ISO27001の組織の状況（4.1・4.2）｜「誰の要求で決まったのか」は現場に降りてこない

連載「ISMS審査員・監査への道」第4回

ISO/IEC 27001の箇条4は「組織の状況」から始まります。ところが4.1と4.2を最初に読んだとき、正直なところ手応えがありませんでした。

要求されているのは「決定すること」だけです。何を書けば正解なのかが、規格の文面からは読み取れません。それでも順番を考えると、ここを飛ばすと後ろが全部ぐらつきます。

そしてもう一つ。この記事を準備する過程で、日本語版の規格を冊子で買っただけでは4.1が現在の姿で読めない、という事実に行き当たりました。そこも含めて整理します。

第1回：ISO/IEC 27001の全体像｜規格を知らないと、ベンダーとの会議で何も言えなくなる

第2回：ISMS認証制度と審査の仕組み｜審査する側も、別の機関から審査されている

第3回：ISMS用語集（箇条3）｜規格の言葉と現場の言葉は、たいてい一致しない

---

4.1 組織及びその状況の理解——課題を先に並べる

4.1が求めているのは、ISMSの目的達成に影響する外部および内部の課題を決定することです。決定せよ、とだけ書かれています。文書にしろという要求は、この項には置かれていません。

なぜ最初に置かれているのでしょうか。ISMSは情報を守る仕組みですが、何から守るかは組織ごとに違うからだと理解しています。法規制の厳しさ、扱う情報の種類、人員の余裕。前提が違えば、必要な守り方も変わる。その前提を先に言語化させるのが4.1の役目です。

外部の課題として挙がるのは、法令や制度、取引先や委託先の動き、技術の変化、災害あたりでしょうか。内部の課題は、組織体制、人員と力量、予算、既存システムの古さ。並べてみると、どれもセキュリティ担当だけでは動かせないものばかりです。

ここが個人的にひっかかった点でした。4.1は担当者に書かせる項目に見えて、実は経営層でないと答えられない問いを含んでいます。

4.2 利害関係者のニーズ及び期待の理解——全部に応える条項ではない

4.2は、ISMSに関連する利害関係者と、その情報セキュリティに関連する要求事項を決定することを求めています。利害関係者（りがいかんけいしゃ）とは、ISMSに要求を出す側と、影響を受ける側のことです。顧客、取引先、規制当局、従業員、株主。組織によっては住民や監査機関も入ります。

ここで2022年版の変更点を1つ。4.2には3つ目の項目が加わりました。特定した要求事項のうち、ISMSを通して取り組むものを決定する、という趣旨です。規格本文では c) にあたる部分です。

この追加は地味ですが、読み方を変える力があると感じています。要求事項を洗い出した結果、全部に取り組まなければならないと読めてしまうと、リストを作るほど自分の首が絞まります。この項目があることで「洗い出したうえで、扱う範囲を決めた」と書けるようになる。取り組まないと決めたこと自体が、判断の記録になるわけです。

	4.1	4.2
決定するもの	外部及び内部の課題	利害関係者と、その要求事項
問いの形	何が起きうるか	誰が何を求めているか
2022年版での変更	実質的な変更なし	3つ目の項目（c）が追加された
主にどこへ効くか	6.1 リスク及び機会への取組み	4.3 適用範囲、6.1.2 リスクアセスメント
文書化の明示的な要求	なし	なし

文書化の要求がないのに、審査では見られる項目です。決定した結果を示せなければ、決定したことを確認しようがないからでしょう。この「要求はないが、示せないと困る」という構造は、箇条4の読みどころだと思っています。

追補1で、4.1に気候変動が入った

見落とされやすい変更を1つ書いておきます。ISO/IEC 27001:2022には2024年2月に追補1（Amendment 1）が発行され、4.1と4.2に気候変動に関する記述が加わりました。日本語版はJIS Q 27001:2023の追補1として、2025年5月20日に発行されています。

内容は2か所です。4.1では、気候変動が自組織にとって関連する課題であるかどうかを決定することが求められます。4.2は注記で、利害関係者が気候変動に関する要求をもつ場合がある、と添えられました。注記なので、新たな要求事項が増えたわけではありません。

紛らわしいのは、JIS Q 27001:2023の冊子だけでは、この部分が読めないことです。追補は別に発行されていて、併読して初めて現在の姿になります。第3回で「要求事項は2022年版、用語の親規格は2018年版」というねじれに触れましたが、これで2つ目のねじれです。

豪雨も高温も、電源と空調と通信を止めにきます。止まらないことを守るのがISMSなら、止めにくる要因が変われば課題も変わる。そう読むと違和感は薄れました。

なお、ISMS-AC（情報マネジメントシステム認定センター）は2024年4月1日のお知らせで、この追補について認証審査における確認の対象になるとしています。関連する課題ではないと判断すること自体は選べますが、判断した結果を残していない状態は避けたいところです。

規程は降りてくる。その規程がどこから来たのかは降りてこない

ここから現場の話です。ただし今回は、書ける材料が少ないという形でしか書けません。そしてそれ自体が、この条項の論点だと考えています。

筆者は自治体の情報システム部門に長く常駐していますが、雇用の形は派遣です。だから4.1や4.2に相当する決定が、庁内のどこで、誰によって行われているのかを知りません。国や県から要求が来れば従うルールなのだろう、という程度の理解です。記録は残っているのかもしれませんが、どこにあるかは分かりません。

災害や停電を前提にした決まりについても同じです。文書化されている可能性は高いと思いますが、読んだ記憶がありません。存在するかどうかすら、はっきりとは言えない。

一方で、ルールそのものは届いています。派遣元からは、着任にあたって個人情報の扱いとセキュリティルールのチェックリストで確認を受けました。常駐先では、職員向けのeラーニング研修を受けることもありました。教育の経路が二重にある状態です。

つまり届いているのは規程と手順、届いていないのは背景です。何を守れという指示は来るのに、その指示がどの利害関係者のどの要求から生まれたのかは来ない。4.1と4.2の成果物が、現場の手前で止まっているように見えます。

第3回で、職員が読むのは基本方針までで実施手順まで届いていない、という話を書きました。今回はその逆向きです。手順は届くのに、方針の根拠が届かない。ISMSの入口と出口の両方で、同じ断絶が起きている気がしています。

委託先も常駐要員も、規格から見れば利害関係者

もう一つ、書いていて気づいたことがあります。

「派遣なので分かりません」と答えている私自身が、規格の目線では4.2の利害関係者に数えられる側だということです。委託先や常駐要員は、組織に要求を出す相手であると同時に、要求を受ける相手でもあります。実際に日々システムに触れているのは、その要員だったりします。

そう考えると、4.2の一覧に「委託先」と一行書いてあるだけの状態は、少し心もとない。要求を出す相手としては書かれていても、要求を届ける相手として設計されているかどうかは別の話だからです。

内部監査や審査でここを見るなら、責任者の答えだけでは足りないのだろうと思います。決めた人が説明できるのは当然です。決めた結果が、実際に手を動かす人のところまで届いているか。そこを確かめて初めて、4.1と4.2が機能していると言えるのではないでしょうか。

ちなみに個人としては、この状態を埋めるために国家試験の勉強をしてきました。ただ、それは組織の力量管理（7.2）とは別物です。個人の自助努力で穴が埋まっているように見える現場は、たぶん審査で危うい方に数えられます。

よくある落とし穴／審査で指摘されやすい点

現場の話とつなげて、指摘されやすそうな点を整理します。

• 課題の一覧を作ったまま更新されず、数年前の前提のまま残っている。4.1は一度決めて終わりの項目ではありません
• 利害関係者の欄が「顧客・従業員」だけで、実際に運用を縛っている相手が載っていない。国や県の通知、監査機関、委託先など、要求の出どころは案外多いはずです
• 要求事項を洗い出すほど作業が増え、取り組む範囲を決めた判断が書かれていない。取り組まないと決めたなら、その判断を書いておくほうが説明しやすくなります
• 決定の結果が、実際に運用する人に届いていない。担当者に聞いたときに答えが出てこない状態は、確認の対象になりやすいと思われます
• 気候変動について検討した記録がない。関連しないという結論でも構いませんが、検討していないのと結論が出ているのとでは意味が違います

いずれも「必ず指摘される」という話ではありません。ただ、指摘されたときに反論しにくい形ではあります。

まとめ

• 4.1は外部および内部の課題を、4.2は利害関係者とその要求事項を決定することを求めている
• 2022年版では4.2に3つ目の項目が加わり、取り組む要求事項を選ぶ判断が明文化された
• どちらにも文書化の明示的な要求はない。それでも決定した結果は示せる形にしておきたい
• 追補1（JIS Q 27001:2023/追補1:2025）で4.1に気候変動が入った。2023年版の冊子だけでは読めないため併読が必要
• 決定の結果が現場に届いていなければ、4.1と4.2は紙の上でしか成立しない

次回は4.3と4.4、ISMSの適用範囲（スコープ）の決め方を扱います。今回決めた課題と利害関係者が、そのまま境界線の材料になります。

用語の意味を確認したいときはISMS用語集に戻ってください。

---

参考にした一次資料

• JIS Q 27001:2023 書誌情報（日本規格協会）——2023年9月20日改正、ISO/IEC 27001:2022と一致（IDT）、追補1の発行
• ISO/IEC 27001:2022/Amd 1:2024（ISO）——2024年2月発行、気候変動対応の追補
• マネジメントシステム規格への気候変動に係る追補版発行について（ISMS-AC）——認証審査における確認の対象になる旨

規格本文は有償のため、本文中では番号と趣旨の言及にとどめています。条項の正確な表現は、お手元のJIS Q 27001でご確認ください。条項の対応関係は、学習教材として使っている『ISO27001:2022の規格と審査がしっかりわかる教科書』（岡田敏靖 著）と突き合わせています。

---

連載「ISMS審査員・監査への道」

• 第1回：ISO/IEC 27001の全体像｜規格を知らないと、ベンダーとの会議で何も言えなくなる
• 第2回：ISMS認証制度と審査の仕組み｜審査する側も、別の機関から審査されている
• 第3回：ISMS用語集（箇条3）｜規格の言葉と現場の言葉は、たいてい一致しない
• 第4回：組織の状況（4.1・4.2）（この記事）
• 第5回：ISMSの適用範囲（4.3・4.4）（準備中）

連載の記事はISO27001・ISMSカテゴリにまとめています。