ISMS認証とは？ISO27001との関係・認証制度の仕組み・取得が必要な企業をわかりやすく解説

ISMS認証とは？

ISMS認証とは、組織が情報セキュリティを管理する仕組みを構築・運用し、その仕組みがISO27001の要求事項に適合していることを第三者の認証機関が審査して認める制度です。
ISMSはInformation Security Management Systemの略で、日本語では情報セキュリティマネジメントシステムと呼ばれます。

ここで重要なのは、ISMS認証は単なるセキュリティ製品の導入証明ではないという点です。
ウイルス対策ソフトを入れている、ファイアウォールを設置している、クラウドの設定を強化しているといった個別対策だけではなく、組織として情報をどのように管理し、リスクを評価し、ルールを作り、教育し、点検し、改善しているかが見られます。

たとえば、顧客情報を扱うBPO企業であれば、委託元から預かったデータを誰が閲覧できるか、どの端末で処理するか、業務終了後にどう返却・削除するか、誤送信や紛失が起きた場合にどう報告するかまで管理する必要があります。
SaaS企業であれば、顧客データ、クラウド環境、ソースコード、本番環境へのアクセス権限などを、組織的に管理することが求められます。

初心者向けに整理すると、ISMSは情報セキュリティを守るための社内の仕組み、ISO27001はその仕組みが満たすべき基準、ISMS認証は第三者審査によって基準に適合していると認められた状態です。

イソログに寄せられたISMS認証のリアルな声

ISMS認証では、初めて担当する方ほど、言葉の違いと制度の全体像でつまずきやすくなります。
ISMS、ISO27001、JIS Q 27001、ISMS認証、ISO27001認証という言葉が並び、どれを取得すれば取引先要求を満たせるのか分からないという相談はよくあります。

また、取得が必要だと分かっても、全社で取得するのか、部門単位でよいのか、Pマークとどちらを選ぶべきか、取得後に毎年どのような審査を受けるのかで不安が出やすくなります。
認証取得はゴールではなく、取得後も運用・点検・改善を続ける仕組みなので、最初の理解が曖昧なまま進めると後から手戻りが発生しやすくなります。

ここでは、イソログに寄せられる相談の傾向をもとに、ISMS認証で初心者担当者が迷いやすい状況を整理します。

イソログに寄せられる相談でも、ISMS認証では言葉の違い、取得範囲、取引先要求、取得後の運用に関する悩みが多くあります。

ISMS・ISO27001・JIS Q 27001・ISMS認証の違い

ISMS認証を理解するうえで、最初に整理したいのが用語の違いです。
ISMS、ISO27001、JIS Q 27001、ISMS認証は近い文脈で使われますが、厳密には同じ意味ではありません。

ISMSは、組織が情報セキュリティを管理する仕組みそのものです。
ISO/IEC 27001は、そのISMSが満たすべき要求事項を定めた国際規格です。
JIS Q 27001は、ISO/IEC 27001と整合した国内規格として日本で用いられるものです。
そしてISMS認証は、認証機関が審査を行い、組織のISMSが認証基準に適合していると認める制度です。

実務では、ISMS認証、ISO27001認証、JIS Q 27001認証という表現が近い意味で使われることがあります。
たとえば、取引先からISO27001認証を求められた場合、ISMS認証の登録証で条件を満たせることがあります。
ただし、認証範囲や登録証の表記が条件に合っているかは、取引先や認証機関に確認する必要があります。

ISMS認証制度の仕組み

ISMS認証制度は、組織が自分で『セキュリティ対策をしています』と宣言するだけではなく、第三者が審査して認証する仕組みです。
認証を受ける企業、審査を行う認証機関、その認証機関の能力や公平性を確認する認定機関が関わります。

認証機関は、企業が構築・運用しているISMSがISO27001の要求事項に適合しているかを審査します。
認定機関は、認証機関が適切な審査を行える能力を持っているか、公平性を保っているかを評価します。
日本ではISMS-ACがISMS分野の認定機関として知られています。

初心者担当者が混同しやすいのが、認証と認定の違いです。
企業が取得するのは認証です。
一方、認証機関が審査能力を認められることを認定といいます。
つまり、自社が認定を取得するのではなく、認定された認証機関から審査を受け、認証を取得するという流れです。

ISMS認証で守る情報とは？

ISMS認証で守る情報は、個人情報だけではありません。
顧客情報、社員情報、営業資料、契約書、設計図、ソースコード、クラウド上のデータ、システム設定情報、委託業務で預かるデータなど、組織にとって価値があり、漏えい・改ざん・利用不能になると影響が出る情報が対象になります。

ISMSでは、情報セキュリティの三要素である機密性、完全性、可用性をバランスよく考えます。
機密性は、許可された人だけが情報にアクセスできる状態です。
完全性は、情報が正確で改ざんされていない状態です。
可用性は、必要なときに情報やシステムを利用できる状態です。

たとえば、医療福祉事業者では利用者情報の機密性が重要ですが、診療・介護記録が正確である完全性や、必要なときに閲覧できる可用性も重要です。
EC事業者では注文情報や配送先情報の機密性だけでなく、注文データが正確であること、繁忙期にもシステムが止まらないことが重要です。
製造業では設計図面や取引先情報の機密性に加え、最新図面が正しく共有される完全性が重要になります。

ISMS認証が必要になりやすい企業

ISMS認証は、すべての企業に法律で義務づけられている認証ではありません。
ただし、取引先要求、入札条件、委託先管理、上場準備、海外取引、クラウドサービスの信頼性説明などの場面で、取得が必要または有利になることがあります。

特に必要になりやすいのは、顧客や取引先から重要情報を預かる企業です。
システム開発会社、SaaS企業、BPO企業、人材会社、コールセンター、データ入力会社、医療福祉関連事業者、金融関連事業者、製造業の設計・技術部門などでは、取引先から情報セキュリティ体制の証明を求められることがあります。

一方で、取得すべきかどうかは業種名だけで決まりません。
扱う情報の重要度、取引先が求める条件、競合企業の取得状況、入札や委託契約の要件、取得後に運用できる体制があるかを見て判断します。
たとえば、従業員20名規模のSaaS企業でも大手企業へサービス提供する場合は取得が重要になることがあります。
反対に、大きな会社でも認証範囲や取得目的が曖昧なまま進めると、費用対効果が見えにくくなります。

ISMS認証は全社で取得すべき？部門単位でもよい？

ISMS認証は、必ずしも会社全体で取得しなければならないわけではありません。
認証範囲は、会社全体、特定の事業部、拠点、サービス、業務プロセスなど、自社の目的に合わせて設計できます。
これを適用範囲または認証範囲と呼びます。

たとえば、SaaS企業がまずクラウドサービスを提供する事業部だけを対象に取得するケースがあります。
BPO企業が特定の委託業務を扱う部門だけを対象にするケースもあります。
製造業では、設計開発部門や特定工場を中心に認証範囲を設計することがあります。

ただし、範囲を狭くしすぎると、取引先が求めている条件を満たせないことがあります。
営業部門が契約窓口になっているのに営業活動が範囲外、顧客データを保管する情シス部門が範囲外、委託業務に関わる拠点が範囲外といった状態では、認証の説明が難しくなる場合があります。
認証範囲は、取得目的、取引先要求、情報の流れ、管理責任を見ながら決めることが重要です。

ISMS認証を取得するメリット・デメリット

ISMS認証のメリットは、単に認証マークを取得できることだけではありません。
取引先への説明がしやすくなる、入札や委託契約の条件を満たしやすくなる、情報管理の責任者やルールが明確になる、社員のセキュリティ意識が上がるといった効果があります。

一方で、デメリットや負担もあります。
取得準備には、情報資産の洗い出し、リスクアセスメント、規程作成、教育、内部監査、マネジメントレビュー、審査対応が必要です。
認証取得後も、毎年の維持審査、3年ごとの更新審査、ルール見直し、運用記録の管理が続きます。

そのため、ISMS認証は『取れば終わり』ではなく、『情報セキュリティを継続的に管理する仕組みを社内に残す』ものとして考えることが大切です。
取得目的が取引先対応だけの場合でも、取得後の運用体制まで見ておかないと、担当者だけに負荷が集中しやすくなります。

ISMS認証取得までの大まかな流れ

ISMS認証の取得は、一般的には、取得目的の整理、適用範囲の決定、情報資産の洗い出し、リスクアセスメント、管理策の決定、社内ルールの整備、教育、内部監査、マネジメントレビュー、一次審査、二次審査という流れで進みます。

最初に行うべきなのは、なぜ取得するのかを明確にすることです。
取引先要求なのか、入札条件なのか、社内の情報管理強化なのか、上場準備なのかによって、認証範囲やスケジュールが変わります。
目的が曖昧なまま進めると、必要以上に範囲を広げたり、逆に取引先条件を満たさない範囲で取得してしまったりすることがあります。

その後、情報資産を洗い出し、リスクを評価し、必要な管理策を決めます。
社内規程や手順を整え、従業員教育を行い、一定期間運用したうえで内部監査とマネジメントレビューを実施します。
審査では、文書だけでなく、実際の運用記録や担当者へのヒアリングも確認されます。

ISMS認証を取得する前に整理しておきたいこと

ISMS認証の取得を検討する段階では、いきなり規程作成に入るよりも、まず自社の取得目的と前提条件を整理することが大切です。
取引先から何を求められているのか、いつまでに必要なのか、対象となる部署やサービスはどこなのか、どの情報を守る必要があるのかを確認しましょう。

特に重要なのは、認証範囲と取引先要求の一致です。
取引先が求めている業務が認証範囲に入っていなければ、認証を取得しても十分な説明にならないことがあります。
反対に、必要以上に範囲を広げると、費用や工数が増え、取得までの期間も長くなりやすくなります。

コンサル会社に相談する場合も、事前に情報を整理しておくと、見積もりや提案内容を比較しやすくなります。
自社取得で進めるのか、コンサルを活用するのか、文書作成から審査対応まで支援してもらうのか、取得後の運用支援も必要なのかを検討しておくと、相談が具体的になります。

ISMS認証でよくある誤解

ISMS認証では、よくある誤解を早い段階で解消しておくことが大切です。
たとえば、ISMS認証を取得すればセキュリティ事故が絶対に起きないと思ってしまうケースがあります。
しかし、ISMS認証はリスクをゼロにする制度ではありません。
リスクを把握し、適切に管理し、問題が起きたときに改善する仕組みを整える制度です。

また、個人情報だけを守ればよいという誤解もあります。
ISMS認証では、個人情報だけでなく、営業情報、技術情報、契約情報、システム情報、クラウド上のデータなど、組織にとって重要な情報を幅広く扱います。
個人情報保護が中心のPマークとは、対象情報や取得目的が異なる場合があります。

さらに、認証は取得すれば終わりではありません。
取得後も、維持審査、更新審査、内部監査、教育、リスク見直し、改善活動が続きます。
取得時だけ文書を整えるのではなく、日常業務で続けられる仕組みにすることが重要です。

まとめ：ISMS認証は、情報セキュリティ体制を第三者に示すための認証

ISMS認証とは、組織が情報セキュリティを管理する仕組みを構築・運用し、その仕組みがISO27001の要求事項に適合していることを第三者の認証機関が認める制度です。
ISMSは仕組み、ISO/IEC 27001は国際規格、JIS Q 27001は国内規格、ISMS認証は第三者審査で認められた状態と整理すると理解しやすくなります。

取得が必要かどうかは、取引先要求、扱う情報、事業内容、入札条件、海外取引、認証範囲、取得後の運用体制によって変わります。
IT企業やSaaS企業だけでなく、BPO、人材、医療福祉、製造業、上場準備企業など、重要情報を扱う幅広い企業で取得が検討されます。

初めて取得を検討する場合は、まず取得目的、認証範囲、扱う情報、社内体制、取得期限を整理しましょう。
全社取得が必要なのか、部門やサービス単位でよいのか、Pマークとどちらを優先すべきか、取得後の運用まで対応できるかを確認したうえで、必要に応じてISO27001に強い専門家へ相談することが大切です。

よくある質問