本文へ移動
EU ルールファインダー
日本語 (言語)

記入済みの ISO 27001 テンプレート：適用宣言書、リスク登録簿、方針

ISO/IEC 27001:2022 に基づく情報セキュリティマネジメントシステムは、いくつかの中核となる文書の上に成り立ちます：適用範囲、方針、リスクアセスメントとそのリスク対応計画、適用宣言書、目的。質問に一度答えれば、キットがこれらを英語、ドイツ語、スペイン語、フランス語、ポーランド語またはイタリア語の Word ファイルとして作成し、各リスクのレベルを計算し、附属書 A の93の管理策すべてをあなたの決定とともに一覧にします。

2026年10月25日に出典と照合

組織
状況と適用範囲
対象とするもの。例：Acme 予約プラットフォームの開発、ホスティング、サポート。
1行に1つ。
1行に1つ。除くものがなければ空欄。
適用範囲外または他者が行う活動で依存しているもの。例：クラウドホスティング、給与計算。1行に1つ。
組織の内部でセキュリティに影響すること。例：小規模な IT チーム、レガシーシステム。1行に1つ。
外部の要因。例：NIS2 のルール、顧客の要求、自社の業界への攻撃。1行に1つ。
2024年の追補 1 は、すべての組織にこれを判断するよう求めています。例えば浸水のおそれがあるデータセンターなら「はい」。
1行に1つ。例：顧客：契約のセキュリティ条項、データ保護当局：GDPR。
情報セキュリティ方針
氏名と役割。
例：代表取締役。
1行に1つ。例：アクセス制御、バックアップ、許容される利用、リモートワーク。
1から36の整数。通常は12。
SOC 2 と NIS2

キットには、7つのトピック別方針、SOC 2 基準のワークシート、NIS2 第21条の措置記録も含まれます。ワークシートには常にセキュリティが含まれます。報告書が対象とするその他の SOC 2 カテゴリを選んでください。

リスク

レベル（起こりやすさ × 影響）がこの数値以下のリスクは受容できます。例：8。
リスク R1
例：顧客データベース。
例：管理者パスワードの盗難、二要素認証なし。

リスクレベル：起こりやすさと影響を評価してください

下のリストの番号。例：5.17、8.5。

適用宣言書：93の管理策

各管理策について：含めるか除外するか、その理由、実施済みかどうか。上のリスクで挙げた管理策は、そのリスクが根拠になります。

93件中0件を決定済み。

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

目的

目的 1
例：すべての管理者アカウントで多要素ログイン。
達成をどう判断するか。例：管理者アカウントの 100 %。
書類の言語

入力した内容はどこにも送信されません。事業者情報は次回のためにこのブラウザに保存されます。

ファイルの内容

  • ISMS の適用範囲。内部と外部の課題、追補 1:2024 の気候変動の問い、利害関係者とその要求事項、拠点、除外するもの、インタフェース（箇条 4.1 から 4.3）
  • トップマネジメントのコミットメント、役割、トピック固有の方針を含む情報セキュリティ方針（5.2）
  • リスクアセスメント：方法、1から5の尺度、受容レベル、すべてのリスクについて起こりやすさ × 影響を計算した登録簿（6.1.2）
  • 選択肢、附属書 A の管理策、処置、担当者と時期、各リスク所有者の承認欄を含むリスク対応計画（6.1.3）
  • 適用宣言書：附属書 A の93の管理策すべてについて、採用か除外か、その正当性（管理策が対応するリスクは自動で記入）、実施しているか（6.1.3 d）。表計算用の CSV ファイルでも
  • 評価方法、資源、責任者、期限を含む情報セキュリティ目的（6.2）と、規格がこれらのファイル以外に求めるものを一覧にした説明書

キットが行うチェック

リスクレベルは1から5の整数の評価からだけ計算され、それ以外は要記入とされます。附属書 A にない管理策の番号は、推測せずに受け付けないものとして示します。あなたのリスクのいずれかが依存している管理策を除外すると、フォームと適用宣言書で指摘されます。黙って空欄のまま残すことはなく、すべての不足箇所に TO COMPLETE（要記入）と記載されます。

ISO 27001 と NIS2

NIS2 指令（EU）2022/2555 は ISO/IEC 27001 の認証を求めていません。第21条は、不可欠な主体と重要な主体に、該当する場合は関連する欧州と国際の規格を考慮してリスク管理措置を講じることを求め、第25条は加盟国にその利用を奨励するよう求めています。リスクアセスメント、方針、適用宣言書は、それらの措置をどのように選んだかを示す一般的な方法です。キットの方針と SOC 2 及び第21条との対応：SOC 2 と NIS2 の方針。

キットがしないこと

規格の本文は含みません：管理策の名称は当サイト独自の短い言葉であり、要求事項を読むには ISO/IEC 27001 をご自身で入手する必要があります。各管理策の背後にある手順の作成、内部監査やマネジメントレビューの実施、何かの認証は行いません：認証につながるのは、認定を受けた認証機関による審査だけです。文書は英語、ドイツ語、スペイン語、フランス語、ポーランド語、イタリア語です。

入力した内容はブラウザの外に出ません。ファイルはお使いの端末で作成されます。テンプレートであり、法的助言ではありません。

出典