情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問06

適用宣言書【情報セキュリティマネジメント解説】

正解の理由

• 附属書Aは「どんな管理策があるか」のカタログです。
• リスク評価・処理の結果から「どれを使うか」を決めます。
• SoAはその選択（および理由）を文書化するものです。

解法ステップ

1. 「適用宣言書（SoA）」の目的を確認する。→ 管理策の採用状況と理由を示す文書である。
2. 附属書Aの役割を確認する。→ 管理策の一覧（カタログ）で、ここから採用候補を選ぶ。
3. 選択肢を順序・因果関係で検討する。→ リスク評価→管理策の選定（附属書Aと照合）→SoA作成→リスク対応計画（実施計画）という流れが正しい。
4. 各選択肢がその流れに合うかを照合して正答を決める。

選択肢別の誤答解説

• ア: 「承認された情報セキュリティリスク対応計画を基に、適用宣言書を作成する。」
  • 誤り。リスク対応計画（実施計画）はSoAで示した管理策を実際に実施するための計画です。SoAは先に「どの管理策を採用するか」を示すため、順序が逆です。
• イ: 「情報セキュリティリスク対応に必要な管理策をJIS Q27001:2014附属書Aと比較した結果を基に、適用宣言書を作成する。」
  • 正しい。SoAは附属書Aに示された管理策との比較結果（採用／不採用の判断とその理由）を文書化します。
• ウ: 「適用宣言書を作成後、その内容を基に情報セキュリティリスク対応の選択肢を選定する。」
  • 誤り。SoAは選定結果を示す文書であり、SoA作成が先でその後に選定を行うという因果は逆転しています。選定した結果をSoAに記録します。
• エ: 「適用宣言書を作成後、その内容を基に情報セキュリティリスクを特定する。」
  • 誤り。リスクの特定（リスクアセスメント）は前工程です。SoAは、特定・評価したリスクに対する管理策の選択を示します。

よくある誤解

• 「SoAは実施計画（いつ誰が何をするか）のことだ」
  → 違います。SoAは「どの管理策を採用するか」「採用しない場合はその理由」を示す証拠書類で、実施計画は別途作成します。
• 「附属書Aにある管理策はすべて必ず採用する必要がある」
  → すべて採用する必要はありません。組織のリスクに応じて採用・不採用を判断し、その理由をSoAで説明します。

補足コラム

• SoAに通常含める項目（実務で使える短いテンプレ例）
  • 管理策の識別番号（附属書Aの項目）
  • 採用の有無（採用／非採用）
  • 採用した場合の実施方針（簡単な説明）
  • 非採用の場合の正当化理由（リスクが低い、他の対策で代替等）
  • 実施状況（計画中／実施済み／未実施）
• 職場での使い方例：監査や外部評価の際、SoAを見せれば「どの対策をなぜ選んだか」が一目で分かります。委託先への要件提示や内部の方針説明にも便利です。

FAQ