ISMS（ISO27001）で必要な文書一覧｜規格が要求する文書化された情報と記録を整理

ISMS文書は「必須」と「実務上ほぼ必要」の2層で考える

ISO/IEC 27001:2022の本文（箇条4〜10）には、「文書化した情報として利用可能な状態にすること」「保持すること」と明記された箇所があります。これが第1層、つまり規格が明示的に要求する文書化した情報であり、存在しないこと自体が審査で指摘され得ます。

第2層は、附属書Aの管理策を「どう運用しているか」を説明するために整備することが多い規程・手順です。規格は規程の名前までは指定しませんが、アクセス権の付与・見直しの手順が決まっていなければ、管理策が運用されていることを説明しにくくなります。取得までの流れ全体はISO27001認証取得の進め方にまとめています。

規格本文が明示的に要求する文書化した情報の一覧

箇条番号とあわせて整理すると、自社に何が欠けているかを機械的に確認できます。名称は規格の用語であり、実際のファイル名は自社の呼び方で構いません。複数を1ファイルにまとめても分割しても、要求を満たしていれば形式は問われないのが一般的な考え方です。

リスクアセスメントのプロセスと結果は、この表の中でも作成に時間がかかりやすい部分です。進め方はISMSのリスクアセスメントで個別に扱っています。

附属書Aの管理策に合わせて整備することが多い規程・手順

次の表は、100名規模までのIT企業でよく整備される単位です。すべてを別ファイルにする必要はなく、「情報セキュリティ管理規程」1本に章立てでまとめる組織も少なくありません。判断の軸は、改訂の頻度が違うものを同じファイルに入れないことです。

「文書」と「記録」の違い

旧版では「文書」と「記録」を分けて要求していましたが、現行版はどちらも文書化した情報という1つの用語で扱います。ただし実務上は、性質の違いを意識した方が管理しやすくなります。

• 文書（方針・規程・手順・様式）は「これから何をするか」を定め、版数管理と承認が中心になる
• 記録（申請、議事録、レビュー結果、監査報告）は「実際に何が起きたか」の証跡で、書き換えを防ぐ保護が中心になる
• 規格の表現では、前者はおおむね「維持する」、後者は「保持する」に対応する
• 空白の様式は文書、記入済みの様式は記録、と考えると台帳が整理しやすい

文書体系の階層と、増やしすぎないコツ

一般的には、方針 → 規程 → 手順 → 様式／記録の4階層で組み立てます。上位ほど改訂頻度が低く承認者の職位が高い、下位ほど頻繁に変わる、という関係です。これが崩れると、細かい運用変更のたびにトップマネジメントの承認が必要になり、更新が止まります。

• 方針は1本に絞る。下位方針を作るのは、対象読者や承認者が本当に分かれるときだけにする
• 規程は「誰が・何を・どの頻度で」までにとどめ、画面操作は下位の手順書に逃がす
• ツール名や画面名が変わるたびに改訂が要る内容は、規程本文に埋め込まない
• 既存の社内規程（就業規則など）と重複する内容は、書き写さずに参照する
• 運用できる見込みのない頻度（例: 毎月の全件棚卸し）を規程に書かない

文書管理そのものに求められること（7.5.2 / 7.5.3）

文書の管理方法自体も要求事項です。7.5.2は作成・更新時に、識別（表題・日付・作成者・番号など）、形式と媒体、レビューと承認が適切であることを求めます。7.5.3は、必要なときに必要な場所で利用でき、かつ十分に保護されている状態を求めます。

テンプレート利用の注意と、審査で見られやすい記録

テンプレートは出発点としては有効ですが、そのままでは自社の実態と合わない箇所が残ります。存在しない役職名や実施していない会議体が残ったままだと、記録との食い違いとして指摘されやすくなります。一般論として、導入直後に書かれている頻度と役割名を実態に合わせて全文見直す工程を挟むと、後戻りが減ります。

審査では文書そのものより「その文書どおりに動いた証跡」が確認されます。特に次の記録は、期間の抜けや承認欄の空白が見つかりやすい部分です。

• 教育・力量の記録（実施日、対象者、内容、理解度の確認）
• アクセス権のレビュー記録（対象システム、実施者、是正した内容）
• 内部監査の計画と報告（監査員の独立性が分かる記載を含む）
• マネジメントレビューの議事録（インプット項目への対応と決定事項）
• インシデント記録（軽微な事象を含む。ゼロ件が続くと検知の仕組みを問われやすい）
• 供給者の評価・見直し記録

版数管理と承認フローをツール側で回すという選択

文書一覧そのものはWordやスプレッドシートでも作れます。負荷が増えるのは、版数・承認・レビュー期限・記録との紐づけを人手で追い続ける部分です。文書、リスク、管理策、適用宣言書が別ファイルに散っていると、1つの改訂の波及を目視で追うことになります。

この作業をツール側に寄せると、承認履歴と版数が自動的に残り、レビュー期限の抜けも検知しやすくなります。まず自社にどの文書が足りていないかを確かめたい場合は、ISMS現在地セルフチェックから始めるとよいでしょう。

本記事は一般的な情報提供を目的としており、審査結果や認証取得を保証するものではありません。制度・費用は変わることがあるため、最新情報は審査機関等でご確認ください。