ISMS認証とは？取得方法やメリット、よくある疑問をわかりやすく解説
FAQISMS認証のメリット・デメリットに関するよくある質問
そもそもISMSって何ですか？
ISMSとは、企業の情報資産を保護するための仕組みです。
ISMS認証のメリットを教えて？
ISMS認証を取得することで、取引先からの要求に応え、顧客からの信頼性の向上などのメリットを得られます。
ISMS認証のデメリットってあるの？
認証の取得にあたって初期コストや維持費がかかる点、書作成やルール整備の負担がかかる点がデメリットとして挙げられます。
昨今、情報漏えいやサイバー攻撃などの情報セキュリティに関するさまざまな事故や事件が増えてきました。そのため、ISMS認証の取得を検討されている企業も多いでしょう。
しかし、一部では情報セキュリティレベルを向上できれば、「わざわざISMS認証を取得する必要はないのでは？」という意見もあります。
そこで、この記事ではISMS認証の基礎知識から取得のメリット・デメリット、具体的な取得方法や費用相場、よくある疑問までをわかりやすく解説します。
目次
情報セキュリティを向上させる「ISMS認証」とは？
ISMS認証制度とは「組織のISMS（情報セキュリティマネジメントシステム）が国際規格に基づいて適切に構築・運用されていることを、第三者機関（認証機関）が審査し、客観的に証明する制度」のことです。
ISMSとは「組織の情報資産を、情報セキュリティリスクから保護する仕組み」そのものを指す言葉です。これに対してISMS認証は、その仕組みが規格どおりに構築・運用されているかを第三者が確認し、認証書という形でお墨付きを与える制度と言えます。
以下にISMSとISMS認証の違いをまとめました。まずは両者の意味を整理しましょう。
| ISMS | ISMS認証 | |
|---|---|---|
| 意味 | 情報セキュリティを管理するための仕組み | ISMSが規格に適合していることを第三者が証明する制度 |
| 対外的な証明 | なし（自己宣言） | あり（認証書が発行される） |
| 規格との関係 | 規格に基づかなくても、自社基準で構築可能 | ISO/IEC 27001への適合が前提 |
ISMS認証は情報セキュリティ体制を強化し、国際規格への適合によって企業価値を高めるための重要な仕組みといえます。
ISO27001との関係性
ISO27001とISMS認証の関係は、「ISO/IEC 27001がISMS認証の審査基準となる規格である」と整理できます。
ISO27001は、国際標準化機構（ISO）が制定したISMS認証の代表的な国際規格の一つで、ISMSを確立・運用・維持し、継続的に改善するために、組織が満たすべき要求事項を定めた国際規格です。
日本では、「一般社団法人情報マネジメントシステム認定センター（ISMS-AC）」という認定機関から認定を受けた認証機関（審査機関）の審査を受けることで、ISMS認証を取得できます。
つまり、ISO27001は「組織の情報セキュリティ管理が国際的に認められた水準にあることを証明するための規格」であり、国内外の取引先や顧客に対して自社のISMSの信頼性を示す重要な指標であるといえます。
ISO27001の詳細は以下の記事をご覧ください。
取得が向いている企業の特徴
ISMS認証は「情報管理体制の信頼性」を対外的に求められる以下のような企業に向いています。
- 官公庁や大企業との取引が多い企業
- 顧客情報・機密情報を多く扱う事業者
- SaaS・クラウドサービスを提供・利用する企業など
これらの企業では、取引先から情報セキュリティ体制の証明を求められる場面が多く、ISMS認証の有無が契約や入札の可否を左右するケースも珍しくありません。
ISMS認証とPマークの違い
Pマーク（プライバシーマーク）とは、個人情報保護マネジメントシステムにおける日本国内の認証制度です。
一般財団法人日本情報経済社会推進協会（JIPDEC）が運営しており、個人情報保護のための管理体制を構築・運用している組織に、Pマークを付与しています。
ここでは、ISMS認証とPマークの違いについて解説します。
Pマークとの違い
ISMS認証とPマークは、どちらも情報管理に関する認証制度ですが、対象範囲や目的が大きく異なります。
まずISMS認証は、ISO/IEC 27001に基づき、設定した適用範囲内の個人情報、技術情報、営業情報、機密情報など、幅広い情報資産を対象に情報セキュリティを管理する点が特徴です。
一方、Pマークは、一般財団法人日本情報経済社会推進協会（JIPDEC）が運営する日本国内の制度であり、主に国内の取引先や消費者へのアピールに用いられています。
【比較表】どちらを選ぶべきか？
ISMS認証の代表規格であるISO27001とPマークの違いについて、以下にまとめました。
| ISMS認証（ISO27001） | Pマーク | |
|---|---|---|
| 保護対象 | 適用範囲内の情報資産全般 | 個人情報に特化 |
| 規格 | 国際規格（ISO27001） | 日本産業規格（JIS Q 15001） |
| 基準・制度 | ISO27001を基準として認証機関が審査・認証 | JIPDECが運営するプライバシーマーク制度 |
| 認証範囲 | 組織全体だけでなく、事業所・部門単位など任意で設定可 | 企業全体 |
| 国際性 | 国際規格なので海外にもアピールできる | 日本独自の規格なので国内のみ |
どちらを選ぶべきか迷ったら、まずは「情報の保護範囲」「取引先や顧客からの要望」「事業の海外進出の有無」などの観点で判断する方法がおすすめです。
具体的には、組織全体の情報セキュリティを国際的な認証基準で証明したい場合はISMS認証、個人情報の取り扱いを国内で示したい場合はPマークが適しています。
ISMS認証で重視される「情報セキュリティの三要素」
情報セキュリティリスクを低減するISMSを構築・運用するためには、情報セキュリティの三要素（CIA）をバランスよく高めることが必要です。
情報セキュリティの三要素は、それぞれ以下の観点から情報資産を守る考え方です。
| 要素 | 意味 | 重視される情報資産の例 |
|---|---|---|
| 機密性（Confidentiality） | 権限のある人だけが情報にアクセスできる状態 | 個人情報、機密情報、企業秘密 |
| 完全性（Integrity） | 情報が最新・正確で、改ざん・削除されず保たれている状態 | 顧客情報、金融情報、コンプライアンス関連情報 |
| 可用性（Availability） | 権限のある人が、必要なときにいつでも情報を利用できる状態 | 社内文書、製品・サービス情報データベース |
ここでは情報セキュリティの三要素と呼ばれている「機密性」「完全性」「可用性」について解説します。
機密性（Confidentiality）
機密性（Confidentiality）とは、「アクセス権限をもつ者だけが情報にアクセスできる状態」のことです。
一般的に情報セキュリティといえば思い浮かぶのは機密性で、「見せないようにする」という意味の要素です。
機密性を高める主な対策は、以下のとおりです。
- 情報の流出防止（アクセス権限の設定、暗号化など）
- 不正アクセスの防止（認証強化、ログ監視など）
機密性が重視される情報資産には、顧客や従業員などの個人情報や機密情報、企業秘密などが挙げられます。
完全性（Integrity）
完全性（Integrity）とは、「情報が最新かつ正確性を保ち、保護されている状態」のことです。
古いデータや間違ったデータがなく、利用できる状態に保たれていることを指す要素です。また、情報が改ざんや削除されないように維持することも大切です。
完全性を高める主な対策は、以下のとおりです。
- 変更履歴の追跡・監査ができるシステムの導入
- データの定期的なバックアップ
完全性が重視される情報資産には、顧客情報や金融情報、製品・サービスに関する情報、法規制やコンプライアンスに関する情報などが挙げられます。
可用性（Availability）
可用性（Availability）とは、「認可された利用者が、必要なときに情報や関連する資産へアクセスし、利用できる状態」のことです。情報の保管場所が不明確であったり、必要なときに取り出せなかったりする状態は、可用性が損なわれている状態にあたります。可用性を高める主な対策は、以下のとおりです。
- クラウドシステムやワークフローシステムの導入
- データの定期的なメンテナンス
可用性が重視される情報資産には、ワークフローに関する社内文書や製品・サービス情報データベースなどが挙げられます。
ISMS認証の取得方法と流れ
ここでは、ISMS認証の準備～取得審査までの流れを解説します。
1.ISMS認証取得・適用範囲の決定
はじめに決めることは、ISMS（ISO27001）の認証を取得する適用範囲です。
ISMSでは、全社での取得以外にも、特定の部署や支店、プロジェクト単位などでも限定的に取得できます。例えば、顧客からの要望や入札条件などによりISMS認証が必要な場合、対象の拠点や部署、またはプロジェクトだけで認証する場合もあります。
全社で導入する負担が大きい場合は、まずは必要な範囲のみで取得しましょう。
また、ISMS認証取得に向けて自社の方針や目標を明らかにする「情報セキュリティ方針」と「情報セキュリティ目的」も決定します。企業によっては情報セキュリティポリシーとしてホームページ上に掲載している場合もあります。
認証を取得する組織の範囲を決定したら、プロジェクトメンバーを選定します。
ISMS認証取得時のプロジェクトメンバーは、下記のように構成されるのが一般的です。
- セキュリティ体制の構築業務担当者
- セキュリティ体制の構築に関する承認者（経営層などから選定）
- セキュリティ体制の運用実務担当者（教育責任者、システム管理者、内部監査員など）
- セキュリティ体制の運用を管理する事務局
ISMS認証では、技術情報を含むすべての情報資産が対象となるため、プロジェクトメンバーは情報システム部門から選出することをおすすめします。
2.現状の情報資産の洗い出し・対策方法の確認
現状、社内にある情報資産をすべて洗い出して、情報資産管理台帳に書き出します。ISMS認証取得のためには、情報資産に潜むリスクや、リスクに対する管理・情報セキュリティ対策方法について確認を行う必要があります。
紙の資料・書類に記載されている情報から、パソコンなどで作成してサーバーや記録媒体に保存しているデータまで、記録の形式は問わず、すべての情報が含まれます。
3.リスクアセスメント（リスクの予測、見積もり、評価の過程）
リスクアセスメントとは、「情報資産に対して、職場内において想定される危険をピックアップして、情報セキュリティレベルの評価、除去・低減を行うこと」です。
リスクアセスメントの手順を、以下にまとめました。
- 情報資産それぞれに起こり得るリスクを、情報資産管理台帳に取りまとめる。
- それぞれのリスクに見積もり・点数をつけて評価し、優先度を設ける。
- 優先度に沿ってリスク低減を実施する
リスクアセスメントは一度きりではなく、講じた対策の定期的な追跡を行い、新たに生まれたリスクについても検討する必要があります。
4.ISMS文書の作成
ここまでの工程で策定したものを規格要求事項の内容を踏まえて、社内で情報セキュリティマネジメントシステムを運用するための規定や、手順などの各種マニュアル文書を作成します。
また、適切な情報セキュリティ管理・運用を行うために、記録類の様式なども同時に作成します。リスクアセスメントの結果などを踏まえ、附属書Aの管理策について、自社に適用するものと適用しないものを整理します。
適用する管理策、適用状況、不適用とした管理策の理由などをまとめる文書が「適用宣言書」です。なお、ISO27001の要求事項を自由に除外できるという意味ではありません。
5.ISMSの運用・社内教育
規定やマニュアルなどにまとめた内容に沿って、実際に社内で運用するには、社員への教育が欠かせません。
社内教育を通して自社のISMSへの理解を深めたうえで、業務に落とし込んで運用する必要があります。実務でマネジメントシステムを一巡させられれば、社員の理解度向上につながります。
6.内部監査
内部監査は、「社内でISMSの規定やルールに沿った運用が行われているか」「適用範囲内の社員が、情報セキュリティの知識を有しているか」などを評価するために、社内で行う監査です。
社内で内部監査員を選任して構成した内部監査チームもしくは外部の専門家に依頼することで、内部監査を行います。内部監査によって問題点が指摘された場合、対策を行ったうえで報告する必要があります。
7.マネジメントレビュー
社長や執行役員など会社の代表者は、内部監査による報告や実際の運用状況を確認したうえで、マネジメントレビューを行います。
マネジメントレビューとは、「企業が行ってきた活動を振り返り、現状の課題の整理や問題点を考察し、マネジメントシステムの見直しを行うこと」です。トップマネジメントが、自身のリーダーシップに基づいて判断を下し、マネジメントレビューを実施する必要があります。
8.認証審査
初回認証審査は、第一段階審査と第二段階審査の2段階で行われます。
第一段階審査では、ISMSの適用範囲や文書、運用状況などを確認し、第二段階審査へ進むための準備が整っているかを評価します。必要な対応を行ったうえで第二段階審査を受け、規格への適合が確認されると認証登録となります。
第一段階審査
文書審査がメインで、マニュアルや手順書などの情報セキュリティマネジメントシステムを規定した文書が、「ISO27001の規格要求事項に適合しているか」を審査します。
また、規格要求事項に則していても、組織に適した文書になっていないと意味がありません。規格、組織両方にマッチした文書となっているか、念入りに確認されます。
近年は、文書作成が必須ではなく、必要に応じて作成するようになった影響から、第一段階審査で現地審査が実施されることもあります。
第二段階審査
認証審査員が取得範囲の部署の社員に対して、マネジメントシステムの実際の運用状況を確認する審査工程です。
運用に不備があるとISMS認証機関から是正の指摘を受けるため、それらに対応すれば審査が終了します。
認証登録されるまでの期間は、一般的に3ヵ月程度が目安です。
ISMS認証を取得する期間と費用相場
ISMS認証を取得する期間と費用相場を解説します。
ただし、取得するISMS認証やコンサルに依頼するかどうか、適用範囲、組織の規模などによって大きく異なるため、あくまで目安として参考にしてください。
取得期間
ISMS認証の取得にかかる期間は、自社取得の場合には1年以上かかることもあります。コンサル取得の場合には半年程度が目安です。
取得するには、各ISMS認証の要求事項を満たすISMSを構築し、実際に運用することが求められます。内部監査やマネジメントレビューをし、その後、審査機関の審査員による審査に通過することで取得できます。
費用相場
審査費用は審査機関や適用範囲により異なりますが、費用相場は50～100万円程度です。
ISMS認証を取得する際には、「審査費用」や「ISMS構築・運用にかかる人件費」が必須でかかります。
また任意でかかる費用には、コンサルに依頼する場合の「コンサルティング料」や「設備投資費」があります。
以下の記事で、ISO27001とPマークの取得費用を詳しく解説しています。
ISMS認証を取得するメリット・デメリット
ISMS認証は、対外的な信頼獲得から社内体制の強化まで幅広いメリットをもたらす一方、取得・維持にあたってはコストや工数といった負担も発生するため、事前にメリット・デメリットを把握しておくことが大切です。
ここでは、ISMS認証を取得するメリット・デメリットを整理します。
メリット
ISMS認証を取得する主なメリットは、以下のとおりです。
- 顧客・取引先からの信頼向上
第三者評価による認証は、国際基準に基づいた情報セキュリティ体制を客観的に証明でき、新規取引や関係構築で優位に働きます。 - 入札・契約での優位性
官公庁や大手企業の入札では取得が参加条件になっているケースもあり、契約要件を満たしやすくなります。 - 情報漏洩リスクの低減
情報資産を管理する体制が整うことで、不正アクセスや内部不正による漏洩リスクを大幅に抑えられます。 - 社員のセキュリティ意識向上
従業員教育やルール整備が要求事項に含まれるため、社員一人ひとりの意識が自然と高まります。
デメリット
一方で、ISMS認証の取得・維持には、以下のような負担も伴います。
- コスト負担
審査費用や人件費に加え、コンサルティング費用（任意）などの初期コストと、毎年の維持審査・3年ごとの更新審査にかかる維持費用が発生します。 - 文書整備の手間
規格要求事項に沿ったマニュアルや記録文書の作成、従業員教育など、準備段階での負担が生じます。 - 継続的な審査対応
認証を維持するには年1回の維持審査と3年ごとの更新審査が必須で、審査対応や社内調整に工数がかかります。
また、上記の費用以外にも、設備やシステムの導入が必要になった場合はさらに費用がかかります。
ISMS認証取得で失敗しやすい3つのケース
ISMS認証は取得して終わりではなく、運用を継続することが前提の制度ですが、審査直前になると実際の現場運用が追いついていないという状態に陥ってしまう企業は少なくありません。
ここでは、準備段階でつまずきやすい3つの典型的なケースを紹介しますので、ポイントを押さえて準備しましょう。
文書整備だけに注力し、実際の運用が伴わないケース
規程やマニュアルの作成に力を入れすぎるあまり、現場の実務がその内容についていけていないケースは、審査で指摘を受けやすい典型例です。
ISMS認証取得の準備では、規格要求事項を満たす文書を整えることに意識が向きがちです。しかし、文書上のルールと現場の実態にずれがあると、たとえ書類が整っていても「運用されていない」と判断されてしまいます。
文書作成と並行して、実際に現場の担当者を巻き込みながらルールを運用してみる期間を設けることが、このケースに陥らないためのポイントです。
適用範囲の設定が曖昧で審査時に指摘を受けるケース
認証の対象となる適用範囲（スコープ）の設定が曖昧なまま準備を進めると、審査時に指摘を受けたり、あとから対象部署・拠点の追加対応に追われたりする原因になります。
ISMS認証では、全社での取得だけでなく、特定の部署や拠点、プロジェクト単位での取得も可能です。ただし、「どこまでを対象にするのか」「対象範囲に含まれる情報資産は何か」が曖昧なまま進めてしまうと、審査員から範囲の妥当性を問われ、手戻りが発生することがあります。
準備の初期段階で、適用範囲と対象となる情報資産を明確に文書化しておくことが重要です。
内部監査が形骸化してしまうケース
内部監査が「実施すること自体」が目的になってしまうと、本来見つけるべき不備を見逃し、認証取得後の運用品質の低下につながります。
内部監査で最も重要なのは、「規定が現場の実態に合っているか」「そのルールが実際に現場で守られ、記録として残っているか」という2点を確認することです。
確認が形だけのチェックリスト消化になってしまうと、外部審査時にはじめて指摘を受ける可能性があるため、内部監査員への教育や監査結果を実際の改善につなげる仕組みづくりが欠かせません。
内部監査の段階で、規定どおりに現場が動けているかを実際の記録（ログ・記入簿など）で確認しておくと、審査対応がスムーズになります。
【1,000人の経営者に聞いた】ISMS認証は取得すべき？
ここまで、ISMS認証の概要を解説しましたが、「本当にISMS認証は情報セキュリティのために必要なのか？」と感じている方も多いでしょう。
そこで、ここでは約1,000人のIT系中小企業経営者を対象にしたISMS認証の一つであるISO27001に関するアンケート結果を紹介します。
「ISO27001がないことで、取引に失敗した経験がある」経営者が65.2%
まず、「ISMS認証の有無が新規取引の契約に与える影響」に関する質問とその回答を見てみましょう。
「ISO27001を取得することで、取引先や顧客からセキュリティに関する信頼が得られると思いますか？」と質問したところ、以下のような回答が得られました。
- はい（84.3%）
- いいえ（15.7%）
さらに、「ISO27001などの認証がないことで実際に契約に至らなかったことはありましたか？」と質問したところ、以下のような回答が得られました。
- はい（65.2%）
- いいえ（34.8%）
この調査結果から、ISO27001の取得は「対外的な信頼醸成」や「取引の拡大」に大きな影響を与えるといえるでしょう。
アンケート調査の詳細は、以下の記事をご覧ください。
関連マンガ：受注が上がらない！効率的な部門認証で、目指すは競合との差別化！
「ISO27001を取得していないSaaSツールの導入には消極的」経営者が66.5%
次に、「IT系企業経営陣がSaaS系ツール導入の際に重視すること」に関する調査結果を見てみましょう。
「SaaS系ツールの導入において、高いセキュリティレベルであることをどれほど重視しますか？」と質問したところ、以下のように約8割の方が、高いセキュリティレベルをSaaS系ツールに求めているという回答結果になりました。
- 『強く重視する（36.9%）』
- 『まあ重視する（46.3%）』
- 『あまり重視しない（11.4%）』
- 『まったく重視しない（5.4%）』
また、「ISO27001認証（ISMS）」を取得していないSaaS系ツールの導入は消極的ですか？」と質問したところ、以下のような回答が得られました。
- はい（66.5%）
- いいえ（33.5%）
今回の調査ではSaaS系ツールに限定した調査でしたが、システム化が推進されている昨今では、セキュリティ体制を証明する手段としてISMS認証の必要性が高まっているといえるでしょう。
SaaS系ツールに関する実態調査の詳細は、以下の記事をご覧ください。
ISMS認証に関するよくある質問
ここでは、ISMS認証の取得や運用を検討する際によく寄せられる質問について、ご紹介します。
ISMS認証の有効期限は？
ISMS認証の有効期限は3年間です。1年目・2年目には「維持審査」、3年目には「更新審査」を受けることで、ISMSが有効に運用されているかが確認されます。
更新審査に合格すると、有効期限がさらに3年間延長される仕組みです。
Pマークと両方取得すべき？
両方の取得が必須というわけではなく、自社が扱う情報の種類や取引先からの要求によって判断すべきです。
一般的には、個人情報保護の取り組みを国内向けにアピールしたい場合はPマーク、情報資産全般の管理体制を国内外に示したい場合はISMS認証が適しています。
ただし、官公庁・大企業との取引や海外展開も視野に入れつつ、個人情報を大量に扱う事業者の場合は、両方の取得を検討する価値がある可能性があります。
クラウド事業者はISO27017も必要？
ISO27017の取得は必須ではありませんが、クラウドサービスを提供する事業者にとっては取得を検討する価値の高い認証です。
ISO27017は、ISMS構築の実践的なセキュリティ管理策を定めたISO/IEC 27002に対し、クラウドサービスに関連した管理策を追加するものです。
ただし、ISO27017はクラウドサービス固有の情報セキュリティ管理策に関する実践規範です。
日本のISMS適合性評価制度では、ISO27017に基づく「ISMSクラウドセキュリティ認証」が設けられています。この認証はISMS認証に追加して取得する仕組みであり、ISMSクラウドセキュリティ認証だけを単独で取得することはできません。
まとめ
ISMS認証を取得することで、顧客からの信頼度の向上や差別化、そして説明責任を果たすことができます。
何よりも、第三者の評価を受けていることから信頼性が高いといえるでしょう。また、取引条件として提示されることも増えているので、取得することで売上機会の向上が期待できます。
ただし、業務負荷やコストの増加などのデメリットも忘れてはなりません。これからISMS認証の取得を考えているのであれば、メリット・デメリット双方を考慮して検討をしましょう。
ISMS認証の取得は、適用範囲の決定から情報資産の洗い出し、リスクアセスメント、文書作成、運用・教育、内部監査、マネジメントレビューを経て認証審査に進む流れが基本です。取得期間は自社取得で1年以上、コンサル活用で半年程度、審査費用の相場は50〜100万円程度が目安となります。
また、Pマークとは保護対象と適用範囲が異なるため、情報資産全般を国内外に示したい場合はISMS認証、個人情報の取扱いを国内向けに示したい場合はPマークというように、自社の目的に応じた選択が重要です。
ISOプロでは月額4万円から御社に合わせたISO運用を実施中
ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。
また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。
サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。
月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。
また、JIS規格は、ISO規格の要求事項を正しく解釈して用いることができるように、注記の追加や解説を記載することができます。