それを附属書Aの管理策一覧と比較して見落としがないかを検証したうえで適用宣言書を作成する。適用宣言書には、適用する管理策とその理由、除外した管理策とその正当化理由を記載する。したがって適用宣言書は、リスク特定やリスク対応の選択肢選定より後の成果物であり、リスク対応計画の作成はさらにその後になる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。