ISMS（情報セキュリティマネジメントシステム）の規格要求事項を読み進める中で、多くの方が最初に突き当たるのが「文書化」の壁です。
規格の中では、文書体系についてやや抽象的な表現にとどまっているケースが少なくありません。そのため、ISMSの取り組みを始めたばかりのご担当者様からは、次のようなお悩みの声をよく耳にします。
- 「具体的に、どのような種類の文書をどれ位作ればいい？」
- 「審査をクリアするためには、どの項目をどこまで網羅すればいい？」
ゴールが見えないまま手探りで文書を作り始めてしまうと、自社の実態に合わない形骸化したルールになってしまったり、審査直前で大幅な修正が必要になったりするリスクがあります。
そこで本記事では、初めての方でもISMSの文書体系が直感的にイメージできるよう、文書の全体像（基本となる4階層の構造）を徹底解説！さらに、規格の要求事項や管理策を漏れなくスムーズに網羅するためのポイントを、分かりやすく紹介します。
さらに今回は、「ISMSの認証取得に向けて、具体的に何から始めればいいか分からない」という企業のご担当者様に向けて資料を準備しました。
社内でISMS取得が決定し、最初に検討すべき事項から審査を受けて認証取得に至るまでのすべてを「23項目のTodoリスト」としてまとめています。
ぜひ無料でダウンロードし、自社のスムーズなISMS構築にお役立てください。
ISMS文書の階層構成と文書作成のポイント
ISMSの文書体系は、一般的に以下の1〜4の階層構成によって成り立っています。これらはISMS認証取得において、作成がほぼ必須とされる基本の4点セットです。
| 階層 | 文書の種類 | 役割と位置づけ |
| 第1階層 | 基本方針（総則） | 会社全体としてのセキュリティに対する姿勢や理念を示す |
| 第2階層 | 管理規程（規則） | 基本方針を実現するための具体的な社内ルール・基準を定める |
| 第3階層 | 管理手順（マニュアル） | 規程に沿って「誰が・何を・どう行うか」の作業手順を記す |
| 第4階層 | 様式／記録（記録類） | 業務を行った証拠（エビデンス）となる台帳や申請書、ログなど |
ただし、ISMS（ISO 27001）の規格要求事項では、特定の形式や書式を細かく規定しているわけではありません。そのため、これら4種類の文書を「自社の実情や組織規模に即して作成すること」が非常に重要になります。
文書作成の最重要ポイント：形骸化を防ぐ「具体性」
ISMS文書を作成する最大のポイントは、形骸化させず「現場に即した具体性を持たせること」です。
文書体系が整備されていないと、現場の従業員が「どのルールを参照すべきか」を判断できず、結果として情報セキュリティリスクの低減につながりません。ルールと手順は常に明確である必要があります。
特に手順を定義する際は、「何をしなければならないのか？」「何をしてはいけないのか？」を現場の従業員が明確に理解し、迷わずに実行できるような内容に落とし込みましょう。
階層ごとのつながりと一般的な文書体系
多くの企業では、「基本方針」 ⇒「基本規程」 ⇒ 「管理規程」という体系を採用しています。
経営層が定めた基本方針に基づき、IT部門や法務部などの管理部署が、それぞれの職務に応じた具体的な管理方法（規程）を定めるという流れです。
また、現場レベルで適用される「管理手順書」は、管理規程とは別に実務に即して定められるのが一般的です。
※組織の規模によっては、管理規程を基本規程に含めてスリム化するケースもあります。
抽象度が高い「基本方針」から、下層にいくにつれて内容が具体的になっていくのがISMS文書の特徴になります。
【具体例】「委託先の管理」における文書体系の落とし込み
一連の文書がどのように関連し、上層から下層へとつながっているのか、「委託先管理」を例に見てみましょう。
- 第1階層：基本方針
- セキュリティポリシー（例：情報処理の外部委託に関する方針）
- 第2階層：基本規程・管理規程
- 情報セキュリティ対策基準書（例：外部委託先管理規程）
- 第3階層：管理手順書
- 委託先選定・管理手順書
- 基本契約（機密保持契約など）の締結手順書
- 資産情報の受け渡し手順書
- 第4階層：様式・記録
- 委託先一覧表（委託先管理リスト）
- 機密情報受領台帳
このように、方針・規程・手順書・様式の順に、上位から下位まで一貫性を持って文書を作成・運用することが不可欠です。
規程が求める要件を満たすために「どう動くか」を手順書で定義し、適切な様式を定めることで、現場は「どんな文書や記録を残すべきか」をひと目で理解できるようになります。
こうして文書の縦のつながりを明確にすることで、現場担当者も規程の定める要件を確実に実行できるようになり、組織全体で形骸化しないISMSを運用することが可能になります。
ISMS文書作成の基準となる「要求事項」とは？
ISMSの文書を作成するにあたり、必ず満たさなければならない基準が「要求事項」です。要求事項とは、ISMSの国際規格である「ISO/IEC 27001（JIS Q 27001）」が定めているルールであり、審査でチェックされるもっとも重要な指標となります。
具体的には、以下の「0項から10項の構造」と、具体的なセキュリティ対策をまとめた「附属書A（管理策）」のすべてを文書化し、かつ組織内で実行している必要があります
【ISMS規格の構成】
- 0項：序文
- 1項：適用範囲
- 2項：引用規格
- 3項：用語及び定義
- 4項：組織の状況
- 5項：リーダーシップ
- 6項：計画
- 7項：支援
- 8項：運用
- 9項：パフォーマンス評価
- 10項：改善
ただし、これらの項目をただ並べるだけでは、ISMSは機能しません。ISMSの根幹にあるのは、自社に合わせたリスクマネジメントを「PDCAサイクル」にのせて継続的に改善していくことです。
ISMS文書とは、年間を通じてこれらの要求事項を正しく実行するための「規程」と、現場の「具体的な手順」を網羅するものです。各要求事項は、基本方針・管理規程・管理手順・様式といったすべてのレベルにおいて横断的に盛り込む必要があります。
ただ、ISMSの要求事項を正しく理解し、自社の業務に合わせた文書をゼロから作成するのは、想像以上に時間と労力がかかります。
「自社に合うルールがわからない」「通常業務が忙しくて進まない」とお悩みなら、情報セキュリティコンサルティングのプロフェッショナルであるLRM株式会社にぜひご相談ください。
ISMS文書の「2つの目的」による分類
ISMSの文書は、記述されている内容の目的に応じて、大きく「ISMSのフレームワークを管理するための文書」と「情報セキュリティの管理策に関する文書」の2つに分類できます。
それぞれの特徴と、含まれる具体的な文書の例を見ていきましょう。
ISMSのフレームワークを管理するための文書（仕組みを維持する）
ISMSという国際規格の枠組み（マネジメントシステム）自体を正しく機能させ、維持するためのルールや記録です。主に、組織としてPDCAサイクルを回すための根幹を支えます。
- 方針の管理
- 「情報セキュリティポリシー（基本方針）」や「適用宣言書」など、ISMSの根幹を成す最上位の文書群です。
- リスクマネジメント
- 組織の脅威と脆弱性を分析・評価する「リスクアセスメント」のプロセスや、その結果をまとめた文書・記録類です。
- 内部監査
- PDCAサイクルの「Check（評価）」工程にあたります。内部監査のルールを定めた規程や、実際の監査結果・報告書の記録です。
- マネジメントレビュー
- PDCAサイクルの「Act（改善）」工程にあたります。経営トップがISMSの運用状況を評価し、次期に向けた改善を指示した会議録などの記録です。
情報セキュリティの管理策に関する文書（情報を直接守る）
情報の「機密性・完全性・可用性」を直接的に守るための、実務に直結する具体的なルールや手順です。
※主に規格の「附属書A」に対応します。
- 情報資産の管理
- 「情報セキュリティ管理規程」など。情報資産の定義や分類など、文書体系全体の広範囲に及びます。
- アクセス制御
- 情報の機密性を守るためのルールです。システム的なアクセス（ID・パスワード管理、権限設定など）と、物理的なアクセス（オフィスの入退室管理など）の制御方法を定めます。
- 委託先管理
- 業務委託などで社外に情報を渡す際の、委託先の選定基準、契約（NDAなど）の締結手順、定期的な評価方法を定めた規程や管理台帳です。
- 事業継続管理
- 災害やシステム障害などの緊急事態が発生した際にも、セキュリティを維持しつつ業務を復旧・継続するための備え（事業継続管理規程など）を定めます。
2つの分類を意識してバランスの良い文書作成を
ISMS文書を作成する際は、この2つの分類を意識することが重要です。
組織の体制や評価方法を定める「フレームワーク（仕組み）の文書」と、現場の行動を縛る「管理策（対策）の文書」がバランスよく整備されて初めて、実効性のある情報セキュリティ体制が完成します。
ISMSのフレームワーク（仕組み）を管理する4つの文書
ここでは、ISMSの2つの分類のうち、組織の「仕組み」を正しく維持・運用するために欠かせない4つの文書群について、それぞれの概要と具体的な役割を解説します。
方針の管理（組織の理念と方向性を定める）
自社のISMS方針や適用範囲といった、ISMSの根幹を成す最上位の文書群です。全体を統括する規範となるため、個別の細かいルールはここには書かず、別途下位の規程で定めます。代表的な文書は以下の2つです。
- 情報セキュリティポリシー（基本方針）
- 組織全体として「情報資産をどのように安全に運用するか」という基本方針や、全従業員の行動指針を定めた最上位の文書です。
- 適用宣言書
- ISMS（ISO/IEC 27001）規格が定める数多くの「管理策」のうち、「自社または対象組織・プロジェクトにどれを適用し、どれを除外するか」を一覧化した宣言書です。
リスクマネジメント（脅威を分析し、対策を練る）
現代のマネジメントシステムにおいて、リスクマネジメントは最大の肝です。ISMSでは、情報資産に潜む「脅威」と「脆弱性」を分析し、そのリスクをどう評価し、どこまで許容するかを決定します。これらの一連の流れを包括して「リスクアセスメント」と呼びます。
- リスクアセスメントに関する文書・記録
- リスクの「特定」⇒「分析・評価」⇒「リスク対応」という全体プロセスを定めたマニュアルや、実際に評価を行った結果の記録類です。
- この文書は、基本方針から日々の手順書にいたるまで、組織全体を縦横に横断する形で規定する必要があります。
内部監査（自社で「運用のズレ」をチェックする）
内部監査は、ISMSのPDCAサイクルにおける「Check（評価）」を担う非常に重要な工程です。ルールが守られているか、仕組みが有効に機能しているかを自社で客観的にチェックします。
- 内部監査に関する文書・記録
- 主たる文書は、監査のやり方を定めた「内部監査管理規程」です。
- 文書体系としては基本方針から記録類まで多岐にわたりますが、審査では特に「規程」と「実施記録」に重点が置かれます。
マネジメントレビュー（経営陣による改善指示）
マネジメントレビューは、PDCAサイクルの「Act（改善）」の要となる工程です。現場からの報告を受け、経営者が「現在のISMSが適切に機能しているか」を判断します。
- マネジメントレビューに関する文書・記録
- 経営者が現状を把握し、修正や改善が必要な事項を指示した内容を記録（議事録など）に残します。
- ここでは、経営者の意思を示す「方針」と、判断の証拠となる「記録」が何よりも重視されます。
LRMでは、ビジネスのスピードを落とさず、現場が自然に「運用できる」スマートなISMS構築・認証取得をサポートしています。
「自社に合わせた規程やリスクアセスメントの作り方を知りたい」 「審査を確実にクリアできる文書体系を整えたい」
そのような課題がございましたら、ぜひお気軽に以下のリンクより詳しいサービス内容をご覧ください。
情報セキュリティの管理策（情報を守る）に関する4つの文書
ここからは、ISMS文書の2つの分類のうち、現場で実際に情報を守るための具体的なルールとなる「管理策に関する主な文書」の概要を解説します。
情報資産の管理（セキュリティの土台）
ISMSの最大の目的は「情報資産の適切な管理」にあります。全般を網羅するため内容が多岐にわたり、関連する文書群の確固とした体系づくりが求められます。
- 主たる文書：情報セキュリティ管理規程
- 概要： ISMS体制の確立・運用、情報資産の定義や重要度に応じた分類（格付け）など、ISMS全般の基本ルールを網羅します。
- 文書体系： 基本方針から規程類、具体的な実施記録まで、もっとも広い範囲に及びます。
- ポイント： 基本方針を決定したり、リスクを洗い出したりするための重要なベース資料となる「情報資産台帳」もここに含まれます。
アクセス制御（「機密性」を確保する防壁）
アクセス制御は、ISMSの主目的の一つである「機密性（許可された人だけがアクセスできる状態）」を確保するための重要な手段です。規格では「システム」と「物理的」の2つの側面から制御方法が求められます。
- 主たる文書：システム管理規程 ／ 物理的管理規程
- システムアクセス（技術的対策）： アカウント管理、ネットワーク接続、サーバー管理、データの暗号化、ログ監視などを定めます。
- 物理的アクセス（物理的対策）： 本社や社外拠点の入退室管理、情報資産（PCや重要書類）の持ち出しルールなどを定めます。
- 文書体系： 基本方針⇒規程類⇒手順書⇒記録（アクセスログや入退室記録など）の4階層をしっかり揃え、管理の証拠を残すことが重要です。
委託先管理（社外へ渡る情報をコントロールする）
業務委託などによって個人情報や自社の情報資産を第三者に渡す場合、自社と同等以上のセキュリティ基準を相手にも守ってもらうための管理が必要です。
規格の管理策（供給者関係）においても詳しく説明されています。
- 主たる文書：外部委託先管理規程
- 概要： 委託先をどのような基準で選定するか、契約時（NDAなど）にどんなセキュリティ条項を盛り込むか、定期的にどう評価・見直しを行うかの方法を定めます。
- 文書体系： 基本方針から規程、手順書に加え、どの委託先にどの情報を預けているかを一覧化した「委託先管理台帳」をセットで揃えるのが望ましい形です。
事業継続管理（天災や事故などの緊急事態に備える）
天災、停電、大規模なシステム障害などが発生した際にも、情報セキュリティを維持しながら業務を復旧・継続するための備え（セキュリティの維持と、システムの冗長化など）を定義します。
- 主たる文書：事業継続管理規程
- 概要： 万一の際の手順をあまりに細かく定めすぎると、実際の災害時に動けないケースが多いため、平時の備えやリスクアセスメント、大枠の事業継続計画（BCP）を定めることに主眼を置きます。
- ポイント： 「どのレベルの災害が発生したら、どんな組織的対応（対策本部の立ち上げなど）を行うか」といった、実効性の高いレスポンスプラン（緊急時対応計画）を定めておく例が多くなっています。
まとめ：形骸化しないISMS文書で「生きた運用」を
ISMSの文書体系は、企業において「基本方針」「管理規程」「管理手順」「様式／記録」の4階層で構築するのが一般的です。
これらの文書は、単に審査をクリアするためだけのものではありません。情報の安全を守る具体的な「管理策」を網羅し、ISMSという改善の「仕組み（フレームワーク）」を継続的に維持するために不可欠なものです。
組織の規模や実態に合わせた適切な文書を作成し、現場が無理なく運用できるセキュリティ体制を目指しましょう。
また、「認証取得に向けて、何から手を付ければいいかわからない」 「大まかなスケジュールやタスクの全体像を把握したい」
そのようなご担当者様に向けて、初期の検討段階から審査当日、そして認証取得に至るまでの一連の流れをまとめた「23項目のTODOチェックリスト」を無料でご提供していますので、ぜひお役立てください。
ISMS / ISO27001認証取得を目指すなら、LRMにお任せください
確実かつスムーズにISMS認証を取得し、さらに「しっかり運用できる体制」を作りたい企業様は、ぜひLRMにご相談ください。
まずは情報収集の段階でも構いません。貴社のお悩みや課題を、ぜひお気軽にご相談ください。
