「ISMSを取得したいものの、会社全体を対象にする必要があるのか」「特定の事業や部署、拠点だけでも認証を取得できるのか」と迷っていないでしょうか。ISMSの適用範囲とは、情報セキュリティマネジメントシステムを適用し、管理する組織・業務・拠点・情報資産・システムなどの境界を示すものです。
適用範囲は全社に限らず、事業や部署などに限定して設定することもできます。ただし、負担を減らすためだけに範囲を狭めたり、重要な業務や共通システムとの関係を無視したりすると、実際の業務と合わない範囲になるおそれがあります。
この記事では、ISMSの適用範囲の考え方や決め方、全社・一部を対象にする際の判断、具体例、文書化の方法、注意点まで解説します。これからISMS認証の取得を検討している企業の担当者は、ぜひ参考にしてください。

おすすめサービスはこちら

ISMSの適用範囲とは

ISMSの適用範囲とは、情報セキュリティマネジメントシステムをどこまで適用するかを示す境界です。組織全体を対象にする場合もあれば、特定の事業・部署・拠点に限定する場合もあります。情報セキュリティリスクを管理する対象にも関わるため、事業実態を踏まえて明確にすることが重要です。

適用範囲で定める境界と適用可能性

適用範囲では、ISMSの対象となる組織や業務の「内側」と「外側」を明確にします。たとえば、どの事業を対象にするのか、どの部署・拠点が含まれるのか、対象業務で利用する情報システムや外部サービスは何か、といった点を具体化します。
組織図だけを見て線を引くのではなく、対象業務を実行するために必要な人・情報・設備・システムなどの関係も踏まえ、管理する境界を説明できる状態にしておきましょう。

適用範囲とリスクアセスメントの関係

適用範囲を定めた後は、その範囲に含まれる情報や業務、システムなどを踏まえて情報セキュリティリスクを評価します。適用範囲は、リスクアセスメントを行う対象を考えるうえで重要な前提です。
範囲が曖昧なままだと、どの情報や業務を評価し、誰がリスク対応を担うのかも不明確になります。実際の事業活動に沿った境界を定めることで、その後のリスク管理も進められます。

適用範囲を決めるタイミング

適用範囲は、一般にISMS構築の初期段階で検討します。適用範囲は、その後のリスクアセスメントや各種ルールの対象を考える前提になるため、業務実態を確認しながら早い段階で明確にしておくことが大切です。
なお、JIS Q 27001では、要求事項を規格の箇条番号どおりの順番で実施することまでは求めていません。実際の構築では、組織の状況を確認しながら各作業を行き来することもあります。

ISMSの適用範囲の決め方

JIS Q 27001:2023（追補1であるJIS Q 27001:2025を併せて適用）の箇条4.3では、 適用範囲を決める際に、組織内外の課題、利害関係者の要求事項、他組織との接点や依存関係を考慮します。そのうえで、実務上は事業・組織・物理・資産・技術といった視点から境界を具体化すると、対象を確認しやすくなります。

組織内外の課題

まず、自社を取り巻く内部・外部の課題を確認します。内部の課題には、組織体制、事業計画、人員、利用システムなどがあり、外部の課題には取引環境、法令・規制、サイバー攻撃の状況などがあります。
適用範囲は、こうした課題と切り離して決めるものではありません。たとえば、特定サービスの拡大に伴って扱う情報や利用システムが増えている場合、その事業をどこまで対象にするのか検討する必要があります。
また、2025年5月20日に公示されたJIS Q 27001:2025（追補1）では、気候変動が組織に関連する課題かどうかを判断する要求も追加されています。JIS Q 27001:2025は追補の内容だけを示した規格であるため、JIS Q 27001:2023と併せて適用します。

利害関係者の要求

次に、顧客、取引先、株主、従業員、行政機関など、ISMSに関係する利害関係者の要求を確認します。特に、取引先から「特定のサービスでISMS認証を取得してほしい」と求められている場合、その要求は適用範囲を決める重要な材料です。
認証取得そのものを目的にするのではなく、誰から何を求められているのかを明確にすると、必要以上に範囲を広げたり、反対に重要な業務を外したりすることを避けられます。

他組織との接点・依存関係

適用範囲を決める際は、対象業務が他部署や外部組織にどの程度依存しているかも確認します。情報や業務の受け渡しがある場合、その接点を無視して範囲を決めることはできません。
他組織との関係を見る目的は、すべてを自社の適用範囲へ含めることではなく、対象業務を成り立たせている依存関係を明確にすることです。具体的な共通システムや委託先との関係については、後述する注意点で解説します。

境界を具体化する5つの視点

適用範囲を実務へ落とし込む際は、次の5つの視点から確認できます。これはJIS Q 27001で定められた必須5項目ではなく、境界を具体化するための整理方法です。

5つを別々に確認するのではなく、対象事業を実行するために何が必要かという流れでつなげると、境界の抜け漏れを見つけられます。

ISMS適用範囲を全社・一部に設定する考え方

ISMSの適用範囲は、必ずしも全社に設定する必要はありません。JIPDECのFAQでも、全社での取得は要求されておらず、事業部・部・課単位やプロジェクト単位等でも認証取得が可能とされています。ただし、一時的なプロジェクトや極めて限定した範囲は避けること、利害関係者に対する情報セキュリティリスク側面の大きい活動を含めることが推奨されており、 単に「審査の負担を減らしたい」という理由だけで狭くするのは適切ではありません。自社の業務構造や顧客要求、共通システムとの関係を見ながら、一貫して管理できる範囲を選ぶことが大切です。

全社を適用範囲とするケース

全社で共通の情報システムを利用し、部署をまたいで情報を共有している企業では、全社を適用範囲とした方が事業実態に合う場合があります。部署ごとに境界を分けるより、共通のルールや管理策を組織全体へ適用する方が自然なケースです。
また、顧客や取引先から企業全体の情報セキュリティ体制を求められている場合も、全社認証が選択肢になります。対象が広がる分、関係する情報や部署は増えますが、企業全体を認証範囲として対外的に示せます。

事業・部署単位に限定するケース

特定事業が他部門から比較的独立しており、使用するシステムや人員、業務プロセスも明確に分けられる場合は、その事業・部署を中心に適用範囲を設定できます。
たとえば、受託開発事業だけでISMS認証が求められている場合、対象事業と、それを支える必要な管理部門などを含めて範囲を設定する方法があります。部署名だけで機械的に区切るのではなく、対象サービスがどのように運営されているかを確認して判断しましょう。

全社・一部を選ぶ判断基準

全社か一部かを決める際は、認証取得の負担だけでなく、業務の独立性や顧客要求、情報の重要度、共通基盤との関係、将来の事業拡大まで確認します。

重要なのは、「狭い方が楽だから」と決めることではありません。取得後も無理なく管理でき、かつ認証を求める顧客や事業の実態に合う範囲を選びましょう。

ISMS適用範囲の具体例と文書化

適用範囲を決めたら、対象となる事業・組織・拠点などを第三者にも分かる形で文書化します。抽象的な表現だけでは、どこまでがISMSの対象なのか判断できません。実際の事業内容や組織構成が伝わる形で記載し、必要に応じて関連資料も組み合わせます。

全社認証の適用範囲例

全社を対象にする場合でも、「株式会社○○の全業務」のような短い表現だけで終わらせず、主要事業や対象拠点が分かる形にすると範囲を説明できます。
たとえば、「株式会社○○本社および大阪支店における、クラウドサービスの企画・開発・運用・販売に関する情報セキュリティマネジメント」のように、組織・拠点・業務を組み合わせて記載します。実際の表現は、自社の業務実態や認証機関との確認を踏まえて決めましょう。

事業・部署単位の適用範囲例

事業・部署単位で認証を取得する場合は、 対象事業や部署が特定できる表現にします。たとえば、「システム開発部が行う受託システムの設計・開発・保守業務」のように、組織だけでなく対象業務も分かる形が考えられます。
部署名だけを記載しても、第三者には何を管理している範囲なのか伝わりにくい場合があります。対象となるサービスや業務とのつながりが分かる書き方にしましょう。

適用範囲に記載する項目

JIS Q 27001では、適用範囲を文書化することは求めていますが、文書名や記載項目を一律に指定しているわけではありません。第三者がISMSの境界を確認できるよう、実務では次のような情報を整理しておきます。

• ・対象となる法人・組織・部署
• ・対象となる事業・サービス・業務
• ・対象となる本社・支店・事業所などの所在地
• ・対象業務に関係する情報システムやネットワーク
• ・他部署・委託先・グループ会社などとの接点

すべてを1枚の文書へ詰め込む必要はありません。組織図やネットワーク構成図なども使いながら、どこまでをISMSで管理しているか説明できる状態にしておきます。

文書化した適用範囲の更新管理

組織名や部署、拠点、対象事業などが変わった場合は、適用範囲の記述や関連する組織図・構成図を更新します。古い文書が残ったままだと、文書化した適用範囲と実態が一致せず、認証登録上の範囲とのずれも生じるため注意が必要です。組織名の変更や適用範囲の大幅な変更がある場合は、認証機関での登録内容の変更手続きや臨時の審査が必要になることがあるため、事前に認証機関へ確認しましょう。
改定日や版数、変更理由などを残し、現在の境界を確認できる状態にしておきましょう。適用範囲の変更によってリスクアセスメントなどへ生じる影響については、後述する注意点で解説します。

ISMSの適用範囲を決める際の注意点

適用範囲は組織が決めますが、どのように線を引いてもよいわけではありません。重要業務を安易に外したり、共通システムや委託先との関係を見落としたりすると、実際のリスクとISMSの管理範囲がずれてしまいます。認証取得のしやすさだけではなく、事業実態と情報の流れに合う範囲になっているかを確認しましょう。

重要業務・関連部門の安易な除外

審査対象を減らしたいという理由だけで、情報セキュリティ上重要な業務や関連部門を外すのは避けるべきです。認証対象のサービスを提供するために不可欠な活動を不自然に適用範囲の外に置くと、 設定した範囲の妥当性を説明できなくなります。
一部認証では、対象とする事業の独立性や、除外する組織との関係を説明できることが重要です。適用範囲を小さくすること自体を目的にせず、その範囲だけでISMSを適切に運用できるかを確認しましょう。

共通システム・委託先との依存関係の見落とし

特定部署だけを対象にしていても、メール、認証基盤、クラウドストレージ、社内ネットワークなどを全社共通で利用している場合があります。こうした共通基盤が対象業務に与える影響を無視して範囲を決めると、実態とのずれが生じます。
外部委託先も同様です。委託先そのものを自社の組織範囲へ含めるとは限りませんが、対象業務の情報を預けている場合は、関係するリスクを踏まえ、契約上の役割分担やアクセス権、事故発生時の連絡方法など、必要な管理内容を検討します。

適用範囲外と管理策の非適用の混同

「ISMSの適用範囲から外すこと」と「附属書Aの管理策を適用しないこと」は、別の考え方です。適用範囲は、どの組織・業務をISMSで管理するのかという境界を定めます。
一方、附属書Aの管理策の除外（適用除外）は、 決定した適用範囲に対してリスク対応を検討した結果、特定の管理策を採用しないと判断することです。JIS Q 27001:2023の箇条1では、適合を宣言する場合に箇条4～箇条10の要求事項の除外は認められないと規定されています。一方、附属書Aの管理策については、JIPDECの「ISMSユーザーズガイド－JIS Q 27001:2023（ISO/IEC 27001:2022対応）」でも適用除外が可能とされており、除外する場合はその理由を適用宣言書に記載します（箇条6.1.3 d)）。
適用範囲を狭めることと、管理策を非適用にすることを混同しないようにしましょう。

適用範囲の変更・拡大に伴う負担

認証取得後に適用範囲を変更・拡大することは可能ですが、対象部署や拠点が増えれば、情報資産の把握やリスクアセスメント、必要な管理策の検討、教育、内部監査などの対象も広がります。
変更内容によっては、認証機関への相談や追加の審査が必要になる場合もあります。新拠点や新規事業の計画がある企業は、取得時点だけを見るのではなく、今後どこまで範囲を広げる可能性があるかも考えておきましょう。

ISMSの適用範囲に関するよくある質問

ISMSの適用範囲では、「誰が決めるのか」「どのように文書化するのか」といった疑問が生じやすいものです。範囲の詳細は組織ごとに異なりますが、判断の基本となる考え方は共通しています。本文で詳しく扱った内容を繰り返さず、迷いやすい点に絞って回答します。

ISMSの適用範囲は誰が決めますか？

JIS Q 27001では、組織がISMSの適用範囲を決定します。トップマネジメントだけが単独で決めるという意味ではありません。
実務では、経営上の方針も踏まえながら、ISMS担当者や対象部門の責任者などが業務実態を確認し、組織内外の課題や利害関係者の要求、他組織との接点・依存関係を反映した範囲を検討します。

ISMS適用範囲定義書は必ず作成しますか？

ISMSでは、決定した適用範囲を文書化し、必要なときに確認できる状態にしておく必要があります。ただし、文書名を必ず「ISMS適用範囲定義書」としなければならないわけではありません。
ISMSマニュアルや別の管理文書に記載する方法も考えられます。重要なのは、対象組織・業務・拠点などの境界を第三者が確認でき、変更時にも適切に更新できることです。

適用範囲外の部署もISMSと無関係ですか？

適用範囲外の部署だからといって、ISMSと完全に無関係になるとは限りません。対象業務と情報をやり取りしていたり、共通システムや管理業務を通じて支えていたりする場合は、その接点や依存関係を考慮する必要があります。
範囲外という理由だけで関係を切り離すのではなく、認証対象の業務へどのような影響を与える部署なのかを確認しましょう。

まとめ：ISMSの適用範囲は事業実態に合わせて決めよう

ISMSの適用範囲は、ISMSを適用する組織・事業・拠点などの境界を定める重要な要素であり、認証を取得する場合はこの範囲が認証範囲の基礎になります。全社だけでなく事業・部署単位で設定できますが、組織内外の課題、利害関係者の要求、他組織との接点や依存関係を踏まえ、実際の業務と一致する範囲にする必要があります。
範囲を狭くすれば負担が減るとは限りません。共通システムや関連部門とのつながりを確認し、取得後の運用や将来の拡大まで考えて決めることが大切です。情報セキュリティコンサルティング コーチマモル（Coach MAMORU）では、ISMSの適用範囲決定からリスクアセスメント、規程・体制づくりまで支援しています。自社に合う範囲の決め方に迷っている場合は、私たちにご相談ください。

おすすめサービスはこちら