ISMSマニュアル¶

改訂履歴¶

改訂日	版数	内容	承認	作成
2023-12-18	1.0	新規制定	沈燁	委員会
2024-12-03	1.1	4.1, 4.2 気候変動対応を追記 4.3 オフィス移転に伴い所在地変更	沈燁	委員会

目次¶

適用範囲
引用規格
用語及び定義
組織の状況
4.1 組織及びその状況の理解
4.2 利害関係者のニーズ及び期待の理解
4.3 情報セキュリティマネジメントシステムの適用範囲の決定
4.4 情報セキュリティマネジメントシステム
リーダーシップ
計画策定
支援
運用
パフォーマンス評価
改善
附則

第1章適用範囲¶

本マニュアルは、当組織の事業上のリスクから当組織の情報を保護するため、
JIS Q 27001:2025 (ISO/IEC 27001:2022+Amd 1:2024) の要求事項に従い、
情報セキュリティマネジメントシステム（以下「ISMS」）を確立し、実施し、維持し、
継続的に改善するための要求事項について規定するものである。

第2章引用規格¶

JIS Q 27000:2019 (ISO/IEC 27000:2018)
情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語
JIS Q 27001:2025 (ISO/IEC 27001:2022+Amd 1:2024)
情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項
JIS Q 31000:2019 (ISO/IEC 31000:2018)
リスクマネジメント－原則及び指針

第3章用語及び定義¶

この ISMS マニュアルにおける用語の定義は、原則として JIS Q 27000:2019 に従う。
ただし、当組織固有の用語については以下に定義する。

用語	定義
当組織	株式会社 PacPort
トップマネジメント	経営陣（代表取締役沈燁）
リスク所有者	トップマネジメント及び「資産目録」で特定したリスク所有者
従業者	正社員、契約社員、パート、アルバイト、取締役、監査役、派遣社員、受入出向社員など当社に雇用・所属する全ての者

第4章組織の状況¶

4.1 組織及びその状況の理解¶

当組織の目的に関連し、かつ ISMS の意図した成果達成に影響を与える外部及び内部の課題を特定し、
「外部及び内部の課題」として文書化する。

また、当組織は 気候変動 が関連課題となるかを判断する。

4.2 利害関係者のニーズ及び期待の理解¶

当組織の ISMS に関連する利害関係者とその要求事項を特定し、
「外部及び内部の課題」に記述する。

注記：利害関係者は気候変動に関する要求事項を持つ場合がある。

4.3 情報セキュリティマネジメントシステムの適用範囲の決定¶

ISMS の適用範囲は以下の通り定める。

事業：IoT システムに関わる企画、設計、開発、販売、導入、保守運用業務
組織：株式会社 PacPort（境界は「組織図」にて定義）
所在地：〒100-0004 東京都千代田区大手町二丁目2番1号新大手町ビル（境界は「レイアウト図」にて定義）
資産：重要資産、個人情報、それらが記録された媒体、情報施設・設備、維持に必要なサービス（資産目録参照）
技術：ネットワークの境界はルータとし、その内側を対象範囲とする（ネットワーク図参照）

4.4 情報セキュリティマネジメントシステム¶

当組織は、必要なプロセス及びそれらの相互作用を含む ISMS を確立し、実施し、維持し、
継続的に改善する。

第5章リーダーシップ¶

5.1 リーダーシップ及びコミットメント¶

トップマネジメントは以下を通じて ISMS に対するリーダーシップ及びコミットメントを実証する。

ISMS が本マニュアルに従って確立、実施、維持及び改善されることを確実にする。
ISMS 方針及び情報セキュリティ目標が策定され、組織の戦略的方向性と両立することを確実にする。
ISMS に必要な資源が利用可能であることを確実にする。
有効な ISMS の重要性及び ISMS 要求事項への適合の重要性を従業者に周知する。
ISMS が意図した成果を達成することを確実にする。
ISMS を有効にするように従業者を指導及び支援する。
継続的改善を奨励する。
トップマネジメントが管理責任を負う領域でのリーダーシップを実証する。

5.2 方針¶

5.2.1 情報セキュリティ方針の策定¶

トップマネジメントは「情報セキュリティ方針（A-01）」を策定し、文書化し、承認する。

5.2.2 情報セキュリティ方針の伝達¶

情報セキュリティ方針は以下を満たす。

文書化した情報として利用可能であること。
組織内に伝達され、理解され、適用されること。
関係する利害関係者に利用可能であること。

5.3 組織の役割、責任及び権限¶

トップマネジメントは ISMS に関連する役割の責任及び権限を割り当て、伝達する。
特に以下を含む。

ISMS が本マニュアルの要求事項に従って確立、実施、維持及び改善されることを確実にする。
ISMS のパフォーマンスをトップマネジメントに報告する。

第6章計画策定¶

6.1 リスク及び機会への取り組み¶

当組織は以下を実施する。

ISMS が意図した成果を達成できるようにするために、リスク及び機会を決定する。
不適合の防止または低減を図る。
継続的改善を達成する。

これらを達成するために以下を実施する。

リスク及び機会への取り組みの計画策定。
それらの取り組みを ISMS プロセスに統合及び実施する。
その取り組みの有効性を評価する。

6.2 情報セキュリティ目標及びそれを達成するための計画¶

6.2.1 情報セキュリティ目標¶

当組織は以下を満たす情報セキュリティ目標を策定する。

情報セキュリティ方針と整合すること。
測定可能であること。
適用する要求事項を考慮に入れること。
リスク評価及びリスク対応の結果を考慮に入れること。
伝達されること。
必要に応じて更新されること。

6.2.2 目標達成の計画¶

各情報セキュリティ目標に対して以下を明確化する。

実施すること：何をするか
必要な資源：どの資源を使用するか
責任者：誰が責任を負うか
完了期限：いつまでに完了するか
評価方法：どのように評価するか

6.3 ISMS の変更の計画¶

当組織は ISMS に必要な変更を計画的に実施する。
変更の際にはその目的及び潜在的影響を考慮し、ISMS の完全性が損なわれないようにする。

第7章支援¶

7.1 資源¶

当組織は、ISMS の確立、実施、維持及び改善のために必要な資源を決定し、提供する。
資源には次が含まれる：人的資源、専門的スキル、インフラ、技術的支援、財務的資源。

7.2 力量（能力）¶

当組織は、ISMS に関連する業務を遂行する従業者が次を満たすことを確実にする。

適切な教育、訓練、経験に基づく力量を有すること。
必要な力量を持たない場合は教育、訓練、経験などを通じて力量を獲得すること。

力量に関する証拠は文書化した情報として保持する。

7.3 認識¶

当組織は、従業者が次を認識していることを確実にする。

情報セキュリティ方針。
ISMS の有効性への貢献。
ISMS 要求事項に適合しないことの影響。
自身の責任及び義務。

7.4 コミュニケーション¶

当組織は、ISMS に関するコミュニケーションについて以下を決定する。

何を伝えるか
いつ伝えるか
誰に伝えるか（内部・外部）
どのように伝えるか（会議、教育、掲示、電子メール、文書など）

7.5 文書化した情報¶

7.5.1 一般¶

ISMS は JIS Q 27001 に従い、文書化した情報を必要に応じて保持する。

7.5.2 作成及び更新¶

文書化した情報は次を確実にする。

識別と説明（タイトル、日付、作成者、参照番号等）。
適切な形式（言語、ソフトウェア、版数管理）。
内容の適切性と完全性。

更新の際には、レビューと承認を経ること。

7.5.3 管理¶

文書化した情報は次を確実にする。

利用可能であり、必要なときに利用できること。
適切に保護されること（機密性、完全性、利用可能性の観点）。
外部から取得した文書化した情報の識別と管理。
保管、保存、改訂、配布、アクセス、保護、保持、廃棄のルールを定めること。

文書管理の具体的運用は「ISMS文書一覧表（A-05）」及び「文書管理手順書（A-03）」に従う。

第8章運用¶

8.1 運用の計画及び管理¶

当組織は、ISMS の要求事項を満たし、情報セキュリティ目標を達成するために、
必要なプロセスを計画、実施、管理し、その成果を評価する。

具体的には以下を行う。

運用の計画及び管理方法を文書化し、維持する。
計画に従いプロセスを実行し、必要に応じて変更する。
変更管理は計画的に行い、潜在的影響を考慮する。
外部委託を含む業務についても、リスク管理と統制を適用する。

8.2 情報セキュリティリスクアセスメント¶

当組織は、確立した「リスクアセスメント手順」に基づき、定期的にリスクアセスメントを実施する。

リスクアセスメントでは以下を行う。

資産、脅威、脆弱性、既存の管理策を識別する。
リスクの発生可能性と影響度を分析し、リスクレベルを算出する。
リスク受容基準に基づき、受容可否を判定する。
結果を「リスクアセスメント結果報告書」として記録・維持する。

リスクアセスメントは以下のタイミングで実施する。

年次（定期実施）
組織やシステムに重大な変更があった場合
重大なセキュリティインシデント発生時

8.3 情報セキュリティリスク対応¶

当組織は、リスクアセスメントの結果に基づき、リスク対応を行う。
対応の選択肢は以下の通り。

リスク回避：リスクの原因となる活動を中止または変更する。
リスク低減：管理策を導入し、発生可能性または影響を低減する。
リスク移転：外部委託、保険契約等を通じて他者に移転する。
リスク受容：経営判断により受容基準内のリスクを容認する。

対応方針と理由は「リスク対応計画書」に文書化し、承認を得る。
また、対応の進捗を追跡し、完了後に効果を評価する。

8.4 外部委託の管理¶

外部委託に関する情報セキュリティリスクを管理するため、以下を実施する。

委託先の選定時にセキュリティ要求事項を評価する。
契約に情報セキュリティ要求を明記する。
委託先のセキュリティ実施状況を定期的に確認する。
重大インシデント発生時には速やかに連携できる体制を整備する。

外部委託の具体的管理策は「委託先管理手順」に従う。

第9章パフォーマンス評価¶

9.1 監視，測定，分析及び評価¶

当組織は，ISMS の有効性を評価するため，監視，測定，分析及び評価を実施する。

監視・測定対象には次が含まれる：
- 情報セキュリティ目標の達成度
- リスク対応の有効性
- インシデント発生件数・対応時間
- 教育訓練の受講率
- 内部監査の是正完了率
- KPI 指標（A-10 ISMS数値評価基準に基づく）

測定結果は，適切な時期に，委員会及びトップマネジメントへ報告される。

9.2 内部監査¶

9.2.1 一般¶

当組織は，計画的に内部監査を実施し，ISMS が次を満たしているかを確認する。
- 自らの要求事項及び JIS Q 27001 の要求事項に適合していること。
- 有効に実施され，維持されていること。

9.2.2 内部監査プログラム¶

内部監査プログラムは以下を考慮して策定する。
- 関連するプロセスや領域の重要性
- 前回監査結果
- リスク評価結果

内部監査は少なくとも年1回以上実施し，記録を保持する。

監査の責任者は「ISMS内部監査責任者」とし，監査員は客観性を確保するため，監査対象から独立した者が担当する。

監査の結果は「内部監査報告書」として文書化し，是正処置を要求する場合は「是正処置報告書」として追跡する。

9.3 マネジメントレビュー¶

9.3.1 一般¶

トップマネジメントは，計画された間隔で ISMS のレビューを行い，その適切性，妥当性，有効性を確実にする。

9.3.2 レビュー入力事項¶

マネジメントレビューでは次を入力として扱う。

内部監査及び外部監査の結果
利害関係者からのフィードバック
情報セキュリティパフォーマンス（KPI）
目標の達成状況
インシデント及び是正処置の状況
リスクアセスメント及びリスク対応の結果
改善の機会
気候変動や事業環境の変化による影響

9.3.3 レビュー結果¶

マネジメントレビューの結果として次を決定する。

改善の機会
ISMS の変更の必要性
資源の必要性
方針及び目標の更新の要否

レビュー結果は「マネジメントレビュー議事録」として文書化し，記録する。

第10章改善¶

10.1 不適合及び是正処置¶

当組織は，次を実施する。

不適合が発生した際，それを識別し，記録する。
不適合に対して速やかに対応し，必要に応じて是正処置を行う。
是正処置の内容は以下を含む。
不適合の原因の除去
再発防止のための処置
処置の効果の確認

不適合及び是正処置の記録は「是正処置報告書」として保持する。

10.2 継続的改善¶

当組織は，ISMS の適切性，妥当性，有効性を継続的に改善する。
改善は以下を通じて実施される。

内部監査結果
マネジメントレビュー結果
KPI 評価
インシデントや不適合から得られた教訓
利害関係者からのフィードバック

附則¶

本マニュアルは，2023年12月18日 に制定し，代表取締役沈燁 が承認した。
本マニュアルは，2024年12月3日 に一部改訂された。
本マニュアルの管理責任者は 情報セキュリティ委員長 とする。
本マニュアルの最新版は GitHub リポジトリ「isms-docs」に格納され，アクセス権限に基づき管理される。
本マニュアルに関する問い合わせは「ISMS事務局」まで行うこと。