ISMS内部監査のやり方｜ISO27001の確認項目・質問例・記録の残し方

ISMS内部監査は何を確認する？ISO27001と監査範囲

ISMS内部監査は、情報セキュリティのルールが実際に守られ、情報を適切に管理できているかを確認する活動です。ISO27001（正式名称：ISO/IEC 27001）の9.2に基づき、自社のルールと規格の要求事項への適合、ISMSの実施・維持の状況を確かめます。

監査では、日常の仕事に沿って手順、設定、記録を見比べます。たとえば退職者のアカウントを確認するなら、人事の連絡から各サービスの権限停止までをたどると、処理の抜けを見つけやすくなります。

システムの弱点を詳しく調べるときは、脆弱性診断や侵入テストなどの専門的な調査を組み合わせます。内部監査では、こうした調査の結果と、その後の対応状況も確認します。必要な知識を持つ担当者と、確認方法を計画しておきましょう。

規格の版と、実際に監査する範囲をそろえる

ISOの公式案内で示される規格はISO/IEC 27001:2022です。監査では、適用する規格の本体と追補をセットで確認します。国内のJIS規格との関係は、次の表で整理できます。

JIS Q 27001:2025は、2023年版に追加する追補です。監査では2023年版と併用します。詳しい関係はISMS-ACの制度概要で確認できます。

監査する範囲は、適用範囲の文書と現在の業務を見比べて決めます。在宅勤務や委託先、クラウドとの関わりも確認しましょう。「開発部のアカウント管理」を監査する場合も、人事の退職連絡や委託先の作業が確認対象になることがあります。

イソログに寄せられたリアルな声

ISMSの監査で迷いやすい場面を、5つの相談例にまとめました。いずれも編集部が作成した架空の例で、業種・人数・状況は仮設定です。実際に届いた発言や顧客実績を紹介するものではありません。

準備｜リスク評価・適用宣言書から監査計画へつなぐ

まず、情報がどの仕事で使われ、どこで紛失・漏えい・利用停止などが起こり得るかを整理します。その対策として決めたルールを確認し、実際の運用が分かる資料を準備しましょう。

リスク評価をもとに必要な管理策を選び、附属書Aの93管理策と比べて抜けを確認します。適用宣言書には、必要な管理策とその選択理由、実施状況、附属書Aから除外する理由を整理します。必要に応じて附属書A以外の管理策も採用します。この関係はJIPDECのISMS適合性評価制度の解説書でも説明されています。

適用宣言書で「実施済み」とした管理策は、現場の設定や記録で確かめます。除外理由も、現在の業務に合っているかを見直しましょう。たとえば新しいクラウドを導入した場合は、その使い方を踏まえて管理策の必要性を確認します。

リスク評価そのものの作り方はISO27001のリスクアセスメントの進め方、選択理由の整理は適用宣言書の作成と管理策の関係も参考にしてください。ここでは、その内容が実際の運用につながっているかを監査します。

監査員・方法・抽出対象まで計画する

監査プログラムには、監査の頻度、方法、責任者、計画、報告の進め方を定めます。一回ごとの監査では、業務の重要性と前回の結果から、確認する範囲と基準を具体的にします。監査員は、対象業務の知識と監査の技能を持つ人を選び、担当業務を自分で評価することがないよう割当を調整しましょう。

監査時間と記録の件数は、業務量やリスク、前回の結果から決めます。差異が見つかったときに追加確認できる時間も確保しましょう。予定の整え方は内部監査計画書の作り方と記入例で詳しく説明しています。

ISO27001の確認項目・質問例｜要求事項と管理策を分ける

チェックリストには、知りたいことを具体的な質問にし、見せてもらう資料もセットで書きます。次の表は編集部作成の質問例です。自社の業務と監査基準に合わせて、質問や確認先を調整して使えます。

箇条4～10：ISMSを運用する仕組みの確認

気候変動については、4.1で自社に関連する課題かどうかを判断し、4.2で関係者の要求も考慮しているかを確認します。詳しくはISMS-ACの追補に関する案内を参照できます。たとえば拠点や委託先の浸水・停電が情報の利用や顧客との約束に影響する場合は、そのリスクと対応を確認します。

附属書A：採用した管理策の実施を確かめる

表の参照番号はISO/IEC 27001:2022の附属書Aに対応しています。適用宣言書で採用した管理策と、自社の手順・契約条件をもとに、今回重点的に見る項目を選びましょう。実際の設定や記録に合わせて質問を追加すると、運用を詳しく確認できます。

実施｜退職者対応を一件たどる監査の進め方

ここからは、システム開発業45名、本社1拠点と在宅勤務を対象にした架空の監査例で説明します。人物ID、規程名、日付、結果、アカウントの停止期限は、この作例のために編集部が設定しています。

最初に対象をそろえ、依頼から設定まで追う

人事の退職者一覧からD03の最終在籍日を確認し、資産・サービス一覧で利用していたサービスを調べます。その一覧と停止依頼書を見比べ、依頼の対象がそろっているかを管理者と確認します。

権限を持つ管理者に設定画面と操作履歴を示してもらい、対象IDと処理日時を確認します。検証のために操作が必要な場合は、目的・権限・業務への影響を事前に決め、担当者に実施してもらいます。パスワードの共有を伴わない方法で進めましょう。

確認できたことと、まだ分からないことを分ける

この作例では、D01とD02は4サービスとも期限内の無効化を設定と履歴で確認できたとします。D03については、次の差異が見つかりました。

この時点で確認できたのは、D03のアカウントの停止漏れです。退職後の利用や情報への影響は未確認なので、定めた事故対応の責任者へ共有し、ログの調査や対応の判断につなげます。報告書でも、停止漏れの事実と、これから調べる点を分けて記録します。

記録・報告｜不適合の根拠と是正後の確認を残す

報告書には、判断に使った手順、確認した設定や記録、その結果を順に書きます。どのアカウントが、いつの時点で、どの基準を満たしていなかったかを具体的に示すと、担当部署が対応を考えやすくなります。

重大・軽微などの区分は、自社の判定基準に沿って、件数と影響の両方から判断します。今回の確認範囲は3名なので、ほかの退職者については必要な追加確認を計画します。報告書全体の構成は内部監査報告書の書き方と記入例を参考にできます。

証拠をたどれることと、情報を広げすぎないことを両立する

報告書には、対象ID、日時、システム名、確認結果と、証拠の参照先を整理します。元のログは閲覧権限を限定した保管先で管理すると、必要な人が根拠を確認しやすくなります。

画面共有や記録の複製では、確認に必要な情報だけを表示します。パスワードや秘密鍵は監査記録に含めず、対象IDや設定状態、操作日時などで事実を確かめましょう。

修正・原因の検討・効果の確認を分けて追う

アカウントの停止は、目の前の問題を直す処置です。再発を防ぐには、サービス一覧の更新、停止依頼、実行、完了確認のどこで漏れたかを調べ、原因に合う対策を考えます。

表の後半は、これから行う対応と効果の確認予定です。監査結果を関係する管理層へ報告し、実際の処理記録で対策の効果を確認します。その結果を次回の監査計画や、必要なマネジメントレビューに活かしましょう。

ISMS内部監査のよくある質問

実施前に迷いやすい点をまとめました。質問を押すと回答が開きます。

実務に備える｜ISOトラストの内部監査員養成講座

まず対象業務を一つ選び、説明を聞く、記録をたどる、社内の基準と見比べる、結果を書く、という流れを練習してみましょう。退職時の権限停止など、身近な仕事を使うと、質問と記録を結びつける感覚をつかみやすくなります。

基礎学習の選択肢として、ISOトラストの内部監査員養成講座があります。ISO27001を含む規格別のオンライン動画講座で、規格のポイントと内部監査技法を約30～60分で学ぶ内容です。動画は繰り返し視聴でき、修了証明書はデータで送付されると案内されています。

講座を選ぶときは、教材の対応版や学習内容、料金を確認しましょう。受講後に自社の適用宣言書や手順書を使って質問と報告の練習をすると、学んだ内容を実務に活かせます。必要な技術知識は、経験者とのOJTなどで補っていきます。

ISOトラストの内部監査員養成講座を確認する