ISO27001とは？ISMSとの違いや取得するメリット・必要な準備とやるべきことを初心者向けにわかりやすく解説

ISO27001とは？情報セキュリティを社内で管理するための国際規格

ISO27001とは、組織が情報資産を守るための情報セキュリティマネジメントシステム、ISMSを構築・運用するための国際規格です。
正式にはISO/IEC 27001と表記されることもあります。
日本ではJIS Q 27001としても発行されています。

情報セキュリティというと、パソコンのウイルス対策、ファイアウォール、パスワード管理などのIT対策をイメージする方が多いかもしれません。
しかしISO27001で求められるのは、IT部門だけの対策ではありません。
顧客情報、契約書、見積書、従業員情報、営業資料、設計データ、クラウド上のファイル、紙の書類、ノウハウなど、会社が守るべき情報資産を洗い出し、リスクを評価し、必要なルールと管理策を決め、継続的に改善する仕組みを作ります。

つまりISO27001は、情報漏えいを防ぐための単発の対策ではなく、会社全体で情報セキュリティを管理し続けるための仕組みです。
取引先や顧客に対して、自社が情報セキュリティを一定の基準に沿って管理していることを示す手段にもなります。

イソログに寄せられるリアルな声：ISO27001で初心者が迷いやすいこと

ISO27001は、初めて調べる担当者にとって分かりにくい言葉が多い規格です。
ISMSとISO27001の違い、Pマークとの違い、情報資産やリスクアセスメントの意味、審査までに何を準備すればよいのかなど、最初の段階でつまずきやすいポイントがたくさんあります。

特に多いのは、取引先から『ISO27001を取得していますか』と聞かれたものの、自社に必要なのか、いつまでに何をすればよいのか分からないという相談です。
また、IT部門だけで進めればよいと思っていたら、人事、総務、営業、開発、管理部門など、さまざまな部署の情報管理が関係すると分かり、範囲の広さに驚くケースもあります。

ここでは、イソログに寄せられる相談内容をもとに、ISO27001初心者が迷いやすい場面を整理します。

イソログに寄せられる相談でも、ISO27001では同じような悩みが多くあります。

ISO27001とISMSの違い

ISO27001とISMSは混同されやすい言葉ですが、意味は少し違います。
ISMSはInformation Security Management Systemの略で、情報セキュリティを管理する仕組みそのものを指します。
一方、ISO27001は、そのISMSをどのように構築・運用すべきかを定めた国際規格です。

たとえるなら、ISMSは会社の情報セキュリティを守るための仕組みであり、ISO27001はその仕組みが適切かどうかを見るための共通基準です。
ISO27001認証は、第三者の審査機関がその共通基準に沿って確認し、一定の要求事項を満たしていると認める制度です。

実務では『ISMS認証』『ISO27001認証』のように近い意味で使われることもあります。
初心者の方は、まずISMSは仕組み、ISO27001は規格、認証は審査を受けて認められること、と整理しておくと理解しやすくなります。

ISO27001とPマーク・ISO27017・その他の情報セキュリティ認証との違い

ISO27001を調べると、Pマーク、ISO27017、ISMSクラウドセキュリティ認証、SOC2など、似たような認証や基準も出てきます。
どれが優れているかというより、自社が何を守り、誰に説明する必要があるかで選ぶことが大切です。

Pマークは、主に個人情報保護に重点を置いた日本国内の制度です。
ISO27001は、個人情報だけでなく、顧客情報、技術情報、契約情報、営業資料、システム情報など、情報資産全般を対象にします。
ISO27017は、クラウドサービスに関する情報セキュリティ管理策の規格であり、クラウドサービス提供者や利用者で求められることがあります。

まずは、自社の目的を整理しましょう。
取引先からISO27001を求められているのか、個人情報管理を強化したいのか、クラウドサービスの信頼性を示したいのかによって、優先する認証は変わります。

ISO27001で守る情報資産とは？

ISO27001で重要になるのが情報資産です。
情報資産とは、会社にとって価値があり、守る必要がある情報や情報を扱う仕組みのことです。
電子データだけでなく、紙の書類、人が持つノウハウ、システム、端末、クラウドサービス、アカウント情報なども含めて考えます。

たとえば、顧客情報、従業員情報、契約書、見積書、請求書、設計図、ソースコード、営業リスト、経営資料、取引先とのメール、クラウドストレージ上のファイル、紙の申込書、業務マニュアル、ID・パスワードなどが情報資産になります。

初心者がつまずきやすいのは、情報資産を細かくしすぎることです。
最初から全ファイルを1つずつ台帳化しようとすると運用できません。
まずは、部署ごと、業務ごと、システムごとに、重要な情報資産を大きな単位で整理することから始めましょう。

情報セキュリティの3要素：機密性・完全性・可用性

ISO27001を理解するうえで、情報セキュリティの3要素である機密性、完全性、可用性を押さえておくと分かりやすくなります。
英語の頭文字からCIAと呼ばれることもあります。

機密性は、情報を見てよい人だけが見られる状態にすることです。
顧客情報や契約情報が関係ない人に見られないよう、アクセス権限や持ち出しルールを決めます。
完全性は、情報が正確で改ざんや誤りがない状態を保つことです。
見積金額や設計データが勝手に変更されないよう、承認や変更履歴を管理します。
可用性は、必要なときに情報を使える状態にすることです。
サーバー障害やクラウド停止に備えて、バックアップや復旧手順を整えます。

ISO27001では、情報を漏らさないことだけでなく、正しい状態で保つこと、必要なときに使えることも重要です。

ISO27001を取得するメリット

ISO27001を取得するメリットは、単に認証マークを使えることだけではありません。
取引先や顧客に対して、情報セキュリティ管理体制を一定の基準に沿って整えていることを説明しやすくなります。

特に、IT企業、SaaS企業、システム開発会社、BPO、コールセンター、人材紹介、士業、医療・介護、製造業の設計部門など、顧客情報や機密情報を扱う企業では、取引先からセキュリティ体制を確認される場面が増えています。
ISO27001があることで、営業提案、入札、委託先審査、契約前のセキュリティチェックで説明しやすくなります。

また、社内にとってもメリットがあります。
情報資産やアクセス権限が整理され、退職者アカウント、クラウド共有、紙文書の保管、バックアップ、インシデント対応などのルールが明確になります。
結果として、属人化や部署ごとのバラつきを減らし、情報漏えいリスクを下げることにつながります。

ISO27001を取得しない場合に起こりやすい不安・課題

ISO27001はすべての会社に必ず必要というわけではありません。
ただし、顧客情報や機密情報を扱っている会社、取引先からセキュリティ体制の説明を求められる会社では、認証がないことで説明に困る場面が出てくることがあります。

たとえば、取引先からセキュリティチェックシートを求められたときに、アクセス権限、バックアップ、委託先管理、退職者アカウント、インシデント対応について社内ルールを説明できない場合があります。
また、クラウドサービスを部署ごとに自由に使っており、誰がどの情報をどこに保存しているか分からない状態もリスクになります。

ISO27001を取得するかどうかは経営判断ですが、取得しない場合でも、情報資産、社内ルール、教育、事故時対応を整理しておくことは重要です。
認証を取る前段階として、自社の情報管理の弱点を把握するだけでも価値があります。

ISO27001が必要になりやすい企業・業種

ISO27001は、業種を問わず取得できます。
その中でも、顧客情報、機密情報、技術情報、個人情報、システム情報を多く扱う会社では必要性が高くなりやすいです。

特に、システム開発会社、SaaS企業、クラウドサービス事業者、BPO、コールセンター、人材紹介会社、士業、医療・介護関連、EC事業者、製造業の設計部門、研究開発部門、自治体や大手企業と取引する会社では、取引先からISO27001やISMS認証の取得を求められることがあります。

ただし、業種名だけで必要性が決まるわけではありません。
自社がどのような情報を扱い、誰からセキュリティ説明を求められ、情報漏えい時にどのような影響があるかで判断しましょう。

ISO27001取得までの大まかな流れ

ISO27001を取得するには、ISMSを構築し、一定期間運用し、内部監査やマネジメントレビューを行ったうえで、認証機関の審査を受けます。
取得までの期間は会社規模や対象範囲、準備状況によって変わりますが、初心者担当者は全体の流れを先に把握しておくことが大切です。

まず、取得目的と適用範囲を決めます。
次に、情報資産を洗い出し、リスクアセスメントを行い、必要な管理策を決めます。
そのうえで、情報セキュリティ方針や各種規程を整備し、従業員教育、運用記録、内部監査、マネジメントレビューを実施します。

最後に、認証機関による審査を受けます。
一般的には、文書や運用状況を確認する一次審査、現場での運用を確認する二次審査を経て、問題がなければ認証登録されます。

ISO27001取得に必要な準備

ISO27001取得では、書類を作る前に準備すべきことがあります。
まず必要なのは、経営層の承認と目的の共有です。
ISO27001はIT部門だけでは完結しないため、経営層、管理部門、現場部門が協力できる体制を作る必要があります。

次に、対象範囲、担当者、スケジュール、予算、既存ルール、利用システム、クラウドサービス、委託先、情報資産の大まかな把握を行います。
対象範囲が曖昧なまま進めると、情報資産台帳や規程の作成範囲が広がりすぎて、途中で負担が大きくなります。

初心者担当者は、完璧な資料を最初から作ろうとするより、社内で確認すべき情報を一覧にして、関係部署に聞くところから始めると進めやすくなります。

初心者担当者が最初にやるべきこと

ISO27001の担当になったばかりの方は、いきなり規格の要求事項を細かく読むよりも、まず社内の前提を整理しましょう。
規格の理解も大切ですが、取得目的や対象範囲が曖昧なままでは、どの資料を作ればよいのか決められません。

最初にやるべきことは、取得目的を確認することです。
取引先から求められているのか、入札条件なのか、社内の情報管理を改善したいのかで、スケジュールや対象範囲が変わります。
次に、対象にする部署や業務を仮決めし、どのような情報資産があるかをざっくり把握します。

その後、関係部署を洗い出し、既存の情報セキュリティルールや利用システムを確認します。
必要に応じて、認証機関やコンサル会社から情報収集し、取得までの期間や費用感を確認しましょう。

ISO27001で社内がやるべきこと

ISO27001では、認証取得のために社内でさまざまな活動を行います。
中心になるのは、情報資産管理、リスクアセスメント、管理策の決定、社内ルールの整備、教育、内部監査、マネジメントレビュー、改善です。

情報資産管理では、守るべき情報を洗い出し、重要度や管理方法を整理します。
リスクアセスメントでは、情報漏えい、誤送信、紛失、不正アクセス、改ざん、システム停止などのリスクを評価します。
管理策では、アクセス権限、パスワード、バックアップ、持ち出し、クラウド利用、委託先管理、インシデント対応などのルールを決めます。

重要なのは、ルールを作って終わりにしないことです。
従業員へ教育し、日常業務で運用し、内部監査で確認し、問題があれば改善する流れが必要です。

ISO27001取得にかかる期間と費用感

ISO27001取得にかかる期間と費用は、会社規模、対象範囲、拠点数、従業員数、既存ルールの整備状況、コンサル支援の有無によって変わります。
そのため、すべての会社に同じ金額や期間を当てはめることはできません。

期間は、準備状況が整っている会社であれば比較的短く進むこともありますが、初めて取り組む場合は、数か月から1年程度を見込むケースが多くなります。
情報資産の洗い出し、リスクアセスメント、規程作成、教育、運用、内部監査、マネジメントレビュー、審査まで行う必要があるためです。

費用は、主に審査費用、コンサル費用、社内工数、ツール・設備投資に分かれます。
審査費用は認証機関や対象人数・拠点数によって変わり、コンサル費用は支援範囲によって変わります。
正確な費用を知るには、対象範囲を整理したうえで見積もりを取ることが大切です。

ISO27001を取得するときによくある失敗例

ISO27001取得でよくある失敗は、IT部門だけで進めてしまうことです。
情報セキュリティはIT対策だけではなく、人事情報、契約書、営業資料、紙文書、委託先、教育、事故対応など全社に関係します。
IT部門だけでルールを作っても、現場で運用されない可能性があります。

また、対象範囲を広げすぎる、情報資産台帳を細かくしすぎる、規程を作りすぎる、現場に合わないルールを作る、審査前だけ書類を整えるといった失敗もあります。
ISO27001は取得して終わりではなく、取得後も維持審査や更新審査があるため、運用できる仕組みにすることが重要です。

初心者担当者は、完璧な仕組みを一気に作ろうとするより、対象範囲と重要な情報資産を整理し、実際に守れるルールから整えることを意識しましょう。

審査では何を見られる？

ISO27001の審査では、規程や台帳があるかだけでなく、ISMSが実際に運用されているかが確認されます。
審査員は、適用範囲、情報セキュリティ方針、情報資産、リスクアセスメント、管理策、教育、内部監査、マネジメントレビュー、改善活動などを確認します。

特に見られやすいのは、情報資産とリスクが整理されているか、選んだ管理策に根拠があるか、規程が現場で守られているか、従業員が基本ルールを理解しているか、内部監査やマネジメントレビューを実施しているかです。

初心者担当者は、審査で難しい専門用語をすべて暗記する必要はありません。
ただし、自社が何を守るために、どのようなリスクを見て、どのルールや管理策を選んだのかを説明できるようにしておくことが大切です。

自社だけでISO27001取得を進めるのが難しい場合の対応

ISO27001は自社だけで取得準備を進めることもできます。
ただし、初めて取り組む会社では、適用範囲、情報資産台帳、リスクアセスメント、管理策、規程、教育、内部監査、審査対応など、どこから手をつければよいか迷いやすくなります。

自社だけで難しい場合は、ISO27001に強いコンサル会社へ相談する方法があります。
コンサル会社に相談する場合は、単に書類テンプレートを渡されるだけでなく、自社の業務や情報資産に合わせて、運用できる仕組みを作ってくれるかを確認しましょう。

ISOトラストのように、月額3万円から相談しやすい低額のISOコンサル会社もあります。
低額だから支援が薄いということではなく、広告に大きく頼らない集客・運営の仕組みによって、現状調査、計画策定、書類作成、内部監査、マネジメントレビュー、審査機関紹介、審査対応、維持運用サポートまで含めて相談しやすい会社もあります。
支援範囲と自社でやる作業の分担を確認して選ぶことが大切です。

まとめ：ISO27001は、情報セキュリティを社内で回すための仕組み

ISO27001は、難しい規格名ではなく、会社の情報資産を守るための仕組みを作り、運用し、改善し続けるための国際規格です。
ISMSは情報セキュリティを管理する仕組み、ISO27001はその仕組みを構築・運用するための基準、ISO27001認証は第三者がその仕組みを確認して認める制度と整理すると分かりやすくなります。

取得を検討するときは、まず取得目的、適用範囲、関係部署、情報資産、既存ルール、利用システム、委託先、スケジュール、予算を確認しましょう。
いきなり完璧な規程を作るより、自社が何を守り、どのリスクに対応すべきかを整理することが大切です。

ISO27001は取得して終わりではありません。
教育、運用、内部監査、マネジメントレビュー、改善を継続することで、取引先に説明できる情報セキュリティ体制を整え、社内の情報管理を実際に強くしていくことができます。

よくある質問