情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問02

適用除外の判断基準【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で比較しているものが「規格本文（箇条4～10）」と「附属書Aの管理策」であることを確認する。
2. 規格本文（4～10）は規格の要求事項＝必須であり、除外不可であることを思い出す。
3. 附属書Aは管理策の一覧で、リスクに基づき選択でき、適用しない場合は根拠を文書化（適用宣言）すればよいことを確認する。
4. 上の判定に合う選択肢を選ぶ（イ が一致）。

選択肢別の誤答解説

• ア：規格本文も附属書Aの管理策も全て適用が必要、となっている点が誤り。附属書Aは組織のリスクに応じて選択するもので、無条件に全てを実装する必要はない。
• イ：正解。規格本文（箇条4～10）はISMSの必須要求事項であり除外不可。附属書Aの管理策はリスク評価に基づき除外可能だが、除外した場合は適用宣言で理由を示す必要がある。
• ウ：規格本文を除外可能、附属書Aは全て必須、という組合せ。逆になっており誤り。規格本文を除外することは基本的に認められない。
• エ：両方とも妥当な理由があれば除外可能、となっている点が誤り。規格本文（4～10）は基本的に除外できないため、この選択肢は不適切。

よくある誤解

• 附属書Aの管理策は「任意だから何もしなくてよい」：任意ではありません。適用しない場合でも、なぜ適用しないのか（リスク評価の結果など）を適用宣言で説明する必要があります。
• 規格本文の一部（例：評価や改善）だけ除外できる：規格本文はISMSの骨格なので、部分的に除外するという扱いは原則認められません。
• 「適用除外＝セキュリティをしなくてよい」：除外は「不適用の根拠」を示すことであり、代替措置やリスク受容の判断を伴うべきです。

補足コラム

• まず自社の業務範囲（スコープ）を決め、リスク評価を行います。例えば「自社は暗号化を使わないクラウドサービスしか使わないため、端末に対する暗号化管理策は適用しない」と判断した場合、その理由を「適用宣言（Statement of Applicability：適用性宣言）」に記載します。
• 適用宣言には「管理策を適用するか否か」と「適用しない場合の理由（リスク低減が不要である等）」を明記し、経営層の承認を得ます。監査や認証審査では、この適用宣言とリスク評価の整合性が重要視されます。
• 外部委託がある場合は、委託先で実施すべき管理策を明確にし、適用性や責任分担を契約で定めます。

FAQ