---
title: "適用宣言書とは？ISMSで選んだ管理策を根拠付きで示す文書【SG試験】"
description: "適用宣言書は、ISMSで必要と判断した管理策、その実施状況、適用・除外の理由を整理する文書です。リスクアセスメント、リスク対応計画、JIS Q 27001附属書Aとの順序をSG試験向けに整理します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。"
last_modified_at: "2026-06-02"
canonical_url: "https://stemtazoo.github.io/sg/statement-of-applicability/"
section: "sg"
---

## まず結論

**適用宣言書**とは、ISMSで組織が採用する情報セキュリティ管理策と、その理由・実施状況・除外理由を整理した文書です。

SG試験では、**リスクアセスメントやリスク対応の結果を受けて、必要な管理策を附属書Aなどと照らし合わせて作る文書**として判断します。

> **適用宣言書 = 選んだ管理策と、選んだ理由・除外した理由を説明する文書**

## 直感的な説明

適用宣言書は、セキュリティ管理策の「採用理由一覧表」のようなものです。

組織は、リスクを見たうえで、どの管理策を使うかを決めます。

そのとき、単に「この管理策を使います」と書くだけでは不十分です。

- なぜその管理策が必要なのか
- 実施しているのか、これから実施するのか
- 附属書Aにある管理策を除外するなら、なぜ除外できるのか

これらを説明できるようにするのが適用宣言書です。

## 定義・仕組み

適用宣言書は、ISMSにおけるリスク対応の流れの中で作成します。

大まかな順序は次のとおりです。

1. 情報資産やリスクを把握する
2. リスクアセスメントを行う
3. 情報セキュリティリスク対応を決める
4. 必要な管理策を特定する
5. JIS Q 27001の附属書Aなどに示される管理策と比較し、抜け漏れを確認する
6. 適用宣言書に、管理策・実施状況・適用理由・除外理由を整理する

つまり、適用宣言書は最初に作る文書ではありません。

リスクを特定・評価し、対応方針や必要な管理策を決めた後に、それを根拠付きで整理する文書です。

## どんな場面で使う？

適用宣言書は、ISMSの構築・運用・審査の場面で使います。

- 組織がどの管理策を採用しているか説明する
- 管理策の実施状況を確認する
- 附属書Aの管理策に対して、適用・不適用の理由を示す
- 審査や監査で、管理策選定の根拠を確認する

SG試験では、**「管理策を選んだ後に、附属書Aと照らし合わせて整理する」**という順序が狙われます。

## よくある誤解・混同

### リスク対応計画そのものと混同しない

適用宣言書は、リスク対応で選んだ管理策を根拠付きでまとめる文書です。

そのため、実施時期や担当者を並べた計画書そのものではなく、**どの管理策を適用するか、その理由は何かを説明する文書**として押さえます。

### 適用宣言書を作ってからリスクを特定する、ではない

リスクを見ないまま管理策を決めると、組織に本当に必要な対策か分かりません。

SG試験では、適用宣言書を作成した後にリスクを特定する、という選択肢は順序が逆です。

### 附属書Aは丸写しリストではない

附属書Aの管理策は、管理策選定の確認に使います。

ただし、すべてを機械的に実施するというより、組織のリスク対応に必要な管理策を特定し、適用しないものがあれば理由を説明します。

### 適用宣言書を見てから管理策を初めて選ぶ、ではない

適用宣言書を作成した後に、その内容を基に管理策を初めて選ぶ、という説明は不適切です。

リスク対応で管理策を選び、その内容を適用宣言書で整理します。

### 規格本文の要求事項と附属書Aを混同しない

適用宣言書で扱う中心は、附属書Aなどに示される管理策の適用状況や、適用・除外の理由です。

ここで、JIS Q 27001の規格本文にある要求事項と、附属書Aの管理策を混同しないようにします。

- 規格本文の要求事項：ISMSに適合するために満たす必要がある
- 附属書Aの管理策：リスク対応に基づいて選び、適用しない場合は理由を示す

SG試験では、**「要求事項も管理策もすべて必須」**や、**「要求事項も妥当な理由があれば除外できる」**といった選択肢がひっかけになりやすいです。

## 確認問題（SG試験対策）

ISMSで適用宣言書を作成する目的として、最も適切なものはどれか。

- ア. 組織が採用する管理策、実施状況、適用・除外の理由を整理して示す。
- イ. リスクを洗い出す前に、すべての管理策を一律に実施すると宣言する。
- ウ. 監査後に改善点だけを列挙し、採用済みの管理策は記載しない。
- エ. リスク対応の候補を検討せず、附属書Aの項目をそのまま作業計画にする。

<details markdown="1">
<summary>▶ クリックして答えと解説を見る（ここを開く）</summary>

**正解：ア**

### 解説

- ア：適切です。適用宣言書では、管理策の適用状況や適用・除外の理由を根拠付きで整理します。
- イ：不適切です。リスクを見ずに一律実施を宣言する文書ではありません。
- ウ：不適切です。改善点だけでなく、採用する管理策やその理由を示します。
- エ：不適切です。附属書Aは確認に使いますが、組織のリスク対応に基づいて管理策を選びます。

👉 判断ポイント
適用宣言書は、**リスク対応で選んだ管理策を、附属書Aと照らして根拠付きで整理する文書**です。

</details>

## まとめ（試験直前用）

- 適用宣言書は、ISMSで選んだ管理策と理由を示す文書。
- リスクアセスメントやリスク対応の後に作成する。
- 附属書Aと比較して、必要な管理策の抜け漏れや除外理由を確認する。
- 規格本文の要求事項は満たす必要があり、附属書Aの管理策は理由を示して適用・除外を判断する。
- 適用宣言書を作ってからリスクを特定する、という順序は誤り。
- 迷ったら「リスクを見る → 管理策を選ぶ → 適用宣言書で説明する」と覚える。

## 公式情報・参考リンク

- [JIPDEC｜ISMSユーザーズガイド－JIS Q 27001:2023](https://www.jipdec.or.jp/library/smpo_doc.html)