附属書Aとは

附属書Aは、情報セキュリティの管理策（リスクを減らすための具体的な手立て）の一覧です。並びと題名は、管理策の手引である ISO/IEC 27002:2022 と同じです。組織はリスク対応で必要な管理策を決め、附属書Aと見比べて、必要なものが抜けていないかを確かめます。

4つのテーマと数

2022年版の附属書Aには、93の管理策があり、4つのテーマに分かれます。
- 組織的管理策 … 5.1〜5.37 の37。方針、役割、資産、アクセス制御、供給者、クラウドサービスの利用、インシデント管理、法令など
- 人的管理策 … 6.1〜6.8 の8。選考、雇用契約、教育、懲戒、退職後の責任、秘密保持、リモートワーク、事象の報告
- 物理的管理策 … 7.1〜7.14 の14。境界、入退室、監視、クリアデスク、記憶媒体、機器の処分など
- 技術的管理策 … 8.1〜8.34 の34。端末、権限、マルウェア、脆弱性、バックアップ、ログ、ネットワーク、暗号、開発など

監査での使い方

管理策は「全部やらなければいけない一覧」ではありません。どれを採用し、どれを除いたかは、第4回で扱う適用宣言書に書きます。監査では、見つけた事実がどのテーマのどの管理策に関わるかを探し、そのうえで箇条4〜10の要求と社内の手順に照らします。

• 附属書Aと ISO/IEC 27002 の関係
• 93の管理策と4つのテーマの数
• テーマごとの代表的な管理策
• 監査で、事実と管理策をつなぐ方法