適用宣言書（SoA）の書き方｜ISMS 93管理策の適用・除外の考え方と理由の書き方

適用宣言書（SoA）とは

適用宣言書（Statement of Applicability、SoA）は、ISMSの規格（ISO/IEC 27001、JIS Q 27001）の附属書Aにある管理策（セキュリティ対策の項目）について、自社で採用するかどうかと、その理由をまとめた文書です。規格が作成を求める文書の一つで、審査では最初の段階から確認されます。

SoAには一般に、管理策ごとに次のことを書きます。

• 採用する（適用）か、しない（除外）か
• 採用する理由（どのリスクへの対応か、法令・契約上の要求か など）
• 除外する理由
• 実施状況（実施済み・実施中・計画中 など）と、関連する規程や記録

この記事では、規格の本文は引用せず、考え方と書き方を説明します。規格の正確な要求事項は、規格票（日本規格協会で販売、JISCで閲覧可）で確認してください。

93管理策の4つの分類（2022年版）

2022年版の附属書Aでは、管理策が4つに分類され、合計93あります（出典：ISSOH「ISMS管理策93項目」）。

2013年版の114管理策は統合・整理されて93になり、脅威インテリジェンス（5.7）、クラウドサービスの利用（5.23）、構成管理（8.9）、データ漏えい防止（8.12）、監視活動（8.16）、ウェブフィルタリング（8.23）など11の管理策が新たに加わりました。2013年版からの移行期限は2025年10月31日で終わっているため、これから新規に取得する会社は最初から2022年版で作ります（出典：JNSA・ISMS-AC資料）。

採否を決める手順

SoAは、93項目に上から○×を付けていく作業ではありません。次の順番で考えると、リスクアセスメントと整合したSoAになります。

手順1 適用範囲と事業の形を確かめる

適用範囲に含まれる組織・拠点・業務と、事業の形（自社でソフトウェアを開発しているか、オフィスはあるか、サーバーはクラウドだけか、テレワークをしているか など）を整理します。これで「そもそも該当しない管理策」が見えてきます。

手順2 リスクアセスメントの結果から必要な管理策を選ぶ

情報資産台帳をもとにリスクを洗い出し、対応が必要なリスクに対して、どの管理策で対応するかを決めます。ここで選んだ管理策が「適用」の中心になります。

手順3 附属書Aと照らし合わせて漏れを確かめる

リスク対応で選んだ管理策を附属書Aの93項目と照らし合わせ、必要な管理策が漏れていないかを確かめます。法令や契約で求められている対策（たとえば取引先との契約で決められた事項）も適用の理由になります。

手順4 除外する管理策の理由を書く

適用しない管理策には、なぜ不要なのかを書きます。理由の書き方は次の章で説明します。

手順5 実施状況と根拠の文書を結びつける

適用する管理策について、どの規程・手順で実施しているか、記録はどこにあるかを書いておくと、審査や内部監査で説明しやすくなります。まだ実施できていない管理策を「実施済み」と書かないことが大切です。計画中なら計画中と書き、リスク対応計画に担当と期限を入れます。

除外理由の書き方：OKな例とNGな例

除外の理由は、客観的で、具体的で、自社の事実に基づいていることが大切です。民間の解説では、次のような理由は審査で指摘されやすいとされています（出典：CREX「SoAの書き方」）。

• 「コストがかかるため」「対応が難しいため」など、社内の都合だけの理由
• リスクアセスメントの結果と矛盾している（リスク台帳では対策が必要なのに除外している）
• テンプレートの丸写しで、自社の実態と合っていない

書き方の比較例（当サイトによる例文）：

最後の例のように、状況が変わったら見直すことを添えておくと、変化への備えも示せます。

中小企業で除外されることが多い管理策

自社開発がない会社では、開発関係の管理策がまとめて除外されることが多いと解説されています（出典：ISSOH、CREX）。番号と名称は当サイトの訳で、JISの正式な表記とは異なる場合があります。

• 開発関係：8.4 ソースコードへのアクセス、8.25 開発ライフサイクル、8.26 アプリケーションのセキュリティ要求事項、8.27 システムアーキテクチャと設計原則、8.28 セキュアコーディング、8.29 開発・受入れ時のテスト、8.30 外部委託による開発、8.31 開発・テスト・本番環境の分離、8.33 テスト用情報
• 物理オフィスがない（フルリモート）場合：物理的管理策の一部

一方、次のようなものは安易に除外しない方がよいと考えられます。

• 7.4 物理的セキュリティの監視：ビルが24時間有人警備・監視カメラを備えている場合でも、「除外」より「ビル側の対策で満たしている」と適用の側で書く方が、実態を正しく表せます
• 8.14 冗長性：自社に設備がなくても、利用しているクラウドの冗長性を確認して「適用」とする考え方があります
• 6.7 リモートワーク：全員出社が原則でも、出張先や自宅でのメール確認などがあれば該当します

SoAの表の作り方（列の例）

SoAに決まった様式はありません。Excelなどで、次のような列を持つ表にすると管理しやすくなります（当サイトによる例）。

「関連文書・記録」の列を埋めておくと、内部監査や審査で「この管理策はどこで確認できますか」と聞かれたときにすぐ答えられます。

審査でSoAについて聞かれること

第1段階審査では、方針・適用範囲・リスクアセスメント・SoAなどの文書が中心に確認されます。ISMSの責任者は、次のような質問に自分の言葉で答えられるようにしておきましょう（出典：マネーフォワード「ISMS審査対策」。質問例は当サイトによる）。

• この管理策を除外した理由は何ですか
• リスク台帳のこのリスクには、どの管理策で対応していますか
• 適用している管理策は、どの規程と記録で確認できますか
• 事業や使っているサービスが変わったとき、SoAはいつ見直しますか

SoAをいつ見直すか

SoAは一度作って終わりではありません。リスクアセスメントを見直したとき、新しいサービスやシステムを導入したとき、オフィスや働き方が変わったときなどに見直し、版と日付を管理します。毎年の維持審査でも、前回からの変化が確認されます。

セキュカクでSoAを作る

セキュカクでは、自社開発の有無・オフィスの形・使っているクラウド・働き方などをボタンで選ぶだけで、93管理策の採否と理由の下書きをAIが自社用に作ります。情報資産台帳・リスクアセスメントと合わせて作るので、整合をとりやすくなります。ISMSの文書一式は1社79,800円（税込）です。理由や実施状況は、必ず自社の実態を確かめてから確定してください。