ISMS構築で最初に手が止まるのは、たいてい附属書Aです。93という数字を見た瞬間に「これを全部やるのか」という気持ちになり、一覧表を上から順に埋めようとして、3日目あたりで止まる。よくある入り方であり、そもそも入り方が間違っています。
附属書Aは、上から順に潰していくチェックリストではありません。リスク対応を決めるときに「対策の抜けがないか」を確かめるためのカタログです。93すべてを実施する義務はなく、自社に関係のないものは「関係ない」と説明すれば足ります。この前提を持って読むかどうかで、作業量は倍くらい変わります。
本記事では、93管理策が4つのテーマにどう整理されているのか、採否をどう決めて何に書くのか、属性という分類軸は何のためにあるのかを俯瞰します。テーマごとの具体的な読み方は4本の記事に分けていますので、全体像をつかんだうえで必要な箇所へ進んでください。規格全体の位置づけから確認したい場合は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド を先にご覧ください。
免責：本記事は一般的な情報提供です。管理策の題名・要求の本文は規格の正文に記載されています。本記事では著作権に配慮し、逐語の引用はせず、要求の趣旨を当社の言葉で説明しています。実際の適用判断は ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料に基づいて行ってください。
附属書Aは「管理策のカタログ」である
ISO/IEC 27001 は、本文（箇条4〜10）と附属書Aの二層構造になっています。認証の可否を決めるのは本文の要求事項であり、附属書Aはその中の箇条6（計画）で行うリスク対応の参照先という位置づけです。
順番としてはこうなります。
- 適用範囲を決める（箇条4）
- 情報資産を洗い出し、リスクを評価する（箇条6）
- リスクごとに対応方針を決める（低減／移転／回避／受容）
- 「低減」を選んだリスクに対し、どの管理策を使うかを決める
- 決めた結果を附属書Aと突き合わせ、抜けがないかを確認する
- 採用・不採用とその理由を適用宣言書（SoA）に記載する
多くの組織が失敗するのは、1〜3を飛ばして4から始めてしまうことです。リスクが決まっていない状態で管理策だけ実装すると、「なぜそれをやっているのか」を審査で説明できません。逆に、リスクアセスメントがきちんとできていれば、附属書Aの突き合わせは確認作業になります。
リスクアセスメントの手順は リスクアセスメントの進め方｜評価基準の設計、対応方針の決め方は リスク対応計画とリスク受容の判断 で扱っています。
4テーマ93管理策の構造
2022年版では、管理策が 4つのテーマ・93項目に整理されました。2013年版の14分類114管理策から、重複の統合と新規追加を経て再編されたものです。
| テーマ | 記号 | 管理策数 | 扱う領域 | 主な担い手 |
|---|---|---|---|---|
| 組織的管理策 | A.5 | 37 | 方針、役割、資産管理、委託先、インシデント、事業継続、法令遵守 | 経営層・管理部門 |
| 人的管理策 | A.6 | 8 | 採用、教育、懲戒、退職後の責任、リモートワーク、事象報告 | 人事・全社 |
| 物理的管理策 | A.7 | 14 | 境界と入退、環境脅威、装置、媒体、廃棄 | 総務・情報システム |
| 技術的管理策 | A.8 | 34 | アクセス制御、暗号、ログ、脆弱性管理、ネットワーク、セキュアな開発 | 開発・情報システム |
数の偏りには意味があります。組織的（37）と技術的（34）で全体の約8割を占めており、ここが実務の重心です。一方、人的管理策は8項目しかありませんが、審査で不適合になりやすいのは記録の不備であって数の少なさではありません。物理的管理策14項目は、オフィスを持たない組織では大半が適用除外または委託先管理に寄せられます。
テーマ別の読み方は次の4本に分けました。
- 組織的管理策37項目の読み方 — 方針・資産・委託先・インシデント・事業継続
- 人的管理策8項目の読み方 — 採用から退職まで、少人数組織の職務分離
- 物理的管理策14項目の読み方 — フルリモート・クラウド専業の場合の扱い
- 技術的管理策34項目の読み方 — 医療SaaSの開発・運用の文脈で
93すべてを実施する義務はない
ここが最も誤解されている点です。附属書Aの管理策は必須項目のリストではありません。規格が求めているのは、リスク対応に必要な管理策を決めたうえで、附属書Aと照合して見落としがないことを確かめ、採用・不採用の判断と理由を文書化することです。
不採用の理由として成立するのは、たとえば次のようなものです。
| 状況 | 不採用にできる代表例 | 説明の書き方 |
|---|---|---|
| 自社でソフトウェア開発を行わない | セキュアコーディング、開発環境の分離、外部委託開発の管理 | 適用範囲内に開発活動が存在しないため |
| 物理オフィスを持たない | 物理的セキュリティ境界、セキュアエリアでの作業 | 自社管理の物理的施設が存在せず、設備は委託先の管理下にあるため |
| 自社データセンターを持たない | 支援ユーティリティ、ケーブル配線のセキュリティ | 該当設備をクラウド事業者が管理しており、委託先管理で対応するため |
| 紙媒体を一切扱わない | 記憶媒体の管理の一部 | 業務上、対象となる媒体を取り扱わないため |
逆に、説明が成立しない不採用もあります。「予算がないから」「人がいないから」は理由になりません。リソース不足でできないのであれば、それは「リスクを受容した」という別の判断であり、受容には相応の承認記録が必要です。
適用宣言書の具体的な書式と記載例は 適用宣言書（SoA）の書き方 にまとめています。審査で最初に見られる文書であり、ここの記述が雑だと全体の印象が決まります。
属性による分類をどう使うか
2022年版では、各管理策に属性（attributes） という分類軸が与えられました。管理策のタイプ、情報セキュリティ特性、サイバーセキュリティ概念、運用能力、セキュリティドメインといった軸で、同じ93項目を別の切り口から束ねられるようになっています。
| 属性の軸 | 分類の例 | 実務での使いどころ |
|---|---|---|
| 管理策のタイプ | 予防／検知／是正 | 検知と是正が手薄になっていないかの点検 |
| 情報セキュリティ特性 | 機密性／完全性／可用性 | 可用性の管理策が方針だけで終わっていないかの確認 |
| サイバーセキュリティ概念 | 特定／防御／検知／対応／復旧 | 他フレームワークとの対応づけ |
| 運用能力 | ガバナンス、資産管理、脅威対応など | 担当部門への割り当て |
| セキュリティドメイン | ガバナンスとエコシステム、保護、防御、レジリエンス | 経営報告の粒度で束ねる |
注意すべきなのは、属性の記載は認証の要求事項ではないということです。使わなくても認証は取れます。ただ、実務では2つの場面で効きます。ひとつは内部監査の切り口として。「検知」に分類される管理策だけを抜き出して監査すると、ログや監視の運用が形骸化していないかを一気に確認できます。もうひとつは経営報告です。93項目の実施状況を項目単位で報告しても経営層には伝わりませんが、「防御はできているが検知と復旧が薄い」という粒度なら投資判断につながります。
ヘルスケア企業はどの順で着手するか
93項目を均等に進めるのは非効率です。ヘルスケア領域で医療情報や個人の健康情報を扱う事業者であれば、次の順序が現実的です。
- 組織的管理策のうち、方針・役割・資産管理（A.5の前半） すべての土台。資産台帳がないとリスクアセスメントが始まりません
- 技術的管理策のうち、アクセス制御と認証（A.8の前半） 医療情報へのアクセスは「誰が・いつ・何を見たか」の説明責任が重い領域です
- 組織的管理策のうち、委託先・クラウド利用 クラウド前提の構成なら、責任分界の整理がここで必要になります
- 技術的管理策のうち、ログ・監視・脆弱性管理 3省2ガイドラインとの重なりが大きい領域です
- インシデント管理と事業継続 医療機関の業務を止めない、という観点が取引先から必ず問われます
- 人的管理策・物理的管理策 数が少なく、既存の人事規程・就業規則と重なる部分が多いため後回しでよい
医療機関側の要求水準は 3省2ガイドラインとは を、クラウド構成での責任分界は 責任共有モデルで考えるAI電子カルテのセキュリティ設計 をあわせて読むと、どこまでを自社で持つべきかの当たりがつきます。
なお、旧2013年版からの移行期限（2025年10月31日）は既に経過しています。これから新規取得する場合は2022年版のみが対象です。2013年版との差分が気になる場合は ISO/IEC 27001:2022への移行｜2013年版との差分 を参照してください。
まとめ
- 附属書Aはチェックリストではなくカタログ。リスクアセスメントを先に終え、抜け漏れ確認として使う
- 構造は4テーマ93管理策（組織的37／人的8／物理的14／技術的34）。組織的と技術的で約8割を占める
- 93すべてを実施する義務はない。採用・不採用と理由を適用宣言書に記載する
- 不採用の理由として成立するのは「該当する活動・資産が存在しない」こと。リソース不足は理由にならない
- 属性は認証の要求ではないが、内部監査の切り口と経営報告の粒度として有効
- ヘルスケア企業は、方針・資産 → アクセス制御 → 委託先 → ログ・脆弱性 → インシデント の順が現実的
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。附属書Aの採否判断は、規格の解釈だけでなく「自社の事業構造をどう説明するか」という作業です。適用宣言書のたたき台を当社で作成し、御社には判断だけをしていただく進め方が可能です。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISMS適合性評価制度 ISO/IEC 27001:2022への対応について｜ISMS-AC
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 27002 Information security controls｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※管理策の解釈・適用除外の可否、および認証の取扱いは、規格の改定や審査機関の運用によって変わり得ます。最新の取扱いは規格本文および認定機関・審査機関の公表資料をご確認ください。