【保存版】ISMS認証（ISO27001）の取得費用は？内訳や相場を解説

企業が保有する資産にはヒト、カネ、モノなどさまざまなものがありますが、その中でも個人情報や機密情報といった情報資産の重要性がこの情報化社会の中で高まってきています。

こうしたプライバシーの保護や情報漏洩を防ぐために、情報セキュリティマネジメントシステムの国際規格 である ISMS 認証 （ ISO27001 ）の取得の重要性が増しています。しかし、取得するには人件費や審査費用などを考えるとある程度まとまった費用が必要です。

そこで、今回はISMS認証（ISO 27001）取得にかかる費用や費用をかけてでも取得されている理由や必要性について解説します。

ISMS認証（ISO27001）取得費用の内訳

ISMS認証の取得費用の内訳には、「人件費」や「コンサル依頼料」、「審査費用」、「ISMS構築にかかる費用」の4つがあります。ここでは、それぞれの費用について解説します。

人件費

ここでいう人件費とは、ISO27001を取得するために必要な工程を実施する社員に支払う賃金のことです。一般的には社内で任命したISO事務局やISO担当者にかかる費用です。

例えば、月30万円の給与の社員1人が、1年間本来の業務を行わずにISO27001に関する業務のみを担当した場合には、30万円×12か月で360万円の人件費がかかります。

通常時と変わらない人件費しか発生しないため、一見すると費用がかかっていないように感じられるかもしれません。
しかし、ISO担当者の本来の業務ができなくなるため、業務の効率や生産性が低下するといった「見えない損失」が発生するのです。ISMS認証取得にかかる人件費を抑えられるかどうかは、ISO担当者の経験やノウハウによって大きく変動するでしょう。

コンサル依頼料

ISMS認証取得には、自社の社員のみで取得する自社取得とコンサルに取得サポートを依頼するコンサル取得があります。

コンサルティング業者に依頼する場合には、毎月コンサルティング費用がかかります。依頼料は、企業規模や認証範囲、取得支援の内容によって異なることが多くあります。いくら費用がかかったのかが一目で把握できるでしょう。

一方、自社取得の場合、ISO担当者が取得にかかるすべての工程を実施します。その場合、取得にかかった期間におけるISO担当者の人数分の人件費が、取得にかかった費用となります。

審査費用

ISMS認証を取得するには、基本的に各国に一つだけ存在する認定 機関からの認証を受けた審査機関（認証機関）の取得審査（認証審査）を受けることが必要です。

そのため、必ず審査費用がかかります。審査機関によって料金が変わることから、取得費用を左右する要素の一つです。また、審査機関と自社までの距離が遠い場合には、ISO審査員の移動費や宿泊費がかかる場合もあります。

取得後も、適切に運用できているかを確認する審査を毎年受ける必要があるため、審査機関の選定は慎重に行うことがおすすめです。

ISMS構築にかかる費用

ISMS構築のために機器や設備を導入した場合には、費用が別途かかります。
ただし、こちらは必須ではないため、この記事では取り上げません。必要かどうか迷う機器がある場合には、自社の情報セキュリティ方針に沿って、導入すべきかどうかを決めていきましょう。

ISMS認証（ISO27001）取得にかかる費用相場

ISMS認証（ISO27001）取得にかかる費用を、自社取得した場合とコンサルに依頼した場合で解説します。

まずどちらの取得方法の場合であっても、審査費用がかかります。ISMS認証の場合、一般的な相場は50～100万円程度です。以下に業種別、規模別のISMS認証の審査費用相場をまとめました。

※2022年7月調査（ISOプロ調べ）。現在の費用と異なる可能性があるため詳しくはお問合せください。

以下に自社取得とコンサルタントを利用した場合の費用イメージをまとめました。事業規模やコンサル業者によって費用相場は異なるため、参考程度にご覧ください。

自社取得した場合

自社取得の場合には、人件費（担当者の人数×給与×取得に費やした期間）がかかります。

例えば、以下の場合の費用相場を考えます。

• 企業：21名～50名のITサービス企業
• ISO担当者：月30万円の給与の社員2人
• 取得にかかった期間：1年間

この場合の費用相場は、796万円程度になると考えられます。

• 人件費：2人×30万円×1年間＝720万円
• コンサル依頼料：なし
• 審査費用：76万円

コンサルに依頼した場合

コンサルタントを利用した場合には、年間でおよそ45～150万円程度のコンサルティング依頼料がかかります。

コンサルにより削減できる工数や期間は異なりますが、ここでは自社社員の工数が8割削減できた場合で考えます。また、ISO27001取得をコンサルに依頼した場合にかかる期間は、一般的に約半年です。

その他の条件は自社取得と変わらないとして計算すると、この場合の費用相場は、以下の式から193～298万円程度になると考えられます。

• 人件費：（2人×30万円×6か月）×20％＝72万円
• コンサル依頼料：45～150万円
• 審査費用：76万円

このように、結果的にコンサルに依頼する方が安く取得できることが多いのです。

コンサルの選び方や依頼するメリットなどは以下の記事で詳しく解説しています。ぜひ参考にしてください。

ISMS認証（ISO27001）取得後、維持・更新にかかる費用相場

次に、ISMS認証（ISO27001）を取得後、維持・更新にかかる費用を解説します。ISMS認証は、取得時のみでなく運用後も以下の審査を受ける必要があります。

定期審査

定期審査とは、1年ごとに行われる審査です。
ISMSが有効に機能しているかを確認するものなので、審査工程や審査費用は、取得審査の1/3程度です。例えば、取得審査が100万円だった場合には、30万円程度がかかるでしょう。

更新審査

更新審査とは、ISMS認証の有効期限が切れる3年ごとに行われる審査です。
認証を更新するために実施するため、取得審査と同程度の工数がかかります。一方、費用相場は、取得審査の2/3程度です。例えば、取得審査が100万円だった場合には、60万円程度がかかるでしょう。

そのほかのISO認証取得にかかる費用の詳細は、以下の記事をご覧ください。

ISMS認証（ISO27001）は、費用がかかっても取得すべき？

ISMS認証（ISO27001）取得にはまとまった資金が必要だと解説しましたが、「費用がかかっても取得すべき」なのでしょうか。

ここではISMS認証（ISO27001）の必要性を解説するために、ISOプロを運営するNSSスマートコンサルティング株式会社が実施した実態調査の結果を紹介します。

「ISMS認証は必要？」実態調査の結果

従業員数300人以下のIT系中小企業経営者を対象に、「自社の情報セキュリティ管理の課題」としてISMS認証やセキュリティ体制についてアンケートを実施しました。

以下に、ISO27001取得の必要性に関する質問内容と回答を抜粋しています。

「ISO27001取得により、取引先や顧客からセキュリティに関する信頼を得られる」と回答した経営者は8割以上、「実際に取得していないことで契約に至らなかった」経験があると回答した経営者も6割以上にのぼります。

このように情報セキュリティ体制が重視される昨今において、ISO27001は事業活動に欠かせない規格になりつつあります。そのため、費用以上に得られるメリットがある場合に、ISO27001を取得する必要性は大いにあるといえるでしょう。

この実態調査の詳細は、以下の記事をご覧ください。

ISMS認証（ISO27001）の取得費用を抑えるには、コンサル依頼がおすすめ

ISMS認証（ISO27001）の取得費用を抑えるには、コンサル依頼がおすすめです。先ほど取得費用は自社取得よりも抑えられる点は解説しましたが、ここではその他のメリットや実際にコンサルに依頼した企業の声を紹介します。

コンサルに依頼するメリット

コンサルにISMS認証取得サポートを依頼することで、以下のようなメリットが受けられます。

• ISO27001を取得する確実性が高まる
• ISO27001取得にかかる期間を短縮できる
• ISO業務に割く自社のリソースを削減できる
• 業務の実情に合わせたISMSの構築・運用が可能になる

確実なISO27001取得はもちろんのこと、自社にかかる負担を減らしながら、自社の業務に合わせたISMSを構築・運用が期待できます。サポート内容も、希望に応じて柔軟に変更できるコンサル業者もあるため、まずは相談してみると良いでしょう。

ISOコンサルの主なサポート内容や選ぶポイントは、以下の記事で解説しています。

コンサルに依頼した企業の実際の声

ISOプロを運営するNSSスマートコンサルティング株式会社では、コンサルに取得サポートを依頼した200人の経営者・経営幹部を対象に、コンサルへの満足度や依頼した理由などのアンケート調査を実施しました。

「コンサルティング企業に対する総合的な満足度を教えてください」という質問には、『とても満足している（22.5％）』『ある程度は満足している（60.5％）』『あまり満足していない（14.5％）』『まったく満足していない（2.5％）』と、8割以上が満足しているという回答結果になりました。

『とても満足している（22.5％）』と回答した方の理由を、以下に抜粋しています。

• 更新審査までのフォローだけでなく、認定後もしっかりコンサルをいただいた（50代／男性／大阪府）
• 丁寧だったから（50代／男性／東京都）
• 取得後も継続的なサポートがある（60代／男性／北海道）

こうした結果から、コンサルにISO規格の取得サポートを依頼した企業の大部分が満足できていることがわかります。コンサルに依頼するか迷っている企業は、ぜひ以下のアンケート調査も参考にしてください。

まとめ

ISO27001（ISMS認証）を取得するためには、決して少なくない時間や費用が必要になります。しかし、情報セキュリティに関してしっかりと取り組みを行っていくことが昨今の情報化社会では求められています。そのため、たった一度の情報漏洩によって会社が倒産してしまうというような事態は決して珍しい話ではありません。

しっかりと規格に沿った情報セキュリティを構築・運用し、定期的に第三者機関の審査を受けることで、セキュリティリスクを大幅に低減できるでしょう。

企業の未来を守っていくためにも、個人情報や顧客の機密情報などを扱うような業務であれば、一度ISMSの導入を検討してみてはいかがでしょうか？

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。