ISMS-A02-D03適用範囲関連資料の「ネットワーク図」に関して質問です。

更新日：2026/02/25 （公開日：2021/07/02）

※本記事は、ISM Web store が作成・検証したものです。

1,弊社全事業所がこのネットワーク図の範囲は社内のみですか。
弊社ではSaas商品を運営しているが、このSaas商品はレンタルサーバー（AWS）を利用しています。AWSみたいな社外のネットワークをネットワーク図に反映する必要がありますか。

2,緊急事態宣言対象期間のみ、VPN使用で在宅勤務を導入しています。
在宅勤務で各社員宅のネットワークをネットワーク図に反映する必要がありますか。

ご質問の件、基本、以下のURLと同じ考え方になるかと思います。

フロア図と同じ考え方で、ネットワークでつながっているということは、例えばフロアとフロアの間にドアがあるということなので、そこを自由に行き来ができるのかどうかや、もともとつながっていない別のネットワークグループなのかを把握することで、それぞれに応じた対策を講ずる、という考えです。

ネットワーク図は、情報の経路を把握するものであるため、繋がっている場所が特定できるのであれば、記載の必要があり、それに応じた対策を講じる必要があると思います。

「1,弊社全事業所がこのネットワーク図の範囲は社内のみですか。」について

社内ネットワークの出入口から何処・何に繋がっているかは明示する必要があるかと思います。
単に「社外にあるから」と省略せず、図に含めるべき主な理由は以下の3点です。

責任分解点の明確化（どこまでがAWS側の管理範囲かを区別）
通信経路の可視化
セキュリティとコンプライアンス（データがどこに保存され、どう保護されているかを示す）

もし、自社のオフィスからAWSへ「専用線」や「VPN」を繋いで運用・保守している場合は、その接続経路も書いていくことで、運用者のアクセス権限がどう管理されているかが明確になります。

「2,緊急事態宣言対象期間のみ、VPN使用で在宅勤務を導入しています。」について

審査員にもよりますが、在宅勤務（各社員宅）のネットワークまではネットワーク図に反映する必要は無いかと思います。

ネットワーク図は、信頼できない外部ネットワークからどうやって安全に繋いでいるかを示すのがポイントとなります。
緊急事態でない場合は、社員の自宅は、むしろ「信頼できない外部ネットワーク」としての扱いになります。

なお、以下のような観点で、緊急事態でのリモートアクセス環境に関する描写を入れておいても良いかもしれません。

セキュリティの証明（インターネット経由だが、VPNで暗号化されているという事実の可視化）
トラブルシューティング（接続障害が起きた際、VPNゲートウェイがボトルネックなのか、インターネット回線なのかを切り分ける判断材料にする）

描画する場合は、社員宅を１つずつ書くのではなく、「リモートワーク」や「テレワーク」などといったもので表現すると良いでしょう。

※参考まで

「従来の境界防御型セキュリティだけではもはや限界？」

ネットワークにおけるセキュリティ対策を考える際、従来の「境界防御型のアプローチ」では、ファイアウォールなどでネットワークに境界を作り、境界の外部を危険な状態、内部を安全な状態と見なすことで、セキュリティを確保する手法がメインとなっていました。

これは、社内ネットワークの入り口で脅威が入り込むことを一元的にチェックできるため、管理性が高いという特徴もありました。

しかし、業務システムのクラウドシフトやテレワークの普及によって、従来の「境界防御モデル」では万全なセキュリティ維持が困難になってきており、先述のファイアウォールで分けていた「社内」「社外」という境界も曖昧となり、境界にフォーカスしたセキュリティ対策では対応できなくなっています。

そこで、注目され始めたのが「ゼロトラストモデル」という、「信頼せず攻撃されることを前提とする」という考え方に基づいた、セキュリティアプローチです。

例えば、社外からモバイルデバイスを使って社内システムやアプリケーションにアクセスする場合、従来では、「VPNに接続するためのID／パスワード認証」だけで社内システムやアプリケーションの利用が可能でしたが、ゼロトラストモデルでは、「アクセスしてきたデバイスが社内承認済みか」「デバイスには最新のセキュリティ対策ソフトウェアがインストールされているか」「ID／パスワードは正規のユーザーが利用しているか」「利用しているクラウドサービスに脆弱性がないか」などといった点も確認することで、一定以上のセキュリティレベルを保持したデバイス以外は信頼せず、アクセス制御が行います。

いわば、「利用者（ユーザー・ID・パスワード）もデバイスもネットワークもアプリケーションも信頼しない」という考えに基づくセキュリティコンセプトといえます。