ISO27001取得の流れと期間は？準備・審査・認証後の運用まで解説

ISO27001取得の流れと期間の全体像

ISO27001を取得するには、情報セキュリティに関する社内の仕組みを整え、その仕組みが実際に運用されていることを審査で確認してもらう必要があります。
単に文書を作るだけではなく、取得目的を決め、認証範囲を定め、情報資産を洗い出し、リスクアセスメントを行い、ルールを運用し、内部監査とマネジメントレビューを実施したうえで、第一段階審査と第二段階審査を受けます。

取得までの期間は、一般的には半年から1年程度が目安です。
すでに情報管理ルールや教育、アクセス権管理、委託先管理などが整っている会社であれば比較的短く進められることがあります。
一方で、情報資産の整理ができていない、認証範囲が決まらない、文書や記録がほとんどない、担当者が通常業務と兼任で進めるといった場合は、1年以上かかることもあります。

また、ISO27001は取得して終わりではありません。
登録証が発行された後も、毎年の維持審査、3年ごとの更新審査に対応するため、教育記録、内部監査記録、リスク見直し、是正処置、マネジメントレビューなどを継続して残す必要があります。
取得前の準備だけでなく、取得後に運用を続けられる形にすることが重要です。

イソログに寄せられたISO27001取得準備のリアルな声

ISO27001取得では、初めて担当する人ほど、全体像が見えないまま文書作成や審査準備に入ってしまいがちです。
取引先から急に取得を求められた、経営層から取得期限だけ伝えられた、前任者がいない状態で担当になった、といった状況では、何から着手すべきか分からず時間だけが過ぎてしまうことがあります。

特に多いのは、取得までの期間を読み違えるケースです。
半年で取れると聞いて始めたものの、認証範囲が決まらず、情報資産台帳の作成で止まり、運用記録が不足し、審査日程も希望通りに取れなかったという相談は少なくありません。
ISO27001では、文書を用意するだけでなく、ルールを実際に運用した記録が必要になります。

ここでは、イソログに寄せられる相談傾向をもとに、ISO27001取得準備で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談でも、ISO27001取得では、最初の着手、期間の見積もり、文書作成、審査準備、取得後運用に関する悩みが多くあります。

ISO27001取得までにかかる期間の目安

ISO27001取得までの期間は、一般的には半年から1年程度で考えられることが多いです。
ただし、これはあくまで目安であり、準備体制や認証範囲によって変わります。
すでに社内ルールや教育記録、アクセス権管理、委託先管理、バックアップ管理などがある会社では、既存の仕組みを整理してISO27001に合わせやすくなります。

一方で、ゼロから情報資産を洗い出し、規程を整備し、教育を行い、運用記録を残してから審査に進む場合は、時間がかかります。
特に、複数拠点や複数部門を対象にする場合、関係者調整だけでも長引くことがあります。
認証範囲が広いほど、情報資産、リスク、運用記録、審査対象者も増えるため、余裕を持った計画が必要です。

取引先から取得期限を指定されている場合は、登録証が必要な日から逆算します。
審査機関との契約、第一段階審査、第二段階審査、不適合が出た場合の是正処置、登録判定、登録証発行まで含めると、想像より時間がかかることがあります。
期限がある場合は、最初の段階で審査機関やコンサル会社に現実的なスケジュールを確認しましょう。

ISO27001取得の基本ステップ

ISO27001取得は、細かく見ると多くの作業がありますが、大きな流れで見ると、取得目的の整理、認証範囲の決定、ISMS構築、運用、内部監査、マネジメントレビュー、審査、登録証発行という順番で進みます。
最初から文書作成だけに入るのではなく、なぜ取得するのか、どの業務を対象にするのかを決めることが重要です。

ISMS構築では、情報セキュリティ方針、情報資産台帳、リスクアセスメント、リスク対応計画、適用宣言書、規程や手順書を整備します。
その後、実際にルールを運用し、教育記録、アクセス権管理記録、委託先管理記録、バックアップ確認記録、インシデント対応記録などを残します。

審査前には、内部監査とマネジメントレビューを実施し、社内で見つかった課題を改善しておきます。
そのうえで、第一段階審査で文書や体制を確認され、第二段階審査で現場運用を確認されます。
審査で不適合があれば是正処置を行い、登録判定を経て登録証が発行されます。

ISO27001取得スケジュールの3パターン

ISO27001取得のスケジュールは、会社の状況によって組み方が変わります。
取引先から期限を指定されている会社では、半年程度の短期取得を目指すことがあります。
一方で、初めてISO27001に取り組む会社では、9カ月から1年程度かけて、社内ルールを現場に定着させながら進める方が現実的な場合もあります。

短期型では、認証範囲を絞り、担当者工数を確保し、コンサル支援も活用しながら一気に進めます。
ただし、運用記録の不足や現場理解の不足が起きやすいため、審査直前に慌てないよう、最初から記録管理を設計しておく必要があります。

標準型や慎重型では、情報資産の洗い出し、リスク評価、文書整備、教育、内部監査を丁寧に進められます。
社内への定着もしやすい一方で、期間が長い分、途中で担当者が変わったり、経営層の関心が薄れたりすることがあるため、月次の進捗確認が重要です。

申請前準備でやること

ISO27001取得の申請前準備では、まず取得目的を整理します。
取引先要求に対応したいのか、入札条件を満たしたいのか、セキュリティチェック対応を効率化したいのか、社内の情報管理体制を整えたいのかによって、優先順位が変わります。
目的が曖昧なまま進めると、認証範囲や文書量が膨らみやすくなります。

次に、認証範囲を決めます。
全社で取得するのか、特定の事業部、拠点、サービス、プロジェクト単位で取得するのかを整理します。
取引先から求められている場合は、対象業務が認証範囲に含まれるかが重要です。
範囲を狭くしすぎると取引先要求を満たせず、広げすぎると費用と工数が増えます。

さらに、ISO事務局や責任者、関係部署の役割を決めます。
情報システム部門だけでなく、営業、総務、人事、法務、現場部門、経営層の協力が必要になることがあります。
審査機関やコンサル会社を検討する場合も、この段階で希望時期や対象範囲を伝えられるようにしておくと、見積もりや提案を比較しやすくなります。

ISMS構築でやること

ISMS構築では、ISO27001の要求に沿って、情報セキュリティを管理する仕組みを作ります。
最初に情報セキュリティ方針を定め、自社がどのような考え方で情報を守るのかを明確にします。
そのうえで、認証範囲内の情報資産を洗い出し、情報資産台帳を作成します。

次に、情報資産ごとにリスクアセスメントを行います。
漏えい、改ざん、紛失、利用停止、不正アクセス、誤送信、委託先での事故など、どのようなリスクがあるかを評価し、受け入れるリスクと対応するリスクを整理します。
その結果をもとに、リスク対応計画や適用宣言書を作成します。

規程や手順書もこの段階で整備します。
アクセス権管理、端末管理、バックアップ、委託先管理、教育、インシデント対応、物理的セキュリティ、クラウド利用、情報の持ち出し、廃棄など、自社の業務に合うルールを作ります。
雛形をそのまま使うのではなく、現場で守れる内容にすることが大切です。

運用開始後にやること

ISO27001では、文書を作っただけでは審査に十分対応できません。
作成したルールを実際に運用し、その記録を残すことが重要です。
たとえば、従業員教育を実施したら教育資料や受講記録を残し、アクセス権を付与・変更・削除したら申請や承認の記録を残します。

運用開始後は、アクセス権管理、端末管理、バックアップ、委託先管理、クラウド利用、ログ確認、インシデント対応、情報の持ち出し、廃棄など、日常業務の中でルールが守られているかを確認します。
審査では、ルールがあるかだけでなく、実際に運用されているか、記録で説明できるかが見られます。

注意したいのは、審査前にまとめて記録を作ろうとしないことです。
日常的に残していない記録は、後から整えるのが難しくなります。
担当者が無理なく記録できる様式やチェック頻度にして、現場に負担をかけすぎない運用にすることが大切です。

内部監査とマネジメントレビューの流れ

審査を受ける前には、内部監査とマネジメントレビューを実施します。
内部監査では、自社のルールがISO27001の要求に合っているか、実際に現場で運用されているかを確認します。
規程や台帳が整っていても、現場で守られていなければ審査で指摘される可能性があります。

内部監査では、情報資産台帳、リスクアセスメント、アクセス権管理、教育記録、委託先管理、インシデント対応、バックアップ、内部ルールの周知状況などを確認します。
問題が見つかった場合は、指摘事項として整理し、是正処置や改善策を実施します。

マネジメントレビューでは、経営層がISMSの運用状況を確認します。
内部監査の結果、リスク評価の見直し、情報セキュリティ目的の達成状況、インシデント、利害関係者からの要求、改善の必要性などを報告し、経営層から必要な指示や承認を得ます。
審査では、経営層がISMSに関与しているかも重要な確認ポイントになります。

ISO27001の第一段階審査で見られること

第一段階審査では、主に文書や体制、認証範囲、準備状況が確認されます。
審査機関は、作成された規程、手順書、情報資産台帳、リスクアセスメント、適用宣言書、内部監査記録、マネジメントレビュー記録などを見て、第二段階審査に進める状態かを判断します。

ここで重要なのは、文書が存在するだけでなく、認証範囲や業務実態と整合していることです。
たとえば、認証範囲に含まれるサービスの情報資産が台帳に入っていない、実際に利用しているクラウドサービスがリスク評価に反映されていない、委託先管理のルールがあるのに委託先一覧がない、といった場合は指摘される可能性があります。

第一段階審査で指摘や懸念事項が出た場合は、第二段階審査までに対応します。
第一段階審査は、落とすための審査というより、第二段階審査に向けて準備状況を確認する意味合いが強いですが、ここで準備不足が大きいと、第二段階審査の日程に影響することがあります。

ISO27001の第二段階審査で見られること

第二段階審査では、第一段階審査で確認された文書や体制が、実際の現場で運用されているかが確認されます。
審査員は、担当者へのヒアリング、現場確認、記録の確認を通じて、社内ルールが実態に合っているか、運用が形だけになっていないかを見ます。

たとえば、アクセス権の付与・変更・削除が承認ルール通りに行われているか、従業員教育の記録があるか、委託先評価が実施されているか、バックアップの確認記録があるか、インシデント発生時の対応手順が理解されているかなどが確認されます。
文書ではできているように見えても、現場で説明できない場合は指摘につながります。

不適合が出た場合は、原因を分析し、是正処置を実施して審査機関に報告します。
単に不足した記録を後から作るのではなく、なぜ不足したのか、今後どのように再発を防ぐのかを示すことが重要です。
是正処置が確認され、登録判定を通過すると、登録証の発行へ進みます。

ISO27001認証取得後にやること

第二段階審査が終わり、必要な是正処置が完了すると、登録判定を経て登録証が発行されます。
登録証が届くと、対外的にISO27001認証取得を示せるようになります。
ただし、登録証や認証マークの使い方にはルールがあるため、認証機関の案内に従って、ホームページや営業資料、名刺などに正しく表示する必要があります。

取得後に重要なのは、すぐに翌年の維持審査を見据えた運用に入ることです。
登録証が届いた安心感から運用が止まってしまうと、次回審査で教育記録、内部監査、リスク見直し、マネジメントレビュー、是正処置の記録が不足しやすくなります。
取得後も年間スケジュールを作り、誰が何をいつ実施するかを決めておきましょう。

ISO27001の認証は一般的に3年サイクルで考えます。
1年目と2年目には維持審査、3年目には更新審査が行われます。
維持審査では継続運用の状況が確認され、更新審査では3年間の運用全体が見られます。
取得した状態を保つには、審査前だけ頑張るのではなく、日常業務に組み込んだ運用が必要です。

ISO27001取得でスケジュールが遅れやすいポイント

ISO27001取得でスケジュールが遅れやすいのは、最初の設計が曖昧なまま進めてしまう場合です。
取得目的が曖昧だと、認証範囲が決まらず、どの部署やサービスを対象にするかで社内調整が長引きます。
特に、全社取得にするか、部門・サービス単位で進めるかを決めないまま文書作成を始めると、後から手戻りが発生しやすくなります。

次に遅れやすいのは、情報資産の洗い出しとリスクアセスメントです。
どの情報を守るべきかが整理されていないと、リスク評価も管理策も決まりません。
営業、開発、管理、人事、情報システムなど複数部署が関わる場合は、各部署から情報を集めるだけでも時間がかかります。

さらに、運用記録の不足も大きな遅延要因です。
文書は作ったものの、教育記録やアクセス権管理記録、委託先評価記録、内部監査記録が不足していると、第二段階審査で説明が難しくなります。
審査機関との日程調整が遅れることもあるため、審査希望時期がある場合は早めに相談しておくことが大切です。

ISO27001取得をスムーズに進めるためのコツ

ISO27001取得をスムーズに進めるには、最初に期限から逆算したスケジュールを作ることが重要です。
登録証が必要な日、第二段階審査を受けたい日、第一段階審査を受けたい日、内部監査を終える日、運用開始日、文書整備の完了日を逆算していくと、今月やるべきことが見えやすくなります。

次に、認証範囲を広げすぎないことも大切です。
もちろん、取引先要求を満たす範囲であることは必要ですが、最初から全社・全拠点・全サービスを対象にすると、費用と工数が大きくなります。
取得目的に合わせて、必要な範囲から始める方が現実的な場合があります。

また、既存ルールや既存資料を活用しましょう。
就業規則、情報システム利用ルール、入退室管理、委託契約、教育資料、申請書、チェックリストなど、すでに社内にある仕組みをISO27001用に整理すれば、ゼロから作るより運用しやすくなります。
審査のためだけの文書にせず、日常業務の中で守れるルールにすることが、取得後の維持にもつながります。

コンサルに相談する前に整理しておくこと

ISO27001の取得をコンサル会社に相談する場合でも、事前に自社の状況を整理しておくと、提案内容や見積もりを比較しやすくなります。
まず、いつまでに取得したいのか、取引先から何を求められているのかを確認しましょう。
登録証の提出が必要なのか、審査中でもよいのか、認証範囲に指定があるのかによって、スケジュールが変わります。

次に、認証範囲の候補を整理します。
対象部署、拠点、サービス、業務、利用システム、委託先、関係者を把握しておくと、コンサル会社が必要な作業量を見積もりやすくなります。
範囲が曖昧なまま相談すると、各社の提案内容がばらつき、単純な金額比較がしにくくなります。

さらに、自社で進めたい部分と外部に任せたい部分も整理しておきましょう。
文書作成、情報資産台帳、リスクアセスメント、教育、内部監査、審査同席、取得後運用支援など、どこまで支援してもらうかによって費用も担当者の負担も変わります。
低価格の支援を選ぶ場合でも、支援範囲と追加費用の有無を確認することが大切です。

まとめ：ISO27001取得は流れを理解し、期限から逆算して進める

ISO27001取得は、取得目的と認証範囲を決め、ISMSを構築し、運用記録を残し、内部監査とマネジメントレビューを実施し、第一段階審査と第二段階審査を受ける流れで進みます。
全体像を理解しておくと、担当者が今何をすべきか、どのタイミングで社内調整が必要か、どこで遅れやすいかが見えやすくなります。

取得までの期間は、一般的には半年から1年程度が目安です。
ただし、認証範囲が広い、既存ルールが少ない、担当者工数が限られている、審査機関との日程調整が遅れるといった場合は、さらに時間がかかることがあります。
取引先から期限を示されている場合は、登録証発行日から逆算して、審査日程や是正処置期間まで含めた計画を立てましょう。

ISO27001は、登録証が届いたら終わりではありません。
取得後も維持審査と更新審査に向けて、教育、内部監査、リスク見直し、マネジメントレビュー、是正処置などを継続する必要があります。
自社だけで進めるのが不安な場合は、複数のコンサル会社に相談し、スケジュール、支援範囲、費用、取得後の運用支援まで比較して進めるのがおすすめです。

よくある質問