ISO27001取得は何から始める？申請までの流れ・期間・費用感・担当者が準備することを初心者向けにわかりやすく解説

ISO27001取得は何から始める？

ISO27001取得で最初にやるべきことは、規格文を細かく読むことではなく、取得の目的、希望時期、適用範囲、社内体制を整理することです。
目的や範囲が曖昧なまま進めると、どの部署を対象にするのか、どの情報資産を洗い出すのか、どの審査機関へいつ申請するのかが決められません。

たとえば、取引先から取得を求められている場合は、取得期限や対象範囲が取引条件に関係する可能性があります。
入札条件として必要な場合は、認証登録までのスケジュールを逆算する必要があります。
社内改善が目的の場合は、まず情報管理の課題や関係部署を整理することが大切です。

初心者担当者は、まず上司や経営層に取得目的を確認し、希望時期、対象にしたい部署や拠点、予算感、社内で協力が必要な部署を洗い出しましょう。
そのうえで、認証機関やコンサル会社へ相談すると、現実的なスケジュールを立てやすくなります。

イソログに寄せられるリアルな声：取得準備で初心者が迷いやすいこと

ISO27001取得では、初めて担当になった方からかなり具体的な不安が寄せられます。
取引先から取得を求められたものの、何から始めればよいのか分からない。
審査機関への申請はいつすべきなのか分からない。
社内で費用を聞かれても、審査費用とコンサル費用の違いを説明できない。
こうした悩みは珍しくありません。

また、情報セキュリティなので情報システム部門だけで進めればよいと思っていたら、営業、総務、人事、開発、管理部門、経営層まで関係することが分かり、調整で止まってしまうケースもあります。
ISO27001は、IT対策だけではなく、情報を扱う業務全体の管理体制を作る取り組みだからです。

ここでは、イソログに寄せられる相談内容をもとに、取得準備で初心者が迷いやすい場面を整理します。

イソログに寄せられる相談でも、ISO27001取得準備では同じような悩みが多くあります。

ISO27001取得までの全体像

ISO27001取得までの全体像は、準備、ISMS構築、運用、内部監査、マネジメントレビュー、審査機関への申請、一次審査、二次審査、是正対応、認証登録、取得後の維持運用という流れで考えると分かりやすくなります。

最初の準備段階では、取得目的、適用範囲、社内体制、スケジュール、予算、相談先を整理します。
ISMS構築段階では、情報資産の洗い出し、リスクアセスメント、管理策の選定、社内規程や手順の整備を進めます。
その後、教育や記録作成を行い、実際に運用します。

審査前には、内部監査とマネジメントレビューを実施し、自社で運用状況を確認します。
そのうえで、審査機関の一次審査と二次審査を受けます。
認証取得後も、維持審査や更新審査があるため、取得して終わりではなく継続運用が必要です。

取得目的を確認する

ISO27001取得で最初に確認したいのが取得目的です。
目的が曖昧なまま進めると、対象範囲、スケジュール、費用、社内体制の判断がぶれやすくなります。

取得目的には、取引先から求められた、入札条件になっている、情報漏えいリスクを下げたい、社内ルールを統一したい、営業上の信用を高めたい、委託先管理を強化したい、上場準備やグループ会社要請に対応したいなどがあります。

目的によって、進め方は変わります。
取引先要求がある場合は、いつまでに認証登録が必要か、どの業務範囲が求められているかを確認します。
社内改善が目的なら、まず情報管理の課題を整理し、無理なく運用できる範囲から始める判断もできます。

適用範囲を決める

ISO27001の適用範囲とは、認証の対象にする部署、拠点、業務、システム、情報資産の範囲です。
全社を対象にする場合もあれば、特定の事業部、システム開発部門、クラウドサービス運用部門、本社部門だけを対象にする場合もあります。

適用範囲は広ければよいというものではありません。
広げすぎると、情報資産の洗い出しや規程展開、教育、内部監査の負担が増えます。
一方で、狭すぎると取引先が求める業務が含まれず、取得しても目的を果たせない可能性があります。

初心者担当者は、取得目的と取引先要求を確認したうえで、対象にすべき業務と除外してよい業務を整理しましょう。
適用範囲は審査でも確認されるため、文書上の範囲と実際の業務が一致していることが重要です。

社内体制を作る

ISO27001取得は、情報システム部門だけで進めるものではありません。
情報セキュリティは、顧客情報、従業員情報、契約書、営業資料、開発データ、クラウドサービス、紙文書、委託先管理など、さまざまな業務に関係します。

社内体制では、経営層、ISMS責任者、事務局、情報システム部門、総務・人事、営業、開発・現場部門、内部監査員などの役割を整理します。
経営層は方針や資源の決定、ISMS責任者は全体管理、事務局は進行管理、各部門は情報資産の洗い出しやルール運用を担います。

特に初心者担当者が注意したいのは、最初から1人で抱え込まないことです。
各部署の協力が必要な作業が多いため、早い段階で関係部署を巻き込み、会議体や連絡ルートを作っておきましょう。

取得までのスケジュールを立てる

ISO27001取得までの期間は、会社規模、対象範囲、既存の情報セキュリティ管理体制、担当者の経験、コンサル支援の有無によって変わります。
一般的には、数か月から1年程度を見込むケースが多くなりますが、準備状況によって短くも長くもなります。

スケジュールを立てるときは、認証登録したい時期から逆算します。
二次審査、一次審査、内部監査、マネジメントレビュー、運用期間、教育、規程作成、リスクアセスメント、情報資産洗い出しに必要な時間を見積もります。

審査機関の日程調整も重要です。
希望時期の直前に申請しても審査枠が取れないことがあるため、早めに見積もりや日程相談をしておきましょう。

取得前に確認する社内資料・現状

ISO27001取得前には、社内にすでにある資料や運用を確認します。
すべてをゼロから作る必要はありません。
就業規則、情報管理規程、IT利用ルール、アクセス権限表、クラウド利用ルール、委託先契約、教育資料など、既存の仕組みを活用できます。

ただし、資料があるだけで安心してはいけません。
最新版か、現場で使われているか、対象範囲と合っているか、記録が残っているかを確認する必要があります。
古い規程や実態に合わない手順をそのままISO27001文書として使うと、審査で説明に困る可能性があります。

初心者担当者は、まず既存資料を一覧化し、どの資料がISO27001で使えそうか、どの資料を見直す必要があるかを整理しましょう。

情報資産を洗い出す

ISO27001取得で重要な作業の一つが、情報資産の洗い出しです。
情報資産とは、会社にとって価値があり、守る必要がある情報や、それを扱うシステム・媒体・サービスのことです。

顧客情報、契約書、見積書、従業員情報、営業資料、ソースコード、設計図、業務マニュアル、クラウド上のデータ、アカウント情報、紙文書、バックアップデータなどが情報資産になります。
電子データだけでなく、紙、システム、クラウド、ノウハウも含めて考えます。

初心者がつまずきやすいのは、情報資産を細かくしすぎることです。
最初から全ファイルを1つずつ管理しようとすると台帳が膨大になり、更新できなくなります。
部署、業務、システム、情報の種類ごとに、運用できる粒度で整理することが大切です。

リスクアセスメントを行う

情報資産を洗い出したら、次にリスクアセスメントを行います。
リスクアセスメントとは、情報資産に対してどのようなリスクがあるかを特定し、その大きさを評価し、対応の優先順位を決める活動です。

ISO27001では、漏えい、改ざん、紛失、誤送信、不正アクセス、システム停止、バックアップ失敗、委託先事故、退職者アカウントの放置など、さまざまなリスクを考えます。
情報資産ごとに、機密性、完全性、可用性への影響を見て、リスクの大きさを判断します。

初心者担当者は、評価基準を複雑にしすぎないことが大切です。
点数化する場合でも、影響度、発生可能性、現在の対策をシンプルに整理し、なぜ高リスクと判断したのかを説明できるようにしましょう。

管理策と社内ルールを決める

リスクアセスメントでリスクを評価したら、必要な管理策と社内ルールを決めます。
管理策とは、リスクを下げるために行う具体的な対策です。
アクセス権限管理、パスワードルール、バックアップ、ウイルス対策、クラウド利用ルール、委託先管理、教育、インシデント対応などが含まれます。

ISO27001では、附属書Aの管理策も参考にしながら、自社に必要な対策を選びます。
ただし、すべての管理策を形式的に導入すればよいわけではありません。
自社のリスク、業務、規模、既存対策に合わせて、必要なものを選び、適用宣言書などで整理します。

初心者担当者は、ルールを作りすぎないことも大切です。
現場で守れない複雑なルールは、審査前だけの文書になりがちです。
実際の業務で守れる内容に落とし込み、教育や運用記録につなげましょう。

ISO27001で必要になりやすい文書・記録

ISO27001取得では、文書や記録が必要になります。
ただし、書類を大量に作ることが目的ではありません。
自社がどのようなISMSを構築し、どのように運用しているかを説明するために、必要な文書と記録を整えます。

必要になりやすい文書には、情報セキュリティ方針、適用範囲、情報資産台帳、リスクアセスメント表、リスク対応計画、適用宣言書、情報セキュリティ規程、アクセス管理手順、インシデント対応手順、委託先管理手順などがあります。

記録には、教育記録、アクセス権限棚卸し記録、バックアップ記録、委託先評価記録、内部監査記録、マネジメントレビュー記録、是正処置記録などがあります。
審査では、文書があるかだけでなく、実際に運用した記録があるかが確認されます。

従業員教育と運用を始める

ISO27001では、ルールや文書を作るだけでなく、従業員へ周知し、日常業務で運用する必要があります。
情報セキュリティ方針、パスワードルール、クラウド利用、持ち出し、誤送信時の対応、インシデント報告などを従業員が理解していなければ、仕組みは機能しません。

教育は、入社時教育、年次教育、対象部署別教育、委託先や協力会社への周知など、自社の状況に合わせて行います。
教育記録には、実施日、対象者、内容、講師、受講者、理解度確認などを残すと審査で説明しやすくなります。

運用では、アクセス権限の申請・承認、退職者アカウント削除、バックアップ確認、委託先評価、インシデント報告、規程改訂などを実際に行い、記録を残します。
審査では、作ったルールが現場で動いているかが見られます。

内部監査とマネジメントレビューを実施する

認証審査を受ける前に、内部監査とマネジメントレビューを実施します。
内部監査は、自社のISMSがISO27001や社内ルールに適合し、有効に運用されているかを確認する活動です。
マネジメントレビューは、経営層がISMSの運用状況を確認し、改善や資源配分を判断する活動です。

内部監査では、情報資産台帳、リスクアセスメント、規程、教育記録、アクセス権限、委託先管理、インシデント対応などを確認します。
不備があれば、審査前に是正します。
マネジメントレビューでは、内部監査結果、リスクの変化、インシデント、教育、目標、改善状況などを経営層へ報告します。

初心者担当者は、内部監査とマネジメントレビューを審査直前の形式的な作業にしないことが大切です。
ここで課題を見つけて改善しておくと、二次審査での説明もしやすくなります。

審査機関への申請・契約はいつ行う？

審査機関への申請や契約は、ISMS構築がすべて終わってから考えるのではなく、取得希望時期から逆算して早めに検討することが大切です。
審査機関によって見積もり、契約、日程調整、審査員の手配に必要な期間が異なります。

申請前には、適用範囲、対象人数、拠点数、対象業務、希望審査時期を整理しておくと見積もりが取りやすくなります。
複数の認証機関に相談し、審査費用、審査日数、対応スピード、実績、認定範囲などを比較することもあります。

注意したいのは、審査機関はコンサル会社とは役割が違うことです。
審査機関は審査を行う立場であり、自社の仕組みを代わりに作ってくれるわけではありません。
準備支援が必要な場合は、別途コンサル会社への相談を検討します。

一次審査・二次審査では何を見られる？

ISO27001の認証審査は、一般的に一次審査と二次審査に分かれます。
一次審査では、文書や準備状況を中心に、二次審査では現場での運用状況を中心に確認されます。

一次審査では、適用範囲、情報セキュリティ方針、情報資産台帳、リスクアセスメント、適用宣言書、規程類、内部監査やマネジメントレビューの計画・実施状況などが確認されます。
二次審査では、実際にルールが運用されているか、従業員が理解しているか、アクセス権限やバックアップ、委託先管理、教育、インシデント対応などの記録があるかを見られます。

初心者担当者は、審査で聞かれそうなことを想定し、資料の保管場所と説明できる担当者を整理しておきましょう。
審査員に対して、完璧な専門用語で説明するより、自社の業務に沿って何を管理しているかを説明できることが重要です。

指摘や不適合が出た場合の対応

審査で指摘や不適合が出た場合でも、それで取得が不可能になるわけではありません。
重要なのは、指摘内容を正しく理解し、原因を確認し、必要な是正処置を行い、証拠を提出することです。

不適合が出た場合は、まず何が要求事項や自社ルールに合っていなかったのかを整理します。
次に、なぜ起きたのかを分析します。
単なる記録漏れなのか、ルールが現場に合っていないのか、担当者教育が不足していたのかによって、対策は変わります。

是正処置では、単に不足記録を作るだけでなく、再発防止まで考えることが大切です。
期限内に是正報告を行い、必要な証拠を提出すれば、認証登録へ進める場合があります。

ISO27001取得にかかる費用感

ISO27001取得にかかる費用は、会社規模、対象範囲、対象人数、拠点数、審査機関、コンサル支援の範囲、既存のセキュリティ対策状況によって変わります。
そのため、金額だけを一律に断定するのではなく、費用の内訳と変動要因を理解することが大切です。

費用は主に、審査費用、コンサル費用、社内人件費、教育費用、ツール・設備投資に分けられます。
審査費用は認証機関へ支払う費用で、対象範囲や人数によって変わります。
コンサル費用は、支援内容、訪問回数、書類作成支援、内部監査支援、審査対応の有無によって変わります。

見落としやすいのが社内人件費です。
自社取得はコンサル費用を抑えられる一方で、担当者や関係部署の工数が大きくなる場合があります。
経営層へ説明するときは、外部費用だけでなく社内工数も含めて考えましょう。

自社取得とコンサル依頼の違い

ISO27001取得には、自社で進める方法と、コンサル会社へ支援を依頼する方法があります。
どちらが絶対に良いというものではなく、自社の知識、経験、社内工数、取得期限、予算、求める運用レベルによって選ぶことが大切です。

自社取得は、社内にノウハウが残りやすく、外部費用を抑えられる可能性があります。
一方で、規格解釈、リスクアセスメント、文書作成、内部監査、審査対応に時間がかかり、担当者の負担が大きくなることがあります。

コンサル依頼は、全体スケジュールを整理しやすく、実務に合った文書や記録を整えやすいメリットがあります。
ただし、支援範囲を確認せずに依頼すると、テンプレート中心で自社に合わない仕組みになることもあります。
自社がどこまで行い、どこを支援してもらうかを明確にしましょう。

初心者担当者が最初の1か月でやること

ISO27001取得を任された初心者担当者は、最初の1か月で全体の前提を整理することに集中しましょう。
いきなり情報資産台帳や規程を作り始めるより、取得目的、期限、対象範囲、関係部署、既存資料、相談先を整理するほうが、後の作業が進めやすくなります。

最初に、上司や経営層へ取得目的と希望時期を確認します。
次に、対象部署や対象業務を仮決めし、関係部署を洗い出します。
そのうえで、既存の情報管理ルール、利用システム、委託先、過去のセキュリティ事故、教育資料などを集めます。

並行して、審査機関やコンサル会社から情報収集を行い、期間や費用感を把握します。
社内説明資料を作る場合は、目的、流れ、期間、費用内訳、社内協力が必要な作業を簡潔にまとめると話が進みやすくなります。

ISO27001取得でよくある失敗例

ISO27001取得でよくある失敗は、目的が曖昧なまま進めることです。
なぜ取得するのかが明確でないと、適用範囲、スケジュール、費用、社内体制の判断がぶれます。
また、IT部門だけで進めてしまい、営業、人事、総務、開発、現場部門の情報管理が後から問題になることもあります。

もう一つ多い失敗は、書類を作りすぎることです。
審査に通るために規程や手順書を大量に作っても、現場が読まない、守れない、更新できない状態では維持運用で苦労します。
ISO27001は取得後も維持審査や更新審査があるため、運用できる仕組みにすることが重要です。

申請時期が遅い、審査前に内部監査が形だけになる、リスクアセスメントが自社の実態と合っていない、教育記録が不足しているといった失敗もあります。
早めに全体像を押さえ、無理のない計画を立てましょう。

取得後に必要な維持運用

ISO27001は取得して終わりではありません。
認証取得後も、毎年の維持審査、3年ごとの更新審査、情報資産やリスクの見直し、教育、内部監査、マネジメントレビュー、インシデント対応、文書改訂などが必要です。

取得後に運用が止まると、次の維持審査で記録不足やルールの形骸化が見つかる可能性があります。
特に、組織変更、システム変更、クラウドサービス追加、委託先変更、退職者・異動者、インシデント発生時には、情報資産やリスク、管理策を見直す必要があります。

取得準備の段階から、維持運用を見据えた仕組みにすることが大切です。
担当者だけが分かる複雑な文書ではなく、関係部署が継続して運用できるルールと記録にしておきましょう。

自社だけで取得準備を進めるのが難しい場合の対応

ISO27001取得準備は、自社だけで進めることもできます。
しかし、初めての場合は、取得目的の整理、適用範囲の決定、情報資産台帳、リスクアセスメント、適用宣言書、規程作成、教育、内部監査、審査対応などで迷いやすくなります。

自社だけで難しい場合は、ISO27001に強いコンサル会社へ相談する方法があります。
コンサル会社に相談する場合は、スケジュール作成、現状調査、文書作成、教育、内部監査、マネジメントレビュー、審査機関紹介、審査対応、維持運用まで、どこまで支援してもらえるかを確認しましょう。

ISOトラストのように、月額3万円から相談しやすい低額のISOコンサル会社もあります。
低額だから支援が薄いということではなく、広告に大きく頼らない集客・運営の仕組みによって、現状調査、計画策定、書類作成、内部監査、マネジメントレビュー、審査機関紹介、審査対応、維持運用サポートまで含めて相談しやすい会社もあります。
支援範囲と自社で行う作業の分担を確認して選ぶことが大切です。

まとめ：ISO27001取得は、目的・範囲・体制を決めるところから始めよう

ISO27001取得は、規格文を読み始める前に、取得目的、希望時期、適用範囲、社内体制、スケジュール、予算を整理することが大切です。
取引先対応なのか、入札条件なのか、社内改善なのかによって、進め方や優先順位は変わります。

取得までの流れは、準備、ISMS構築、運用、内部監査、マネジメントレビュー、審査機関への申請、一次審査、二次審査、是正対応、認証登録という順で考えます。
情報資産の洗い出し、リスクアセスメント、管理策、規程、教育、運用記録を自社の実態に合わせて整えましょう。

初心者担当者は、最初の1か月で目的、期限、対象範囲、関係部署、既存資料、相談先を整理すると、取得準備を進めやすくなります。
ISO27001は認証取得がゴールではなく、取得後も情報セキュリティを社内で運用し続ける仕組みづくりだと考えて進めていきましょう。

よくある質問