正解：エ
各選択肢の解説
ア認証は組織全体が対象なので、運用部に絞らず全部門を適用範囲に含める。
誤り。適用範囲は組織が自ら決めるもので、特定の部門・拠点・業務に限って定められます。 「認証＝全社」と思い込みやすいのは、取得企業の名前だけが知られるためです。 認証の対象は会社ではなく、定めた適用範囲のISMSです。
イ適用範囲は審査をする認証機関が決めるので、申込み後の指示を待つ。
誤り。適用範囲を決めるのは組織の側で、認証機関はその範囲で要求事項を満たしているかを 審査します。審査の場で範囲が確認されるため、決める役も認証機関にあると誤解しがちです。 決めるのは組織、確かめるのは認証機関と分けて覚えます。
ウ運用部の中で管理が完結すれば、他部門や委託先とのやり取りは検討しなくてよい。
誤り。範囲を一部に絞っても、人事部からの入退社の連絡や委託先の保守作業など、範囲の外との やり取りは残ります。JIS Q 27001 は範囲を決めるときに、範囲外の活動とのインタフェースや 依存関係を考慮するよう求めています。境目を見ないと、そこが管理の穴になります。
エ運用部を範囲とし、範囲外の部門や委託先とのやり取りを明らかにして、範囲を文書にする。
正解。範囲は一部門に絞れますが、範囲の外とのつなぎ目を明らかにしたうえで決め、文書として 示せるようにします。審査もこの文書にした範囲を対象に行われます。
理解を深めるために
適用範囲は「どこを守る仕組みか」を組織が線引きすること
ISMSの認証は、会社全体でなければ取れないわけではありません。部門、拠点、特定のサービスなど、 組織が自ら決めた適用範囲について審査を受けます。まず全社の一部で取得し、後から範囲を 広げる進め方もよく取られます。
範囲を絞っても、境目は消えない
範囲を運用部に絞ると、範囲の外にある部門や会社との関係が必ず残ります。
- 人事部からの入社・退職の連絡（アカウントの発行や削除のきっかけになる）
- 総務部が管理する建物の入退館
- データセンター設備の保守を請け負う委託先
JIS Q 27001 は、適用範囲を決めるときに、組織の内外の課題や利害関係者の要求に加えて、 範囲内の活動と範囲外の活動とのインタフェースや依存関係を考慮するよう求めています。 そのうえで、適用範囲を文書化した情報として利用できる状態にします。境目を明らかにしないと、 「範囲の外だから誰も見ていない」場所が攻撃や事故の入口になります。
混同しやすいものとの違い
| 考え方 | 実際 |
|---|---|
| 適用範囲は組織が決め、境目も含めて文書にする | 審査はその範囲を対象に行われる |
| 認証は全社が対象 | 部門・拠点・業務に限れる |
| 範囲は認証機関が決める | 決めるのは組織、確かめるのが認証機関 |
| 範囲内で完結すれば外は見なくてよい | 範囲外とのやり取りを考慮して決める |
適用範囲の問題では、「誰が決めるか」と「範囲の外との境目を扱うか」の2点で選択肢を見分けます。