箇条7は、地味に見えて審査での指摘がもっとも集中する箇条です。教育記録が一部欠けている、規程の版が古いまま運用されている、承認者が空欄のまま配付されている——いずれも内容の善し悪しではなく、記録と管理の話です。
そしてこれらは、組織の実力とはあまり関係なく発生します。セキュリティ水準が高い会社でも、「やっていることを記録に残す設計」ができていなければ不適合になる。逆に、記録の型さえ決まっていれば、日々の作業はほとんど増えません。箇条7は、この型を決める箇条です。
本記事は、箇条7の要求を実務に翻訳し、力量と認識の違い、教育記録の残し方、文書管理の設計、そして審査で何を見られるのかを整理します。前提となる計画は 箇条6 計画｜リスクアセスメントと情報セキュリティ目的、規格全体の見取り図は ISMS（ISO/IEC 27001）とは をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の対応はそれらに基づいて行ってください。
この箇条が求めていること
箇条7は5つの部分からできています。
1. 資源
ISMSの確立・実施・維持・継続的改善に必要な資源を決定し、提供すること。人員、時間、予算、ツール、外部の専門知識が含まれます。箇条5でトップマネジメントが負う責任の具体化にあたります。
2. 力量（competence）
情報セキュリティのパフォーマンスに影響する業務を行う人について、必要な力量を決定し、教育・訓練・経験によってその力量を持つことを確実にし、力量の証拠を記録として保持すること。力量が足りない場合は、それを獲得するための処置（教育、配置転換、採用、外部委託など）を取り、その処置の有効性を評価します。
ここでの要点は、「研修を受けさせた」ことと「力量がある」ことは別だという点です。規格が求めているのは後者であり、前者はその手段の一つにすぎません。
3. 認識（awareness）
組織の管理下で働く人々が、情報セキュリティ方針、自分がISMSの有効性に貢献する方法（セキュリティパフォーマンス向上の便益を含む）、そしてISMSの要求事項に適合しないことの意味を理解していること。
力量が「特定の業務を適切に遂行できる能力」であるのに対し、認識は「全員が最低限知っているべきこと」です。対象範囲が違います。
4. コミュニケーション
ISMSに関連する内部および外部のコミュニケーションについて、何を・いつ・誰に・誰が・どのように伝えるかを決めること。インシデント発生時の連絡経路、顧客への通知、当局への報告、審査機関とのやり取りなどが含まれます。
5. 文書化した情報（documented information）
規格が要求する文書と、組織が必要と判断した文書を作成し、管理すること。作成・更新にあたっては、識別（タイトル・日付・作成者・参照番号など）、形式と媒体、そしてレビューと承認が求められます。管理としては、必要なときに必要な場所で利用できること、十分に保護されていること、配付・アクセス・検索・利用、保管と保存、変更の管理（版の管理）、保持と廃棄が求められます。さらに、外部で作成された文書のうち必要なものも管理対象に含めます。
実務で作る成果物
| 成果物 | 目的 | 誰が承認するか |
|---|---|---|
| 力量要件の定義（役割別スキルマップ） | 役割ごとに必要な知識・技能を明示する | ISMS責任者／各部門長 |
| 力量評価記録 | 各人が要件を満たしていることの証拠を残す | 各部門長 |
| 年次教育計画 | 対象者・内容・実施時期・評価方法を定める | ISMS責任者（トップマネジメントが資源を承認） |
| 教育実施記録・受講記録 | 誰がいつ何を受講し、理解度をどう確認したかを残す | ISMS責任者 |
| 理解度確認の結果（テスト・確認書） | 認識が実際に成立していることを示す | ISMS責任者 |
| 誓約書・秘密保持の同意記録 | 従業者・委託先要員の義務を証跡化する | 人事／ISMS責任者 |
| コミュニケーション計画 | 内外の連絡事項・経路・責任者・タイミングを定める | ISMS責任者 |
| 文書管理規程 | 文書の作成・承認・配付・改訂・廃棄のルールを定める | トップマネジメント |
| 文書一覧（文書管理台帳） | 現行版・改訂日・承認者・保持期間を一覧で管理する | ISMS責任者 |
| 記録一覧（記録管理台帳） | 記録の種類・保管場所・保持期間・廃棄方法を定める | ISMS責任者 |
力量と認識を、記録の上で分けて設計するのが実務のコツです。次のように整理すると、対象と証跡が明確になります。
| 力量 | 認識 | |
|---|---|---|
| 対象者 | 特定の役割（ISMS責任者、内部監査員、システム管理者、開発者、委託先管理担当など） | 組織の管理下で働く全員（役員・正社員・契約社員・派遣・常駐の委託先要員を含む） |
| 求められること | その役割の業務を適切に遂行できること | 方針、自分の貢献、不適合の意味を理解していること |
| 典型的な証拠 | 資格・研修修了証・経験年数の記録・力量評価シート | 年次教育の受講記録・理解度テストの結果・誓約書 |
| 不足時の処置 | 教育、OJT、配置転換、採用、外部委託 | 再受講、個別フォロー |
文書管理の設計は、凝りすぎないことが重要です。 実務で機能する最小構成は次のとおりです。
- 文書に文書番号・版数・制定日・改定日・承認者を必ず入れる
- 最新版の置き場所を1か所に決める（複数の共有ドライブに散らさない）
- 改訂時は改訂履歴に「どこを・なぜ変えたか」を1行書く
- 旧版は削除ではなくアーカイブに移す（改訂の経緯を示せるようにする）
- 記録ごとに保持期間を決める（法令・契約の要求がある記録は、それに合わせる）
文書体系の作り方は ISMS文書体系｜何をどこまで作るか、ひな形を自社化する方法は 規程のひな形を自社化するコツ で扱います。
つまずきやすい点
受講率が100%にならない
箇条7でもっとも多い実務課題です。中途入社者、育休復帰者、長期出張者、そして役員。この4カテゴリが取りこぼされます。対策は、年次の一斉配信だけに頼らず、入社手続きのフローに教育受講を組み込むことです。アカウント発行の条件にすると確実になります。運用設計は 従業者教育の設計｜受講率100%の運用 を参照してください。
委託先の常駐要員が教育の対象から外れている
「組織の管理下で働く人々」には、自社の指揮下で働く委託先要員や派遣社員も含まれます。自社の従業員名簿だけを教育対象にしていると、ここが抜けます。入館証やアカウントを発行している人の一覧を、教育対象者リストの基準にするのが実務的です。委託先管理そのものは 外部委託先管理｜チェックシートと契約条項 で扱います。
教育をやったが「認識」の証拠がない
資料を配布した、動画を配信した、という記録だけでは、理解されたことを示しにくい面があります。5〜10問の簡単な確認テストを付けるだけで、証跡の質が変わります。満点を求める必要はなく、実施と結果の記録が残ることに意味があります。
力量要件が定義されていない
「内部監査員は監査の力量を持つこと」とだけ書かれていると、何をもって満たすのかが決まりません。**「内部監査員研修の修了、または過去2回以上の監査参加経験」**のように、判定可能な基準にします。
規程の版が現場とずれている
共有ドライブに旧版が残り、現場が旧版を見ていた。これは審査で頻出します。前述の「最新版の置き場所を1か所に決める」で大半は防げます。さらに、規程の冒頭に「最新版は○○を参照」と明記しておくと、印刷物が出回っても事故になりにくくなります。
記録の保持期間が決まっていない
いつまで残すかが決まっていないと、消していいのか判断できず、結果として無期限に溜まります。個人データを含む記録は、保持期間を決めないこと自体がリスクになります。記録管理台帳に保持期間と廃棄方法の列を設けるのが最小の実装です。
コミュニケーション計画がインシデント時に機能しない
平時の連絡経路は決まっているが、深夜・休日の初動連絡が決まっていない。顧客への通知判断を誰がするかが決まっていない。これらは箇条8のインシデント対応手順と一体で設計する必要があります。インシデント対応手順の作り方（事業者） をご覧ください。
審査で見られること
箇条7は、記録を実際に見せてくださいと言われる箇条です。抽象的な質問より、具体的な提示要求が多くなります。
| 観点 | 審査で問われること |
|---|---|
| 教育の網羅性 | 対象者名簿と受講記録を突き合わせ、未受講者がいないか |
| 中途入社者の扱い | 直近の入社者について、いつ教育を受けたか |
| 委託先要員の扱い | 常駐要員・派遣社員が教育と誓約の対象になっているか |
| 力量の証拠 | 内部監査員・システム管理者の力量を、何をもって満たしているか |
| 有効性の評価 | 教育の効果をどう評価し、次の計画にどう反映したか |
| 文書の版管理 | 現場で使われている文書が最新版か、承認者が記載されているか |
| 改訂履歴 | 直近の改訂について、何をなぜ変えたかを説明できるか |
| 記録の保持 | 保持期間の定めと、実際の保管状況が一致しているか |
| 外部文書の管理 | 参照している法令・ガイドライン・規格の版を管理しているか |
**「直近の中途入社者はいつ教育を受けましたか」**は定番の質問です。ここで即答できる組織は、箇条7全体の運用が整っている可能性が高い。逆に、名簿を探し始める組織は、他の記録にも同じ問題を抱えていることが多くなります。
典型的な指摘の整理は 審査でよくある不適合と対策、審査当日の進み方は 2次審査（実地審査）で見られること をご覧ください。
ヘルスケア企業での具体例
医療SaaS事業者の場合
この業態では、本番環境の患者データに触れうる要員に対して、通常の全社教育とは別の力量要件を置くのが実務的です。具体的には、サポート担当・SRE・データ基盤担当などが該当します。要件としては、医療情報の取扱いに関する研修の修了、本番アクセス手続きの理解確認、そして年次の再確認。これらを役割別スキルマップに明記し、力量評価記録で証跡を残します。
また、顧客（医療機関）からのセキュリティ照会への回答もコミュニケーション計画に含めます。誰が回答権限を持ち、どこまでの情報を開示してよいかを決めておかないと、営業担当が個別判断で構成情報を送ってしまう事故が起きます。
PHR事業者の場合
カスタマーサポートが利用者本人と直接やり取りするため、本人確認手続きの力量が論点になります。なりすましによる情報開示は、事業者側の過失として扱われます。手順書の整備だけでなく、手順どおりに対応できることを確認した記録まで残す設計が必要です。
治験システムを扱う企業の場合
ER/ES指針やデータインテグリティの文脈では、記録の保持と版管理の要求が一般的なISMSより厳しくなる傾向があります。ISMSの記録管理台帳に、治験関連の記録の保持期間（契約や規制で定まる長期保存）を組み込んでおくと、二重管理を避けられます。詳細は 治験・臨床研究システムのISMSとER/ES指針 で扱います。
SaMDを開発する企業の場合
QMS（ISO 13485）にも力量と文書管理の要求があります。教育記録と文書管理台帳を二重に持つと、必ずどちらかが古くなります。 実務では、記録の実体は一つにまとめ、ISMSとQMSの双方から参照する形にするのが現実的です。関係の整理は SaMDとISMS・QMS（ISO 13485）の関係 をご覧ください。
いずれの業態でも、3省2ガイドラインが求める教育・訓練や記録の管理は、ISMSの箇条7の運用に載せられます。統合の考え方は ISMS文書と3省2ガイドライン対応文書の統合、ガイドライン側の要点は既存記事の 3省2ガイドラインとは が参考になります。
まとめ
- 箇条7は審査での指摘が集中する箇条。内容の善し悪しではなく、記録と管理の設計で決まる
- 力量と認識は対象者も証拠も違う。役割別の力量要件と、全員向けの認識教育を分けて設計する
- 受講率100%を阻むのは中途入社者・復職者・長期出張者・役員。入社手続きのフローに組み込むのが最も確実
- 教育対象は従業員だけではない。自社の指揮下で働く委託先要員・派遣社員も含む
- 文書管理の最小構成は、版数と承認者の明記／最新版の置き場所を1か所／改訂理由を1行/旧版はアーカイブ/保持期間の定義
- 「直近の中途入社者はいつ教育を受けましたか」に即答できるかが、箇条7の運用水準を測る実用的な指標になる
箇条7で整えた人と文書の基盤の上で、箇条8 運用 が実行され、箇条9 パフォーマンス評価 で点検され、箇条10 改善 に戻ります。前提となる 箇条4 組織の状況、箇条5 リーダーシップ、箇条6 計画 もあわせてご覧ください。
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。規程・台帳・教材のひな形を提供し、文書体系と記録の型を先に決めてから運用に入るため、箇条7に起因する手戻りを減らせます。支援内容と料金は ISMS認証取得支援サービス、個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- 日本産業標準調査会（JISC）
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 独立行政法人情報処理推進機構（IPA）
※規格の要求事項の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。改定や運用の見直しにより取扱いが変わる場合があります。