適用宣言書とは？てきようせんげんしょ
適用宣言書とは、JIS Q 27001の附属書に並ぶ管理策について、自組織が採用するもの・除外するものを一覧にし、それぞれの理由とリスクアセスメント結果との対応を記した文書。ISMS認証審査では、組織が自らの判断を説明した証拠として中心に読まれる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
規格が求めるのは「全部やること」ではなく「取るリスクと取らないリスクを自分で決め、説明できること」である。管理策を機械的に全採用すれば安全になるという設計にすると、事業の実態に合わない統制で現場が止まる。適用宣言書はその判断を経営の意思として文書に固定する場所で、経営会議では「何をやらないと決めたか、その理由が並んだ一枚」と紹介すればよい。
具体例
クラウドサービスを利用していない企業がクラウド関連の管理策を「該当業務なし」として除外し、逆に委託先の多い企業は供給者管理の管理策を採用して契約書の雛形改定まで紐づける。M&Aで新しい事業を取り込んだ翌年は、除外していた管理策が該当するようになるため見直しが必要になる。
試験での引っ掛け
附属書の管理策を全部採用しなければ認証されない、という誤解が定番。求められるのはリスクアセスメント結果に基づく選定と、除外した場合の理由の明示である。また情報セキュリティ方針とは別文書で、方針が組織の姿勢を示すのに対し、適用宣言書は管理策ごとの採否という具体を示す。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。