TISAX参加企業のためのハンドブック

スコープの記述では審査スコープを定義します。スコープの記述では、次の二つのスコープタイプから一つを選択する必要があります。

次のセクションでは、標準スコープについて解説します。99%以上の参加企業にとって、標準スコープが適切な選択です。したがって、カスタムスコープについては、以下のセクションでのみ説明します：セクション 7.8. 附録：カスタムスコープ。

標準スコープの記述は、TISAX審査の基礎となります。他のTISAX参加企業は、標準スコープの記述に基づく審査結果のみを受け入れます。

標準スコープの記述はあらかじめ定義されており、変更はできません。

標準スコープの大きなメリットは、自分で定義を考える必要がないことです。

以下が標準スコープの記述（バージョン2.0）です。

標準スコープを選択することを強く推奨します。TISAX参加企業はすべて、標準スコープに基づく情報セキュリティ審査結果を受け入れます。

スコープタイプを定義したら、次に、どの拠点を審査スコープに含めるかを決定します。

貴社が小規模（1拠点）であれば、この作業は簡単です。審査スコープに、貴社の拠点を追加してください。

貴社の規模が大きい場合は、複数の審査スコープを登録することも可能です。

一つのスコープにすべての拠点を登録すると、次のようなメリットがあります。

一方、スコープが一つだけの場合、以下のようなデメリットもあります。

スコープを一つだけにするか、複数にするかは、貴社だけが決められる選択です。ただし、決めかねている場合は、以下のフロ⁠ーチャートの質問が役に立つかもしれません。

どの拠点を審査スコープに含めるかを決めたら、次に拠点固有の情報を収集します。

各拠点について、社名や住所などの情報が求められます。また、TISAX審査機関が貴社の企業構造を把握するために必要な追加の情報もお聞きします。貴社の回答は、審査機関が必要とする労力を見積もる上での基礎となります。

各拠点に関し、以下の詳細情報を提供できるように準備してください（赤いアスタリスク *が付いた情報は、オンラインプロセスで必須です）。

各拠点には“location name”（「拠点名」）を指定する必要があります。拠点名は、審査スコープへの拠点の割り当て時に、拠点を参照しやすくするための項目です。

拠点名は、以下の形式で割り当てることをお勧めします。

各スコープには“scope name”（「スコープ名」）を指定する必要があります。スコープ名の主な目的は、ENXポータルのス
コープ一覧でスコープを識別しやすくすることです。見る人や同僚にとって有用な名称を割り当てることをお勧めします。外部とのコミュニケーションには、スコープIDを使う必要があります。

任意の名前を指定できます。ただし、複数のスコープに同じスコープ名を割り当てることはできません。

後でTISAX審査を更新する際は、スコープを新規作成する必要があります（内容は現在のスコープと同一になる場合もあります）。そのため、スコープ名には審査の年も記載することをお勧めします。

スコープ名は、以下の形式で割り当てることをお勧めします。

貴社と連絡を取るために、貴社の連絡先に関する情報を収集します。

TISAX参加企業全体で1名以上、審査スコープごとに1名以上の連絡先の提供をお願いしています。連絡先を追加することも可能です。

登録準備の段階で、貴社内で誰を連絡先にするかを決めてください。

連絡先について、以下の詳細情報をお知らせください。

TISAXの主な目的は、貴社の審査結果を他のTISAX参加企業に公表し、貴社の審査結果を貴社のパートナー企業と共有することです。

審査結果の公開と共有については、登録プロセス中でも、登録後でも、いつでも決定できます。

事前準備としてTISAXの手続きを進めている場合においても、TISAX参加企業のコミュニティに対する審査結果の公表の有無を、あらかじめ決めておくことが可能です。他には、この時点で準備することはありません。

パートナー企業からTISAXプロセスの実施を要請された場合は、最終的には審査結果を共有する必要があります。登録中でも、パートナー企業とステータス情報を共有できます。貴社の審査結果が利用可能になると、貴社のパートナー企業にはアクセス権限が自動的に付与されます。^[6]

ステータス情報の共有には、以下の二つが必要です。

次の情報を確認しておくことをお勧めします。

審査結果の公開と共有については、次のセクションを参照してください：セクション 6. 共有（ステップ 3）。

現在、TISAXには12の審査目的があります。このうち、少なくとも一つの審査目的を選択する必要があります。審査目的は、複数選択できます。

審査目的は、情報セキュリティマネジメントシステムのベンチマークとして捉えることができます。審査目的は、TISAXプロセスにおける重要な項目です。すべてのTISAX審査機関は、主に審査目的に基づいて審査戦略を策定します。

現在、TISAXには、下表の審査目的が存在します。

例：公道でテストドライブを実施する場合、審査目的には審査目的「Test vehicles」が含まれます。

ISAには、三つの基準カタログ（情報セキュリティ、プロトタイプ保護、データ保護）が存在します。各基準カタログは、「コントロール質問」と呼ばれる質問と、関連の要求事項からなります。

各審査目的は、以下を定義します。

一部の審査目的については、コントロール質問と要求事項のサブセットのみが適用されます。

TISAXの審査目的と、適用されるコントロール質問および要求事項に関する詳細は、以下のセクションをご参照ください：セクション 5.2.2. ISAドキュメントについて理解する。

貴社のパートナーから、「TISAXラベル」についての話があったかもしれません。「審査目的」と「TISAXラベル」はほぼ同じものです。違いは、貴社が「審査目的」をもって審査プロセスを開始し、審査に合格すれば、それに対応する「TISAXラベル」を受け取るという点です。

例：貴社は、パートナーからTISAXラベル「Info high」の取得を要請されました。そこで貴社は「Info high」を審査目的として選択しました。

次のイラストは、TISAXプロセスの入力と出力を示しています：

TISAXラベルに関する詳細は、以下のセクションを参照してください：セクション 5.4.14. TISAXラベル。

理想的なのは、貴社が達成しなければならない審査目的を、パートナーが正確に教えてくれることです。

以下の場合は、貴社の判断に基づいて審査目的を選択する必要があります。

貴社の判断に基づいて審査目的を選択しなければならない場合、以下の点について考慮することも検討してください。

さらに詳しく説明します。

貴社のパートナーは、さまざまな種類の情報を保有しています。その中には、特に保護レベルを高く設定すべき情報も存在する場合があります。ISAは、三つの「保護ニーズ」（ “protection needs”）を区別することで、これに対応しています。パートナ⁠ーは自社の情報を分類して、通常は保護ニーズを割り当てます。

情報の保護ニーズが高くなるほど、パートナーは貴社にその情報を扱わせても安全か確証を得たいと考えます。そこで、TISAXは三つの「審査レベル」（AL）を設けています。審査レベルに応じて、審査機関がどの審査方法を適用する必要があるかが決まります。レベルが高いほど、審査に伴う労力は増加します。その結果、より慎重で正確な審査が行われます。

下の表は、TISAXの審査目的に適用される審査レベルを示しています。

審査レベル 1（AL 1）：

審査レベル 1の審査は、本当の意味での自己評価（ self-assessment）であり、主に社内目的で使われます。

審査レベル 1の審査では、監査人は、実施済みの自己評価が存在するかを確認します。監査人が、この自己評価の内容を審査することはありません。それ以上の証跡が必要となることもありません。

審査レベル 1の審査結果は信頼度が低いため、TISAXでは用いられません。ただし、貴社のパートナーがTISAXとは関係なく、こういった自己評価を要求する可能性はもちろんあります。

審査レベル 2（AL 2）：

審査レベル 2の審査では、審査機関が、貴社の自己評価（審査スコープ内の全拠点）の妥当性を確認します。審査機関は、証跡を確認し、^[8]情報セキュリティ担当者と面談を行うことで、裏付けを行います。

審査機関との面談は、通常、ウェブ会議を通じて行われます。また要望があれば、対面での面談も可能です。

審査機関に送りたくない証跡がある場合は、オンサイト調査を依頼することもできます。こうすることで、審査機関が持ち出し厳禁の証跡も確認できます。

審査レベル 3（AL 3）：

審査レベル 3の審査では、審査機関は、貴社が対象の要求事項に準拠しているか、包括的に検証します。監査員は、貴社の自己評価と、提出された文書を使用して、審査の準備を行います。審査レベル 2との相違点として、監査人はすべてを検証します。実施内容は以下の通りです。

審査レベルと審査方法

各審査レベルにおける審査方法の概要を簡略化したものを、下表に示します。

追加情報

TISAXは、必ずしも貴社のすべてのサプライヤーに同じ要求事項を課すことを求めているわけではありません。貴社の審査目的が「保護ニーズが非常に高い情報の安全確保」であったとしても、貴社のすべてのサプライヤーが、同じ審査目的を達成しなければならないということにはなりません。さらに言えば、サプライヤーが、TISAXラベルを取得する必要があるということですらありません。

しかし、サプライヤーのサービスを利用することで、リスクが増加したり、新たなリスクが発生したりしないかどうかは、すべてのサプライヤーについて確認する必要があります。

以下に、非常に単純化した例を二つ挙げます。

しかし、リスクアセスメントの結果、サプライヤーも非常に高い保護ニーズを満たす必要があるという結論に達することがあります。この場合、TISAXラベルは、サプライヤーによるこの要求事項の達成を証明する手段になり得ます。

参加企業IDは、

スコープIDは、

ISAには、現在以下の三つの「基準カタログ」があります。^[13]

各基準カタログには、それぞれ以下のようにExcelシートが割り当てられています。

貴社にとってどの基準カタログが適切かは、貴社の審査目的によって異なります。

どの基準カタログのどの要求事項が適用されるかは、審査目的ごとに定義されます。一つの基準カタログの要求事項のみが適用される審査目的もあれば、複数の基準カタログからの要求事項が適用される審査目的も存在します。

前述の審査目的は、各基準カタログに以下のように対応します。

例えば、貴社が「データ保護」の審査目的を選択した場合、「情報セキュリティ」および「データ保護」の基準カタログの質問に答える必要があります。

上記のように、各基準カタログには、複数の審査目的が割り当てられています。それでは、要求事項と審査目的の対応関係はどうでしょうか？

次の表に、審査目的にどの要求事項が該当するか示します。

下のスクリーンショットは、「情報セキュリティ」基準カタログのコントロール質問の主な要素を示しています（他の基準カタログには、これらの要素のサブセットのみ存在します）。すべての要素について、さらに下で解説します。

各基準のカタログは、質問を章立てて分類しています。

例：「2 人事部」

グループ分けは、企業における一般的な責任に基づいて行われます。各部門は、「Usual person responsible for process implementation」（プロセス実施に関する通常の責任者）（上記の例では「人事部」）の列で指定されます。

各基準カタログの質問は、Excelの各シートに記載されています。

例：「4.1.2 ネットワークサービス、ITシステム、ITアプリケーションへのユーザーアクセスはどの程度安全か？」

コントロール質問は「コントロール」とも呼ばれます。これは監査人が用いる言葉です。ISAが基盤とするISO規格では、「コントロール」という用語を使用しています。

“Maturity level”（「成熟度レベル」）と“Control question”（「コントロール質問」）列の間には、自己評価を実施する際に記入する必要のあるフォームフィールドがあります。

実施内容の簡単な記述とドキュメントの参照のみ必須です。この情報は、TISAXの審査機関が貴社をよりよく理解し、審査を準備する際に役立ちます。

以下は、自己評価をサポートするためのオプションの列です。

「コントロール質問」列の右側に「目的」列（J列）があります。ここには、情報セキュリティマネジメントの該当する側面から達成すべきことが記載されます。

例（コントロール質問4.1.2の場合）：「安全に識別された（認証された）ユーザーだけにITシステムへのアクセス権限を付与します。この目的のため、適切な手順により、利用者のIDを安全に決定します。」

要求事項は、目的を達成する上で満たすことが求められる事項です。

要求事項は以下の4列に分かれています。

達成すべき保護ニーズ（審査目的から導出）までのすべての要求事項を満たす必要があります。

審査目的によっては、要求事項のサブセットのみが適用されます。要求事項の適用スコープについては、セクション 5.2.2.1. 基準カタログの表 8. 審査目的ごとに該当する要求事項と、特にセクション末尾の注意事項をご参照ください。

要求水準「必須」と「推奨」のISA定義については、Excelシート“Definitions”（「定義」）の「重要な用語」を参照してください。

情報セキュリティマネジメントシステムのあらゆる側面における品質を審査するため、ISAは“maturity levels”（「成熟度レベル」）の概念を採用しています。情報セキュリティマネジメントシステムが高度であればあるほど、成熟度レベルは高くなります。

ISAでは六つの成熟度レベルが設けられています。詳細な定義は、Excelシート“Maturity levels”（「成熟度レベル」）に記載されています。成熟度レベルに関する統一的な理解を促すため、以下にISAで提供されている非公式な記述を引用します。

設問ごとに、貴社の情報セキュリティマネジメントシステムの成熟度レベルを評価してください。“Maturity level”（「成熟度レベル」）（E列）に成熟度レベルを記入してください。

目標とする成熟度レベルと、それが審査結果に与える影響については、以下のセクションを参照してください：セクション 5.2.4. 自己評価結果の解釈。

以上で理解を深めた上で、自己評価を開始しましょう。

自己評価結果の要約として、結果スコアを確認できます。

結果スコア（「目標成熟度レベルまでのカットバックを含む結果」）は、Excelシート「結果（ISA5）」（D6セル）にあります。「カットバック」については、すぐに説明します。

自己評価の結果と結果スコアについて理解し、解釈する上で、以下の二つの分析レベルを区別する必要があります。

下図は、分析レベルを表しています。

下図は、 スコアレベルの結果と 質問レベルの結果の場所を示しています。

次の図は、分析レベル、 ISA目標定義、および 貴社の結果を簡略化したものです。

以下のセクションでは、結果と分析について詳しく説明します。

ISAは、各質問の「目標成熟度レベル」を3に定義しています。

各成熟度レベルの定義については、以下を参照してください：セクション 5.2.2. ISAドキュメントについて理解する。

ISAは、Excelシート「結果（ISA5）」の中で目標成熟度レベルを定義しています（G列22行目以降、下図参照）。

TISAXラベルを取得するには、通常、各質問の成熟度レベルを目標成熟度レベル以上にする必要があります。

例えば、質問Xの目標成熟度レベルが「3」である場合、その質問に対する貴社の成熟度レベルは「3」以上でなければなりません。その質問の成熟度レベルが「3」未満である場合、TISAXラベルは取得できません。

これは、質問ごとに独立して達成する必要があります。二つの質問の目標成熟度レベルが「3」である場合、一つの質問の成熟度レベルが「2」であれば、もう一つの質問の成熟度レベルが「4」であっても、TISAXラベルは取得できません（過剰分で不足分を相殺することはできません）。

ISAドキュメントは、貴社の成熟度レベルをExcelシート「情報セキュリティ」（E列）からExcelシート「結果（ISA5）」に自動的に転送します（H列23行目以降）。

貴社の成熟度は、ISAドキュメントで貴社の結果スコアが集約される前に、計算対象となります。基本的に、貴社の成熟度レベルは、目標成熟度レベルに「カットバック（減少）」されます。カットバックが行われるのは、成熟度レベルが目標成熟度レベルを上回っている質問と下回っている別の質問が同時に存在する時、二つの成熟度レベル間で相殺が発生しないようにするためです。

以下に、ISAがどのように質問レベルの結果を計算するかを説明します。

例えば、下図のように 目標成熟度レベルが「3」、 貴社の成熟度レベルが「4」だとします。この質問に対する貴社の「カットバックされた結果」は「3」となります。

下図は、貴社の成熟度レベルが目標の成熟度レベルより高ければ、ISAがそれをカットバックする様子を表しています（緑、オレンジ、赤の色は、「結果」列で使用されている色と一致します。以下を参照してください：図 19. Excelシート「結果（ISA5）」の貴社の成熟度レベル）。

以下は、それぞれの質問レベルにおける成熟度レベルの別の表示方法です。丸の色は、目標成熟度、またはそこまでの「乖離」を示しています（例えば成熟度レベルが目標成熟度レベルより「-1」の場合、丸はオレンジ色になります）。チェックマークは、貴社の成熟度を示しています。

ISAでは、「理想的な」総合成熟度レベルを「最高結果スコア」（または「最高スコア」、G6セル）と定義しています。

理論的に、この総合成熟度レベルは、（質問レベルの）すべての目標成熟度レベルの平均になります。すなわち、最高スコアは「3.0」です。

ただし、「3.0」となるのは、すべての質問が貴社の状況に適用される場合のみです。貴社の状況に適用されない質問があると、平均は変化し、最高結果スコアは「3.0」より低くなります。

さらに上に示した表示方法（図 22. 質問レベルにおける成熟度レベル）に基づき、最高結果スコアの平均に何が含まれるか、以下で確認できます。

貴社の総合結果スコア（D6セル「目標成熟度レベルまでのカットバックを含む結果」）は、

上に示した表示方法（図 22. 質問レベルにおける成熟度レベル）を再度用いることで、最高結果スコアの平均に何が含まれるか、以下のように確認できます。

結果スコアにより、貴社について以下の事柄が分かります。

結果スコア（「目標成熟度レベルへのカットバックを行った値」）が「3.0」を下回っている場合、少なくとも一つの質問について成熟度レベルが目標成熟度レベルに一致していません。この場合、TISAX審査の準備を整える前に、情報セキュリティマネジメントシステムを改善する必要があると考えられます。

上記の分析の目的は、貴社がTISAX審査を受ける準備ができているか把握することです。

結果スコア（「目標成熟度レベルまでカットバックした値」）が「3.0」（またはそれに近い値）の場合、貴社は間違いなくTISAX審査の準備ができています。この時、「結果」列（H）の値はすべて緑色になります（オレンジ色や赤色はありません）。

緑色でない場合は、自己評価結果に対処する必要があります（セクション 5.2.5. 自己評価結果への対処を参照）。

下図は、Excelシート「結果（ISA5）」に関するISAのレーダーチャートです。 緑色の線は、章ごとの目標成熟度レベルを示しています。貴社の成熟度レベルがこの 線上またはこれより上にあれば、TISAX審査を受ける準備ができています。この線より 低い場合は、TISAXラベルを取得するには不十分な可能性があります。

ISAレーダーチャートを質問レベルに「変換」すると、質問レベルでも同様に 緑・赤で表示されます。

他のTISAX審査と同様に、初回審査は正式なオープニングミーティングから始まります。正式なオープニングミーティングは、通常、電話会議またはウェブ会議で行われます。小規模の企業や、他の監査の経験がある企業であれば、それほど時間はかかりません。

このミーティングの目的は以下の通りです。

準備された計画に従って、審査機関が初回審査を実施します。詳細は、審査の目的によって異なります。審査は主に、電話会議、オンサイトの面談、オンサイト調査で構成され、どれほど詳細に行われるかはさまざまです。^[23]

審査機関は、初回審査で得られた指摘事項をすべて提示します。

クロージングミーティングでは、審査機関がすべての指摘事項を再度まとめます。

「クロージングミーティング」の後、審査機関は「TISAX審査報告書」のドラフト版を作成し、貴社に送付します。審査機関が何かを誤解していると思われる場合は、異議を申し立てることができます。^[24]その後、審査機関が「TISAX審査報告書」を発行します。

この段階における、現状の総合的な審査結果は以下のいずれかとなります。

初回審査で総合審査結果が「適合」であった場合、残りの審査セクションはスキップして、結果の共有に進むことができます。

総合審査結果が「重大な不適合」であった場合、次の課題は、指摘事項にどのように対処し、審査機関が指摘したギャップをどのように埋めるかについて計画を策定することです。この計画は、正式には「是正計画」（ “corrective action plan”）と呼ばれます。

「是正計画審査」は、次の理由により行われます。

「是正計画審査」は、個別に実施するよう義務付けられているわけではありません。初回審査のクロージングミーティングにおいても、「是正計画」を提示することは可能です。この時提出することで、審査機関はそのまま「是正計画審査」を実施できます。

もし「是正計画審査」を初回審査と組み合わせて実施し、「是正計画」が要求事項を満たしていれば、「初回審査報告書」は不要であると審査機関と合意することも可能です。その場合、審査機関は「是正計画審査報告書」を作成します。この報告書をもって、TISAX仮ラベルをそのまま取得できます。

審査機関は、「是正計画」を以下の要求事項に照らして審査します。

総合審査結果が「軽微な不適合」の場合、TISAX仮ラベルが発行されます。

TISAX仮ラベルを取得する利点は、後から仮ではないTISAXラベルを取得するという条件の下で、受け入れるパートナーが多いことです。情報セキュリティマネジメントシステムの有効性をパートナーに証明することが急務である場合に効果的といえます。

TISAX仮ラベルの前提条件は、総合審査結果で「軽微な不適合」と判定された、是正計画審査報告書です。

TISAX仮ラベルは仮ではないTISAXラベルと基本的に同等です。 唯一の違いは、TISAX仮ラベルの有効期間が短いことです。

TISAX仮ラベルの有効期間は、初回審査のクロージングミーティング後から最長9か月間です。TISAX仮ラベルの有効期間は、是正措置の最長実施期間によって決定します。

例：

実施期間の要求事項については、次を参照してください：セクション 5.4.9.3. 是正計画の要求事項

すべての是正措置が完了したら、「フォローアップ審査」を依頼する必要があります。

フォローアップ審査は、初回審査の終了から9か月以内に実施できます。^[26]

TISAX仮ラベルが不要な場合は、直接フォローアップ審査を依頼できます。フォローアップ審査の前に「是正計画審査」を行う必要はありません。

TISAX仮ラベルが必要な場合は、仮ではないTISAXラベル取得までの期間が空かないようにしたいケースが多いかと思います。そのため、可能な限り早く、フォローアップ審査を依頼することをお勧めします。^[27] その理由は、フォローアップ審査中に特定された軽微な指摘事項に対処できるように、時間に十分な余裕を持たせたいからです。

審査目的とTISAXラベルは、非常にシンプルな対応関係となっています。しかし、もう一つの重要な側面が、一部のTISAXラベルは階層的にリンクしていることです。すなわち、あるTISAXラベルを取得すると、自動的にその「下の」TISAXラベルも取得することになります。

例えば、貴社の審査目的が「Very high availability」であった場合、貴社は対応するTISAXラベル「Very high availability」を取得します。この時、審査目的「Very high availability」は「High availability」の上位集合なため、貴社は自動的にTISAXラベル「High availability」も取得します。

現在、TISAXラベルには次のような階層が存在します。

対象の要求事項について、以下の表の指定を比較することで、階層関係を導き出すことができます：表 8. 審査目的ごとに該当する要求事項。

これは、全参加企業にとっての重要事項ではないように思われるかもしれませんが、例えばあるパートナー企業が貴社にTISAXラベル「Very high availability」の提示を要求し、別のパートナー企業がTISAXラベル「High availability」の提示を要求したとします。その場合、両方のTISAXラベルを実際に保有していれば、「High availability」が「Very high availability」のサブセットであることを説明や理解する必要もなくなり、全員の手間が省けます。例えば、かなり厳格な購買プロセスを定めており、特定のTISAXラベルの取得を求めているパートナー企業を相手に、「Very high availability」は「High availability」よりも「良い」、などと説明したくはないかと思います。貴社はTISAXラベルをすべて提示して、担当者は「『High availability』のTISAXラベルが必要」という要求事項にチェックを入れる、というプロセスだけで済むに越したことはありません。

TISAXラベルは通常3年間有効です。有効期間は、審査プロセスの終了時（TISAX審査報告書の発行前であっても）に開始します。

TISAX審査スコープに重要な変更があると、有効期間が短くなる場合があります。

例えば、会社の移転、新しい拠点の追加などです。（このような場合の対処法については、セクション 7.9.3.2. 拠点変更の申請方法およびセクション 7.9.3.4. 拠点の追加方法をご参照ください）

TISAXラベルを長期間維持するには、3年ごとに更新^[30]が必要です。

そのためには、基本的にTISAXプロセスを再度実施する（審査スコープを登録し、再度TISAX審査を受け、審査結果を共有する）必要があります。TISAX参加企業として再作成する必要がないため、登録は初回よりも簡単です。もちろん、TISAXデータ
ベースに保存されているすべての連絡先や拠点データを再利用できます。