ISMSのA.5.3「職務の分離」とは

ISMS A.5.3「職務の分離」とは

ISMS（JIS Q 27001:2023／ISO/IEC 27001:2022）の附属書A.5.3「職務の分離（Segregation of Duties）」は、
誤りや不正の発生を防止するために、相互に牽制できるように職務を分離することを求めています。

この管理策は、組織内部の「人的リスク」を低減するための非常に重要な仕組みです。
たとえ技術的なセキュリティ対策が整っていても、権限や業務が一人に集中していると、不正行為や誤操作によって重大なインシデントが起こる可能性があります。
そのため、業務プロセスの中でチェックとバランスが機能する体制を整えることが求められます。

1. A.5.3の要求事項（要約）

附属書A.5.3では、次のように定められています（意訳）：

誤りまたは不正行為を防止するため、業務・権限・責任を適切に分離しなければならない。
ただし、分離が実現できない場合は、代替的な管理策を講じること。

つまり、単に「担当を分ける」だけではなく、不正防止の観点から適切に牽制関係を構築することがポイントです。

2. 職務分離の目的

職務分離の目的は、大きく3つにまとめられます。

1. 不正の抑止
   　→ 一人に全ての権限を持たせないことで、意図的な不正行為を困難にする。
2. 誤操作・ミスの防止
   　→ ダブルチェック体制により、入力・承認・実行の誤りを防止。
3. 透明性・説明責任の確保
   　→ 誰がどの工程を担当したかが明確になり、監査対応や証跡管理が容易になる。

3. 職務分離の具体例

組織の規模や業務内容によって具体的な分離の方法は異なりますが、以下のようなケースが代表的です。

このように、**「入力 → 承認 → 実行 → 検証」**の各段階で担当者を分けることが理想的です。

4. 職務分離が難しい場合の代替策

中小規模の組織では、人数やリソースの制約により完全な職務分離が難しいこともあります。
その場合には、代替的な管理策（Compensating Controls）を導入します。

代替策の例：

• 上長や別部門による定期的なレビュー・監査
• 操作履歴やログの自動記録・監視
• アクセス権限の定期点検と承認フロー
• 変更管理票・申請書による事前承認プロセス
• 重要処理の二重承認ワークフローの導入

このように、牽制機能を技術的または手続的に補うことが求められます。

5. 職務分離をISMS文書に落とし込む方法

A.5.3の要求を満たすためには、次のような文書化が有効です。

1. 職務分掌規程
   　→ 各職務の責任・権限・分離の方針を明示。
   　　例：「アクセス権の付与と承認は別の担当者が行う。」
2. 情報セキュリティ体制図・役割分担表
   　→ 組織構造や牽制関係を図示し、責任の重複を防止。
3. 手順書・チェックリスト
   　→ 承認・レビュー・記録のプロセスを具体的に示す。
4. 内部監査の観点への組み込み
   　→ 監査で実際に分離が守られているかを定期的に確認。

6. 他の管理策との関係

職務分離（A.5.3）は、以下の管理策と密接に関連します。

これらを組み合わせることで、組織としてのセキュリティ統制力を高めることができます。

7. まとめ

A.5.3「職務の分離」は、
「人の力で守るセキュリティ」を強化する管理策です。

• 不正やミスを防ぐために、業務・権限を分離する
• 難しい場合は、代替的なチェック・監視で補う
• 文書化と教育で全員に周知し、内部監査で運用を確認する

これらを徹底することで、組織内部の牽制機能が働く堅牢なISMS体制を実現できます。