連載「ISMS審査員・監査への道」の第6回です。第5回で4.3と4.4、適用範囲の線引きを扱いました。今回は箇条5に入ります。線を引いた組織を、誰の責任で回すのかという話です。
正直に書くと、この記事は途中で結論が変わりました。書き始めた時点では「現場は責任だけ負わされて権限がない」という筋を想定していました。実際に自分の職場を確認したら、そうではなかった。その顛末も含めて書きます。
- 箇条5が3つの条項に分かれている理由と、主語がすべて同じである意味
- 5.2が「方針の中身」と「方針の届け方」を別々に要求していること
- 5.3で名指しされている2つの役割
- 自治体の情報セキュリティ方針が、2026年4月から法律で義務になったこと
- 規格が求めるものを既に持っている組織が、審査で有利とは限らない理由
箇条5をひとことで言うと
箇条5は3つに分かれます。トップマネジメントが関与すること（5.1）、方針を出すこと（5.2）、役割と責任を割り当てること（5.3）。主語がすべて「トップマネジメント」で揃っているのが、この箇条の性格を決めています。
ここは読み飛ばしたくなる箇条だと思います。書いてあることが精神論に見えるからです。ただ審査では、精神論のまま置いてある組織ほど時間を取られます。理由は単純で、関与を証拠で示せと言われるからでしょう。
まもる
しろトップマネジメントとは、規格の定義では最高位で組織を指揮し、管理する個人または集団を指します。この定義が自治体で一意に決まらない、という話が後半の主題になります。
5.1 リーダーシップ及びコミットメント——「実証」と書いてある
5.1が求めるのは、トップマネジメントがISMSに対するリーダーシップとコミットメントを実証することです。実証、という言葉が選ばれている点を押さえてください。
内容としては、方針と情報セキュリティ目的の確立、必要な資源の用意、ISMSの組織プロセスへの統合といった項目が並びます。ほかに、有効なISMSの重要性の伝達、意図した成果の達成、人々への指揮と支援、継続的改善の促進も挙げられました。最後に置かれているのが、関連する他の管理層への支援です。
このうち実務で効いてくるのが「組織のプロセスへの統合」です。ISMSが通常業務と別立てで動いていると、ここが弱くなります。年に一度だけ動く仕組みは、統合されているとは言いにくいでしょう。
意外と見落とされるのが最後の項目です。トップだけが頑張る話ではなく、部長級・課長級がそれぞれの持ち場でリーダーシップを発揮できるよう支援せよ、と書かれています。ISMSは経営層の一枚岩ではなく、階層で回すものだという前提が置かれています。
5.2 情報セキュリティ方針——中身と届け方は、別の要求
方針そのものはA4で1枚あれば足ります。分量ではなく、条件を満たしているかが見られます。
規格が求めるのは、中身の4条件と扱いの3条件です。分けて並べます。
| 区分 | 求められていること |
|---|---|
| 中身 | 組織の目的に対して適切であること |
| 中身 | 情報セキュリティ目的を含むか、目的を設定する枠組みを示す |
| 中身 | 適用される要求事項を満たすというコミットメント |
| 中身 | ISMSの継続的改善へのコミットメント |
| 扱い | 文書化した情報として利用できる |
| 扱い | 組織内に伝達される |
| 扱い | 必要に応じて利害関係者が入手できる |
注目したいのは下の3行です。
この3つは別々の号として書き分けられています。庁内の掲示板に貼りましたというだけでは、ひとつ目にしか答えていません。掲示したかどうかではなく、届いているかを問う書き方になっています。
なお、方針が読まれていない問題は第3回の用語集で扱いました。前述の通り、伝達と入手可能性は別の要求です。今回は方針を「誰が決めたのか」という側から見ていきます。
5.3 組織の役割、責任及び権限——名指しされている役割は2つ
5.3は、関連する役割に責任と権限を割り当て、それを組織内に伝達することを求めます。割り当てるだけでは足りません。伝えるところまでが要求に入っています。
そのうえで、2つの役割が名指しで挙げられています。ひとつはISMSが規格の要求事項に適合していることを確実にする役割。もうひとつは、ISMSのパフォーマンスをトップマネジメントに報告する役割です。
後者が曲者だと感じています。報告する相手は5.1のトップマネジメントですから、5.3と5.1は一本の線でつながります。関与を実証しろと言われた側に、報告が上がる経路が用意されているか。ここが切れていると、5.1の実証も同時に崩れます。
| 条項 | 要求の中心 | 審査で確かめられるもの |
|---|---|---|
| 5.1 | 関与の実証 | 会議体の記録、決裁、資源の配分。組織のプロセスへの統合 |
| 5.2 | 方針の中身（4条件）と扱い（3条件） | 方針そのものと、伝達・入手可能性を示す記録 |
| 5.3 | 割り当てと、その伝達 | 誰に割り当てたか。名指しの2役割が置かれているか |
［現場］自治体の方針には、規格より先に法律がある
ここから現場の話です。まず5.2から入ります。
自治体の情報セキュリティ方針には、規格とは別の根拠があります。改正地方自治法が2024年6月に公布されました。第244条の6は、この方針について3つのことを定めています。第1項が策定と措置の実施の義務、第2項が定めたとき・変更したときの遅滞ない公表、第3項が総務大臣による指針と助言です。
条文の主語も見ておく価値があります。義務を負うのは「普通地方公共団体の議会及び長その他の執行機関」で、団体としてひとまとめではありません。議会も、長も、教育委員会のような執行機関も、それぞれが定めることになります。
ただし別個に作れという話でもありません。総務省の通知には、必要な対策が概ね同様で別個の方針が非効率になる場合、複数の機関で一つの方針を共同で策定するといった運用上の工夫は可能である、と書かれています。
施行は2026年4月1日です。つまり全国の自治体が、この春に方針を定めて公表したばかりということになります。この記事を書いている時点で、施行からまだ半年経っていません。
さらに総務省は「地方公共団体における情報セキュリティポリシーに関するガイドライン」を示しており、基本方針の策定例と解説がそこに載っています。最新版は2026年3月27日の改定で、本文は422ページあります。
何が起きているかというと、書き始める前から枠がある構造です。法律が義務を課し、大臣指針が方向を示し、ガイドラインが例文を出す。自治体はそれを参照して自団体の基本方針を作ります。
ただし、外側が中身まで決めているわけではありません。大臣指針にはガイドラインを十分に参照するようにと書かれていますが、続けて、各執行機関等の個別の事情に即して方針を策定することが重要である、とも示されています。枠はあっても、埋めるのは各団体です。
規格の5.2は、方針が「組織の目的に対して適切」であることを求めます。自治体の場合、その適切さを測る物差しが、規格より先に外から示されている。トップマネジメントが確立するという規格の前提と、力点がずれる箇所だと感じています。
これは自治体が手を抜いているという話ではありません。むしろ逆で、法令とガイドラインという強い後ろ盾がある。ただ審査の場面では「この方針は誰がどう決めたのか」と問われます。そのとき「国の指針に従いました」だけでは、5.2に答えたことになりにくいはずです。
なお、実際に庁内の誰がどう決めているのかは、筆者の立場からは見えません。第4回で書いたとおりです。だからここでは「決めていない」とは書きません。書けるのは、選ぶ前に枠が置かれている、というところまでです。
［現場］事務分掌は、5.3をほぼ満たしている
次に5.3です。ここで自分の想定が崩れました。
筆者が関わっている現場では、情報セキュリティに関する役割は事務分掌で割り当てられています。係長級の職に割り当てられている、という形です。属人的に「詳しい人が見ている」のではなく、職に紐づいて決まっている。
事務分掌というのは、行政組織の中で誰がどの事務を担当するかを定めた規程のことです。ISMSを作る前から、行政にはこの仕組みがあります。文書化されていて、改正の手続きも決まっていて、人が異動しても職が残る。
規格の5.3が求めるのは、役割への責任と権限の割り当てと、その伝達でした。事務分掌はまさにそれをやっています。しかも人ではなく職に割り当てているので、異動に強い。
正直、想定していたのと逆でした。書き始めた時点では「現場は責任だけ負い、権限は与えられていない」という筋を考えていました。実際には、権限は職員にあり、決定も職員が行う。筆者のような常駐の立場には作業上の責任があり、決定権はない。この線引きは明確です。
そしてこれは歪みではありません。事務分掌が機能した結果として、そうなっている。5.3が求める姿に近いのはむしろこちら側でしょう。
［現場］報告は上がっている。ただし「随時」である
5.3が名指しする2つ目の役割、パフォーマンスの報告についてです。
筆者の現場では、グループウェアのスペース機能を使って随時の報告が行われることがあります。何かを対応したら、決まった場所に書く。障害時の一次報告については第3回で触れましたが、あちらは有事の話で、こちらは平常時の経路になります。
伝わってはいます。記録も残ります。ただ、これを5.3の報告と同じものと見てよいかは別問題だと感じています。
引っかかるのは「随時」という点です。随時ということは、報告するかどうかの判断が現場側にあるということでもあります。何も書かなかった月があったとき、それは報告すべきことが無かったのか、報告する人が忙しかったのか。記録からは区別がつきません。
規格が求めているのは、ISMSのパフォーマンスがトップマネジメントに届く経路です。届いた記録があるかどうかで見られます。随時の投稿の集まりを、その証拠として出せるかどうか。ここは組織によって判断が分かれる箇所ではないでしょうか。
既に持っている組織は、審査で有利なのか
ここまでの話をまとめると、自治体は箇条5が求めるものを、規格とは別の形でかなり持っています。
| 規格の要求 | 自治体側で対応するもの | そのままでは足りない点 |
|---|---|---|
| 5.2 方針の確立 | 地方自治法に基づく方針。総務省ガイドラインの基本方針 | 「組織の目的に対して適切」を、誰が判断したかが見えにくい |
| 5.3 役割の割り当てと伝達 | 事務分掌規程。CISOを置く組織体制 | 所掌事務は書いてあっても、名指しの2役割が書かれているとは限らない |
| 5.1 関与の実証 | 決裁の記録。組織体制の整備 | ISMSの用語で記録されていないため、証拠として結びつけにくい |
有利かというと、条件付きだと考えています。
土台があるのは間違いなく強い。ゼロから役割表を作る組織に比べれば、出発点がまったく違います。ただし、事務分掌に書いてあるのは所掌事務です。「ISMSが規格に適合していることを確実にする」「パフォーマンスをトップへ報告する」という規格由来の役割が、そこに書かれている保証はありません。
つまり、持っているものと問われるものが、少しずれている。この翻訳作業が要ります。第3回で規格の言葉と現場の言葉は一致しないと書きましたが、箇条5では逆向きの現象が起きます。現場のほうが先に持っていて、名前だけが付いていない。
よくある落とし穴／審査で指摘されやすい点
方針を「作った」で止めている
5.2の要求は中身と扱いに分かれていました。文書はあるが、入手可能性の側に手当てがないケースがあります。公表しているかどうか、利害関係者が誰かを決めているかどうかまで見られます。
報告の経路が、有事にしか無い
障害やインシデントの報告ルートは、どの組織にもたいてい整っています。問題は平常時です。何も起きていない期間のパフォーマンスが、どうトップへ届くのか。ここが空白になりやすいと感じています。
トップマネジメントの特定が曖昧
自治体では首長、副首長、CISO、情報部門の長など、候補が複数あります。適用範囲の決め方によっても変わるはずです。誰をトップマネジメントとするかを決めないまま5.1に答えると、記録の集め方が定まりません。
「国の指針どおりです」で説明を終える
根拠として強いのは確かです。ただ規格が聞いているのは、その方針が自組織の目的に対して適切かどうかでした。準拠していることと、適切であることは別の問いになります。
まとめ
- 箇条5は主語がすべてトップマネジメント。5.1が関与、5.2が方針、5.3が役割を扱う
- 5.2は方針の中身（4条件）と、伝達・入手可能性（3条件）を分けて要求している
- 5.3が名指しするのは2つ。規格への適合を確実にする役割と、パフォーマンスを報告する役割
- 自治体の方針は2026年4月から法律上の義務になり、公表まで求められる。ただし外が示すのは枠で、中身は各団体が埋める
- 事務分掌は5.3にかなり近い。ただし所掌事務と、規格由来の役割は別物なので翻訳が要る
- 次回は6.1.1と6.1.2、リスクアセスメントに入ります。方針を決めた組織が、何を守るかを見極める工程です
引っかかった点
書き始めた時点で「責任はあるが権限がない」という構図を想定していました。確認したところ、事務分掌が機能していて立場の違いは明確でした。想定のほうが間違っていた形になります。
現場を歪みとして描くほうが記事は書きやすい。そこは自分への戒めとして残しておきます。うまく回っている仕組みを、うまく回っていると書くほうが難しい。
もうひとつ、5.1の細目については規格本文で並び順まで確認しきれていません。内容は押さえていますが、項目の数え方は原典に当たってください。
参考にした一次資料
- 地方公共団体における情報セキュリティポリシーに関するガイドライン（総務省 地方行政のデジタル化） … ガイドラインの入口。PDFは改定のたびに差し替わるため、この一覧から辿るのが確実です
- 同ガイドラインの改定等に係る検討会（総務省） … 改定の経緯と検討会の資料
- 地方自治法の一部を改正する法律の公布及び施行について（通知）（PDF） … 令和6年7月2日、総務大臣。第244条の6第1項から第3項までの内容と、令和8年4月1日の施行期日はこの通知で確認しました
- 地方公共団体における情報セキュリティポリシーに関するガイドライン（PDF・本文422ページ） … 令和8年3月27日改定
- 同ガイドライン 令和8年度 概要資料（PDF） … 総務省 自治行政局 住民制度課 サイバーセキュリティ対策室