ISMSの適用範囲とは？決め方や全社・一部で取得する場合の考え方を解説

「ISMSを取得するなら、会社全体を対象にしなければならない」と考えていませんか。
ISMSの適用範囲は必ずしも全社である必要はなく、特定の事業や部署、拠点などに限定して認証を取得することも可能です。ただし、適切な範囲は事業内容や組織体制、業務のつながりなどによって異なります。範囲を狭める場合は、対象外の組織や業務との関係も含め、合理的に説明できることが欠かせません。

この記事では、自社の状況に合った適用範囲を決めるための確認事項や、全社・一部で取得する際の考え方を具体的に解説します。

ISMSの適用範囲とは

ISMSの適用範囲とは、情報セキュリティマネジメントの対象となる組織・事業・拠点などの境界を示すものです。全社に限らず、一部に設定することもできます。

ここでは、適用範囲の基本と、適用宣言書における「適用」との違いを解説します。

ISMSの適用範囲は全社でなくてもよい

ISMSの適用範囲は、必ずしも全社に設定する必要はありません。事業部・部・課といった組織単位のほか、事業所や特定の事業・サービス、プロジェクト単位で認証を取得することも可能です。範囲を決める際は、対象とする事業・業務を起点に、関係する組織や拠点、システムなどの境界を明確にします。

ただし、短期間で終了するプロジェクトや、取得しやすさだけを優先した極端に狭い範囲は避けるべきです。認証を取得する目的と範囲の整合性を意識することがポイントです。

適用範囲と適用宣言書の「適用」は異なる

「適用範囲」と適用宣言書に記載する「適用」は、対象が異なります。

適用範囲は、ISMSを運用する組織・業務・拠点などの境界、つまり認証の対象となる範囲を定めるもので、「ISMSをどこに適用するか」を示します。一方、適用宣言書は、リスク対応に必要な情報セキュリティ管理策を示す文書であり、「どの管理策を適用するか」を明らかにします。

ISMSは仕組み全体、管理策はアクセス制御などの個々の対策です。同じ「適用」でも、何を対象としているのかを区別して理解しましょう。

ISMSの適用範囲とはISMSの適用範囲を決める際に考慮すること

ISMSの適用範囲は、部署や拠点といった形式的な単位だけで決めるものではありません。

まず対象とする事業・業務を定め、それと関連する部署、人員、拠点、システムに加え、委託先など外部組織との関係も整理します。判断のポイントは、ある事業・部署・拠点などを除外しても、業務の実態に照らして合理的に説明できるかです。範囲外の活動であっても、情報のやり取りや設備・システムの共用といった接点・依存関係があれば、その影響を考慮する必要があります。

以下では、確認すべき項目を順に解説します。

対象となる事業・業務を明確にする

適用範囲を決める第一歩は、ISMSの対象とする事業・サービスを明確にすることです。次に、対象事業の中心業務だけでなく、営業、契約、顧客対応、開発、保守など、それを支える関連業務も洗い出しましょう。

あわせて、顧客との契約や取引条件などで求められる情報セキュリティ要件も確認します。必要な業務を漏れなく捉えることで、実態に合った適用範囲を設定できます。

対象となる部署・人員を確認する

対象事業に関わる部署・人員を洗い出し、それぞれが担う業務や責任を整理します。対象事業を直接担当する部門だけでなく、人事、総務、情報システムなどの管理・支援部門が、情報やシステムの管理にどう関与しているかも確認が必要です。

例えば、アカウント発行を全社の情報システム部門が担っている場合、その部門を単純に範囲外とするのは難しい可能性があります。関連部署を範囲に含めるかは、組織図上の所属ではなく、対象事業への関与内容や度合いをもとに、除外する合理性を検討しましょう。

対象となる拠点を確認する

対象事業が行われている本社、支店、営業所などの拠点を洗い出します。そのうえで、各拠点が担う業務や、ほかの拠点との情報・システム・人員面での依存関係を確認しましょう。例えば、支店で完結する事業であれば支店だけを適用範囲とし、本社全体を対象外にできるケースがあります。

一方、本社の特定部門が人事やシステム管理を担っているなら、その部門を範囲に含めることも考えられます。単純に所在地だけで線引きせず、関与の内容と度合いから、“関連拠点を除外する合理性”を判断することが重要です。

適用範囲外との接点・依存関係も確認する

適用範囲を定める際は、範囲外の組織や活動との接点・依存関係も把握しましょう。

委託先そのものが自社のISMSの適用範囲に入るわけではありませんが、業務委託先やクラウドサービスで扱う情報や委ねる業務、障害時の影響などに関しては確認が必要です。

また、委託先の選定・契約・評価を担う自社の関連部署や管理プロセスは、ISMSで管理すべき対象になります。責任分担やセキュリティ要件、定期的な確認方法などを整理し、外部に依存する部分も適切に管理できる状態にしておきましょう。

企業の状況によってISMSの適用範囲はどう変わる？

ISMSの適用範囲に一律の正解はありません。企業規模や事業数、拠点の構成、外部委託の有無によって、適切な範囲は変わります。

ここでは、代表的な4つのケースに分け、それぞれの範囲設定で確認したいポイントを解説します。

小規模で事業・拠点が限られている場合

小規模事業者では、従業員が複数の業務を兼務し、情報やシステムも全社で共有していることが多いため、対象事業と会社全体がほぼ一致する場合があります。そのような状況で一部の部署や業務だけを範囲外にすると、境界が複雑になり、管理や説明の負担がかえって増えることがあります。

そのため、除外したい部分が対象事業から独立しているか、情報や人員の行き来がどの程度あるかを業務実態から確認することが大切です。その結果、除外する理由がなければ、全社を適用範囲とする方が管理しやすいケースもあります。

複数の事業・サービスを展開している場合

複数の事業を展開する企業では、まず取引先の要請や事業上の必要性から、認証が必要な事業・サービスを定めます。

次に、その事業の提供に関わる営業、開発、運用、顧客対応などの関連業務を洗い出しましょう。ほかの事業と共用する人事・情報システムなどの部門や、共通のネットワーク、クラウド環境がある場合は、その関与も確認します。

対象事業が組織や業務、情報資産の面で区切られており、他事業を除外しても合理的に説明できるかを検討したうえで、事業単位の境界を設定しましょう。

複数の拠点がある場合

複数の拠点がある場合は、対象事業を実施している拠点を洗い出し、それぞれが担う役割を確認します。例えば、本社が契約やシステム管理を行い、支店がサービスを提供しているなら、両拠点の業務や情報の流れを整理する必要があります。その際、念頭に置きたいのが、本社・支店といった拠点単位だけで適用範囲を区切るのではなく、対象事業との関係から設定することです。

さらに、特定の部署だけを対象にする、本社は関連部門のみを含める、といった範囲設定も可能です。各拠点の関与を実態に沿って説明できるようにしましょう。

業務の一部を外部委託している場合

業務の一部を外部へ委託しても、その業務に伴う情報セキュリティリスクがなくなるわけではありません。委託先自体は自社のISMS認証範囲には含まれませんが、委託関係から生じるリスクは自社のISMSで管理する必要があります。

委託する業務の内容や扱う情報、情報の受け渡し方法、事故発生時の対応などを確認し、自社と委託先の責任分担を明確にしましょう。

さらに、トラブルが起きた場合の連絡先や報告期限、原因調査、顧客対応などを誰が担うかも事前に決めておくと安心です。

ISMSの適用範囲を決めるときの注意点

ISMSの適用範囲は、取得時の負担だけで決めると、取引先の要請と合わなかったり、実際の業務とずれたりする可能性があります。適切な範囲を維持するために、設定時と取得後に注意したい3つのポイントを確認しましょう。

取引先が求める範囲を確認する

ISMS認証の取得が取引や入札の条件になっている場合は、認証の有無だけでなく、取引先がどの範囲の認証を求めているか具体的に確認します。自社が認証を取得していても、契約対象となる事業・サービスや、それを提供する部署・拠点が認証範囲に含まれていなければ、条件を満たさない可能性があります。

認証書などでは、認証を受けた組織や所在地、対象となる事業・活動の範囲を確認できます。取得前に取引先の要件と予定する範囲を照らし合わせておくことがポイントです。

関連する業務を無理に切り離さない

適用範囲を限定すると、リスクアセスメントや教育、内部監査など、ISMS運用の対象も絞られるため、導入や運用の負担を抑えられる場合があります。しかし、負担を減らすことだけを目的に、対象事業を支える業務や重要な情報を扱う活動を安易に範囲外とするのは避けましょう。無理に切り離すと“管理の空白”が生じ、かえってリスクが高まる可能性があります。

対象事業との関与や依存関係を整理し、その部署・業務を除外しても設定した境界を合理的に説明できるかを判断基準にしましょう。

事業・組織の変化に応じて見直す

ISMSの適用範囲は、認証取得時に決めたまま固定するものではありません。新しい事業や拠点の追加、組織改編、システムや委託先の変更などにより、対象業務の境界や依存関係は変わります。変更が生じた際は、現在の範囲に新たな業務や組織を含める必要がないか、従来の境界を合理的に説明できるかを確認しましょう。

また、必要に応じて適用範囲や関連文書を見直し、認証機関にも連絡します。適用範囲などを大幅に変更する場合は、認証機関の判断により臨時審査が必要になることもあります。

自社に合った適用範囲を決めてISMS認証を取得しよう

ISMSの適用範囲は、必ずしも全社に広げる必要はありません。対象とする事業・サービスを起点に、関係する部署、人員、拠点、システム、委託先とのつながりを整理し、自社の実態に合う境界を設定します。範囲を限定する場合は、除外した組織や業務との依存関係もふまえ、その境界を合理的に説明できることが重要です。

取引先の要件や今後の事業展開も見据えて検討すれば、運用しやすいISMSにつながります。自社に合った範囲から着実に整え、認証取得への一歩を踏み出しましょう。