13-2. 【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順

　「組織及びその状況の理解」では、組織を取り巻く外部と内部の課題を整理することが求められています。ここで整理した課題を、ISMSの取組を通して解決していきます。また、組織のどの部分に対してISMSを適用すべきなのかといった適用範囲を確定する際にも、課題を考慮することになります。

図51. インターフェースおよび依存関係の記入例

　適用範囲を組織の一部とした場合、同じ組織内に適用範囲の内と外という境界ができることになります。適用範囲の境界について、いくつかの観点から明確にしておく必要があります。

　物理的境界では、適用範囲とする空間を明確にし、境界線を記載します。そして境界線により区切られた空間ごとにセキュリティレベルを設定します。

図52. 適用範囲の例（物理的境界）

13-2-4. ISMS：6. 計画

　「6. 計画」は、PDCAサイクルの「P（計画）」に位置しており、リスクマネジメントの確立、情報セキュリティにおけるリスクアセスメント、リスク対応、情報セキュリティ目的の管理に関する要求事項を示しています。
本項では、リスクマネジメントで作成する文書化の方法について解説します。リスクマネジメント手順については「12章.リスクマネジメント」を参照してください。

　「リスク及び機会に対処する活動」とは、「ISMSの意図した成果を達成する」「ISMSの望ましくない影響を防止・低減する」「継続的改善を達成する」の3つを実現するために、妨げとなるような機会やリスクを発見し、対処することです。平たく言えば、情報セキュリティ上のリスクに対して、適切な対策を講じることにより、情報セキュリティを確保するための活動になります。具体的には「リスクアセスメントの実施」「リスク対応策の作成と実施」「リスク対応策の有効性評価」「継続的改善」といった活動が含まれます。
リスクアセスメントは、組織や企業の資産に対するリスクの洗い出しや分析、評価を行い、リスク対応の優先順位付けをしていくプロセスになります。リスクアセスメントの実施により、リスクを評価し、事前にリスクを把握することにより必要な投資額を含め、企業が適切な対策を検討することが可能になります。

　資産目録（情報資産管理台帳）、リスクアセスメント結果報告書は、ISO/IEC 27001:2022の管理策「5.9 情報およびその他の関連資産の目録」に対応します。

資産目録（情報資産管理台帳）の作成方法（例）
資産目録（情報資産管理台帳）の作成方法は「12-2-2. リスクの特定」を参照してください。

リスクアセスメント結果報告書の作成方法（例）
作成した資産目録（情報資産管理台帳）から、リスクアセスメントの結果をまとめた「リスクアセスメント結果報告書」について説明します。
※下記表の「対応」の項目を記載するタイミングは、「8.運用」となります。

　リスクアセスメント結果報告書には、以下の内容を記載します。

資産目録のNo. 重要資産の項番を記載します。
重要資産は、資産目録（情報資産管理台帳）から「情報セキュリティリスクアセスメントを実施するための基準」で決定した基準をもとに選択します。例えば、機密性、完全性、可用性の項目について、評価値が1つでも3となった資産を重要資産とします。
※リスクによっては資産目録のNoは複数になることがあります。
※「情報セキュリティリスクアセスメントを実施するための基準」については、「12-2-1. リスク基準の確立」を参照してください。

リスク源 想定される脅威を記載します。
（例）モバイル機器の利用ルールが十分に整備されていないなど

影響領域 脅威が発生した場合の影響範囲を記載します。
（例）外部、全社など

事象発生する可能性のある事象を記載します。
（例）持ち出し中に重要な情報を紛失・盗難（機密性の喪失）など

原因事象が発生する原因を記載します。
（例）【事象】に対し【リスク源】のため【事象】が発生など

起こり得る結果事象が発生した場合に起きる結果を記載します。
（例）機密情報などが漏えいし顧客に影響、信用喪失など

一次評価重要度：算出方法は、「12-2-2. リスクの特定」を参照してください。
被害発生可能性：算出方法は、「12-2-3. リスクの分析」を参照してください。
リスクレベル：算出方法は、「12-2-3. リスクの分析」を参照してください。

優先順位リスク受容基準をもとに、リスクレベルから優先順位づけを行います。
（例）
1：早急に対応、2：今期中に対応、3：今期対応が望ましい
リスクレベル：9→優先順位：1
リスクレベル：4→優先順位：3
リスクレベル：6→優先順位：2

保有、低減、回避、移転リスク対応により決定した対応について「●」を記載します。

管理策リスク対応により決定した内容を記載します。
（例）モバイル機器の利用ルールを整備・強化など
※附属書Aの管理策のリストは包括的なものではないので、必要に応じてリストにない管理策を採用してもかまいません。

対応管理策の実施状況を記載します。
・管理策を実施した場合は「済み」
・管理策を実施する予定がある場合は「予定」
・管理策を実施する予定が未定の場合は「未定」

二次評価重要度：算出方法は、「12-2-2. リスクの特定」を参照してください。
被害発生可能性：算出方法は、「12-2-3. リスクの分析」を参照してください。
リスクレベル：算出方法は、「12-2-3. リスクの分析」を参照してください。

　※「二次評価」とは、リスクに対する管理策の有効性評価をするために行うものです。リスク対応を実施した結果をもとに、情報資産に対する再評価を実施します。

　「適用宣言書」は、ISMS認証を取得するすべての組織に作成が義務づけられています。認証を取得しない組織では、必須ではありませんが、情報セキュリティに対する取組を明確にするために「適用宣言書」を作成することが望ましいとされています。

　適用宣言書には、以下の内容を含めます。

　「リスク対応計画」は、それぞれのリスクに対して、どのような管理策を、誰が、いつまでに、どのように実施するのかを表にまとめたものになります。

　リスクアセスメント結果報告書から、リスク対応を行う管理策をすべて記載し、それぞれの具体的な内容や、担当者などを記載します。リスク対応を行った場合、実績やリスク対応のステータスを記載する必要があります。
※下記表の「実績」と「ステータス」の項目を記載するタイミングは、「8.運用」となります。

　リスク対応計画では、以下の内容を記載します。

管理策 リスクアセスメント結果報告書の管理策を記載します。
（例）モバイル機器の利用ルールを整備・強化など

タスク管理策を実施する上で、具体的な業務を記載します。
（例）ルール検討、関係者に周知

担当管理策の担当者を記載します。
（例）委員長

予定リスク対応予定の開始日と終了日を記載します。
（例）
開始：2024/08/10
終了：2024/09/29

実績開始の箇所：実際にタスクを開始した日付を記載します。
終了の箇所：実際にタスクが完了した日付を記載します。

ステータスタスクの進捗状況を記載します。
・タスクが完了した場合は「終了」
・タスクを実行中の場合は「着手」
・タスクに着手していない場合は「未着手」

13-2-5. ISMS：7. 支援

　「7. 支援」は、PDCAサイクルの「Plan（計画）」に位置しており、ISMSの運用をサポートするための要求事項が規定されています。

　教育計画書には、以下の内容を含めます。

教育目的 教育を実施する目的を記載します。

教育対象者 教育を受ける対象者を記載します。

教育方法 教育・訓練方法は、集合研修や、職場訓練（OJT）、資格試験の受験、eラーニングなどさまざまあります。必要な力量を身に付けるために適切と考えられる方法を選択します。

教育内容 どのような教育を実施するのか、教育内容を記載します。

実施期間 教育を実施する期間を記載します。

教育の有効性評価 必要な力量を身に付けることができたか評価する方法を記載します。
明確に評価が可能であれば、どのような方法でも問題ないです。例えば、テストやアンケートの実施が挙げられます。次のページでテストの作成方法について説明します。