JIS Q 27001 6.1.3 d)は誤訳ではないか

JIS Q 27001の6.1.3　d) は適用宣言書に関する要求事項です。

「必要な管理策及びそれらの管理策を含めた理由」を適用宣言書に記載する旨が要求されているのですが、各社は何を書いているのでしょうか？例えば「通信の暗号化」という管理策について、その管理策を含めた理由は「第三者に通信内容を傍受し、機密が漏えいする可能性があるから」とするのでしょうか。このようなことを書き連ねても、紙の無駄としか思えません。もしかしたら誤訳なのではないかと原文（英語）にあたってみることにしました。

英文から考えるとどうなるのか

まず英文を確認してみます。

“the necessary controls and justification for inclusions”の訳が「必要な管理策及びそれらの管理策を含めた理由」となっています。”justification”は「理由」としていますが、「正当だと弁明すること」と捉えた方が正しい解釈が可能となります。また”inclusion”の後には”controls form Annex A”が省略されていると考えるべきです。そうすることで全体がしっくりときます。また、whether～の部分は挿入句として考えたました。
当社側で下記のように日本語訳をおこない、ネイティブにも確認したのですが、こちらの方が正しい可能性が高いとの返答がありました。

適用宣言書はどのように記載すべきなのか

それでは、JIS規格にそのまま従った場合の適用宣言書の記載内容と英文から考えた場合の記載内容を比べてみましょう。

＜JIS規格にそのまま従った場合＞
文字列の複雑さが十分でないパスワードが設定された場合は、なりすましによる認証がおこなわれる危険があるため。

＜英文から考えた場合＞
ドメインコントロールサーバにパスワードポリシーを設定し、「英数記号を含む8文字以上の文字列」「有効期間90日」をユーザに強制している。

どちらが意味のある記載なのかは、明らかだと思います。
 

＜関連情報＞
プライバシーマーク（Pマーク）に関心がある方はこちらへ
ISMS（ISO27001）に関心がある方はこちらへ