人的管理策は附属書Aの中で最も項目数が少なく、8項目しかありません。93管理策の1割にも満たない。そのため「ここは軽い」と判断して後回しにされがちですが、審査で不適合が出る頻度はこの少なさに見合いません。
理由ははっきりしています。人的管理策が求めているのは、規程を書くことではなく記録が残っていることだからです。教育を実施した記録、誓約書を取得した記録、退職時に資産を回収した記録。どれも日々の人事運用の中で自然に発生するはずのものですが、ISMSの観点で意識的に残していないと、審査の場で「実施しているが証明できない」状態になります。
もうひとつ、少人数組織に固有の難所があります。職務の分離です。経理も開発も情報システムも同じ人が見ている組織で、規格が期待する分離をどう説明するか。この記事の後半で扱います。全体像は 附属書A 2022年版｜93管理策と4テーマの全体像 をご覧ください。
免責：本記事は一般的な情報提供です。管理策の題名・要求の本文は規格の正文に記載されています。本記事では著作権に配慮し、逐語の引用はせず、要求の趣旨を当社の言葉で説明しています。労務・雇用に関する取扱いは労働関係法令の定めが優先します。実際の運用は規格本文および専門家の助言に基づいて設計してください。
8項目を5つのグループで捉える
8項目は、人が組織に入ってから出ていくまでの時系列と、働く場所・報告の2軸で整理できます。
| グループ | 該当するおおよその範囲 | 狙い | 実務での主な成果物 |
|---|---|---|---|
| ① 入口 | 採用時の確認、雇用条件 | 信頼できる人を入れ、責任を契約に書く | 採用時確認の手順と記録、雇用契約・誓約書の条項 |
| ② 在職中 | 認識・教育・訓練、懲戒手続 | 決めたルールを知っている状態を維持する | 年間教育計画、受講記録、理解度確認、懲戒規定 |
| ③ 出口 | 雇用の終了・変更後の責任 | 辞めた後も守秘が続くことを担保する | 退職手続チェックリスト、資産返却記録、権限削除記録 |
| ④ 契約上の約束 | 守秘義務・秘密保持契約 | 対象と期間を明確にする | NDA雛形、業務委託契約の秘密保持条項 |
| ⑤ 働く場所と報告 | リモートワーク、情報セキュリティ事象の報告 | 社外での働き方を規定し、気づきを吸い上げる | リモートワーク規程、事象報告の経路と記録 |
この5つに対応する成果物は、多くが既存の人事文書の改訂で済みます。就業規則、雇用契約書、入社時オリエンテーション資料、退職手続チェックリスト。ゼロから新しい規程群を作る必要はなく、既存文書に情報セキュリティの観点を足す形が現実的です。
入口：採用時の確認と契約への落とし込み
求められているのは、業務上アクセスする情報の機微性に見合った確認を、採用時に行うこと、そして情報セキュリティ上の責任を雇用条件として明示することです。
ここで過剰に構える組織が多いのですが、規格は一律に厳格な身元調査を求めているわけではありません。適用される法令・倫理・機微性に照らして妥当な範囲というのが要求の趣旨です。日本の一般的な採用実務で行われている経歴の確認、提出書類の照合、必要に応じた前職照会で足りるケースがほとんどです。
ヘルスケア事業者で追加を検討すべきなのは、医療情報に直接アクセスする役割に対する扱いです。運用支援で顧客の本番環境に入る、データ移行で患者データを直接扱う、といったポジションについては、他の職種と同じ扱いでよいかを一度考えておく価値があります。差をつける場合、その基準を文書化しておけば、「なぜこの役職だけ扱いが違うのか」を説明できます。
契約側に書き込むのは次のような項目です。
- 業務上知り得た情報の秘密保持と、その範囲
- 会社が定める情報セキュリティ規程の順守義務
- 違反時の措置（懲戒規定への接続）
- 雇用終了後も継続する義務とその期間
業務委託・派遣・インターンも忘れないでください。 医療情報に触れる業務委託者がいるのに、委託契約に秘密保持条項が入っていないという状態は、審査以前に事業リスクです。
在職中：教育を「実施した」ではなく「証明できる」状態に
在職中のグループは、認識・教育・訓練と懲戒手続の2本です。実務上の重心は圧倒的に前者にあります。
求められているのは、従業者が自分の役割に応じた情報セキュリティの責任を認識し、必要な力量を持ち、それが維持されていることです。そのために年間の教育計画を立て、実施し、記録を残します。
審査で確認されるのは主に次の3点です。
| 確認される点 | 不十分な状態 | 十分な状態 |
|---|---|---|
| 全員が受けているか | 「実施した」とあるが受講者名簿がない | 対象者一覧に対する受講状況が100%で記録されている |
| 内容が役割に合っているか | 全員に同じ一般論の資料を配っている | 開発者にはセキュアコーディング、運用者には特権操作の注意点など役割別の内容がある |
| 理解されているか | 資料を配布しただけ | 確認テストや理解度チェックの結果が残っている |
受講率100%が最も難しい要件です。中途入社者、長期休業からの復帰者、業務委託者。誰か一人抜けた瞬間に「100%」が崩れます。入社手続のチェックリストに教育受講を組み込み、人事の入退社フローと一体で回す設計にしておくのが確実です。設計の詳細は 従業者教育の設計｜受講率100%の運用 で扱っています。
懲戒手続については、新しい懲戒規定を作る必要は通常ありません。既存の就業規則の懲戒条項が情報セキュリティ違反を含む形になっているかを確認し、必要なら条項を追補すれば足ります。重要なのは、懲戒が「あり得る」ことが従業者に周知されていることです。運用実績は不要ですし、あってほしくもありません。
出口：辞めた後にこそ効く管理策
雇用の終了または変更の後も続く責任、という管理策です。ここは記録の作りやすさの割に、抜けやすい領域です。
退職手続のチェックリストに、次を組み込んでおけば実務は回ります。
- 貸与資産（PC、スマートフォン、鍵、社員証、記憶媒体）の返却確認
- アカウントの無効化（社内システム、クラウドサービス、SaaS、外部サービスの共有アカウント）
- 特権権限の削除確認
- 秘密保持義務が継続することの再確認（退職時誓約書）
- 業務引継ぎに伴う権限の移管記録
2番が最も落ちやすい。 SaaSを多用する組織では、人事が把握しているアカウントと、実際に発行されているアカウントがずれます。GitHub、監視ツール、BIツール、顧客管理、クラウドコンソール。退職時の削除対象を一覧にしておかないと、半年後の権限棚卸で「まだ生きていた」が発覚します。
異動（雇用の「変更」）も同じ管理策の対象です。退職より異動のほうが取りこぼしやすいというのが実感で、前部署の権限が残ったまま新部署の権限が追加され、気づけば広範な権限を持つ人が生まれます。異動時にも同じチェックリストを回す運用にしてください。
技術側の権限削除の実装は 技術的管理策34項目の読み方、権限設計の考え方は アクセス権限設計と特権ID管理 を参照してください。
リモートワークと事象報告
リモートワーク
2022年版で独立した管理策として位置づけられました。フルリモートやハイブリッド勤務が前提の組織では、ここが物理的管理策の代替として機能します。この接続関係は 物理的管理策14項目の読み方 で詳しく扱います。
規程に書くべきことは、実務上おおむね次の範囲です。
- 作業場所の条件（第三者に画面が見えない環境、公共空間での作業の可否）
- 使用する機器の条件（会社貸与端末のみか、私物端末を認めるか）
- ネットワークの条件（公衆Wi-Fi利用時の要件、VPN の利用）
- 印刷・紙媒体の扱い（自宅での出力を認めるか、廃棄をどうするか）
- 家族・同居人への情報漏えい防止（画面ロック、会話の配慮）
- 機器の紛失・盗難時の報告手順
ヘルスケア事業者で特に決めておくべきなのは、顧客の本番環境（医療情報を含む）へのアクセスを自宅から認めるかです。認める場合は、端末の条件と接続経路の条件を明示し、操作ログが取得されることを本人に周知しておきます。認めない場合は、緊急時にどうするかを決めておかないと、障害対応の現場でルールが破られます。
情報セキュリティ事象の報告
最後の管理策は、従業者が「おかしい」と気づいたことを報告できる経路の確保です。組織的管理策のインシデント管理と一対になっています。
実務で効くのは心理的なハードルを下げる設計です。報告先が「情報セキュリティ委員会」のようなフォーマルな組織名だけだと、フィッシングメールを開いてしまった従業者は報告をためらいます。Slackの専用チャンネル、専用フォーム、直属の上長経由——複数の経路を用意し、報告したこと自体を責めない方針を明文化するほうが、結果的に早期検知につながります。
報告の記録は残してください。「報告はあったが記録がない」は、インシデント管理側の管理策と合わせて不適合になり得ます。
少人数組織で職務分離をどう説明するか
組織的管理策に含まれる職務の分離は、実質的に人的管理策と一体で問われます。10名以下の組織では、完全な分離は物理的に不可能です。開発者がインフラも見て、経理も兼務しているという状況は珍しくありません。
このときの正しい対応は、「分離できています」と偽ることでも、「できないので対象外です」と切り捨てることでもありません。補完的な管理策で緩和していることを説明するのが規格に沿った答えです。
| 分離できない状況 | 補完的な管理策の例 |
|---|---|
| 開発者が本番環境にもアクセスできる | 本番操作の承認を別の者が行う／操作ログを第三者が定期レビューする |
| 特権IDの発行者と利用者が同一 | 発行記録を経営層が月次で確認する／特権操作の時間帯を限定する |
| 内部監査員が自部門を監査せざるを得ない | 外部の内部監査員を起用する |
| 支払処理の起票と承認が同一人物 | 一定額以上は経営層承認を必須とする |
ポイントは、「別の人が事後に見る」という構造を作ることです。事前の分離が無理なら、事後のレビューで代替する。そしてそのレビューを記録に残す。これが成立していれば、少人数であることは不適合の理由になりません。
この論点は 少人数組織のISMS｜50名以下で取得するときの考え方 でより広く扱っています。適用宣言書への書き方は 適用宣言書（SoA）の書き方 を参照してください。
まとめ
- 人的管理策は8項目と最少だが、記録の不備で不適合になりやすい
- 成果物の多くは既存の就業規則・雇用契約・入退社フローの改訂で足りる。新規に規程群を作る必要はない
- 採用時の確認は一律の厳格化ではなく、情報の機微性に見合った妥当な範囲。医療情報に直接触れる役割は別扱いを検討する
- 教育は「実施した」ではなく**「全員が・役割に合った内容を・理解した」ことを証明できる**状態にする
- 退職・異動時のアカウント削除はSaaSの取りこぼしが定番。削除対象一覧を先に作る
- リモートワークは、顧客の本番環境への自宅アクセスの可否を明示的に決める
- 職務分離が無理なら、事後レビューという補完的管理策で説明する。少人数は不適合の理由にならない
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。人的管理策は既存の人事運用との接続が鍵になる領域です。教材と受講管理の仕組み、退職・異動時のチェックリスト、誓約書の雛形を提供し、御社の既存フローに組み込む形で整備できます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド、組織側の管理策は 組織的管理策37項目の読み方 をあわせてご覧ください。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 27002 Information security controls｜ISO
- テレワークセキュリティガイドライン｜総務省
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※労務・雇用に関する取扱いは労働関係法令の定めが優先します。管理策の解釈は規格の改定や審査機関の運用によって変わり得ます。最新の取扱いは規格本文および認定機関・審査機関の公表資料をご確認ください。