ISMS（ISO 27001）認証取得の進め方：情シス主導のスケジュールと文書化

ISMS（情報セキュリティマネジメントシステム）とは、組織が情報資産のリスクを継続的に評価し、対策を計画・実施・点検・改善する仕組みのことです。ISO/IEC 27001はその要求事項を定めた国際規格で、「ISMS認証を取る」とは、自社の仕組みが27001の要求を満たしていることを第三者の認証機関に審査で確認してもらい、登録されることを指します。

取得のきっかけは、取引先のセキュリティチェックシートや入札要件に「ISMS認証」の欄が並ぶことがほとんどで、営業から情シスに話が降りてきます。段取りを間違えると、規程だけが増えて運用が伴わず、1年で終わるはずが2年かかります。ここでは、どこで工数と費用が決まるのかを軸に、体制・適用範囲・リスクアセスメント・文書・内部監査・審査の順で、情シスが主導するときの実務をまとめます。

ISMSとISO/IEC 27001の関係を押さえる

ISO/IEC 27001は「何をどう管理する仕組みを持つべきか」を定めた規格で、執筆時点の現行版は2022年版（対応するJISはJIS Q 27001:2023）です。本文は第4章「組織の状況」から第10章「改善」までの7つの章で構成され、これが審査で問われる要求事項です。附属書Aには93の管理策が「組織的」「人的」「物理的」「技術的」の4テーマに分類されて並んでおり、自社に必要な管理策を選び、選ばなかった理由も含めて「適用宣言書（SoA）」に書きます。2022年版で追加された管理策には、クラウドサービスのセキュリティ、構成管理、情報の削除、データ漏えい防止、Webフィルタリング、セキュアコーディングなど、情シスの守備範囲そのものが多く含まれています。

日本では、認定機関である情報マネジメントシステム認定センター（ISMS-AC）が認証機関を認定し、企業はその認証機関と契約して審査を受けます。どの認証機関を選んでも認証の効力は同じで、違いは審査員の得意分野、日程の柔軟さ、費用です。クラウドサービスを提供する会社なら、27001に加えてISO/IEC 27017（クラウドセキュリティ）のアドオン認証を同時に取るかどうかも、この段階で検討します。

Pマークとの違い

「Pマークがあるのに、さらにISMSが必要ですか」という質問は必ず出ます。両者は守る対象と範囲の切り方が違うため、取引先の要求次第では両方必要になります。

判断の目安は、要求してくる相手が「何を預けるか」です。預けるのが個人情報ならPマーク、システムやデータ全般ならISMSが求められます。開発受託とBtoCサービスの両方を持つ会社が両方取ることは珍しくありません。

取得するかどうかの判断基準

取得のメリットは、取引先チェックシートの大半を「認証取得済み」の一言で通せること、入札の参加条件を満たせること、そして社内に「年1回は必ずリスクを見直す」強制力ができることです。費用は審査費用と登録料だけでなく、コンサルティング費、規程作成と教育の内部工数、管理策を実装するためのツール（MDM、ログ管理、バックアップ）にも発生し、内部工数が最も大きくなります。推進者は取得期間中、業務時間の3〜4割をISMSに取られる前提で計画してください。

判断ルールとしておすすめするのは次の3つで、1つでも当てはまれば取得に踏み切る価値があります。ISMSの有無を条件にする取引先や入札案件が2件以上ある、受託しているシステムやデータの事故が起きたときの損失が年間の審査・維持費用を明らかに上回る、経営層が自社のリスク管理を回す仕組みを欲しがっている。逆に、要求元が1社だけで、その1社が個別のセキュリティ監査でも納得するなら、認証より先に個別対応で済ませる方が安く、認証を取るのは2社目が現れてからで遅くありません。

営業経由で話が来たら、最初に「相手が求めているのは認証そのものか、チェックシートで特定の管理策が実装されていることか」を確認してください。後者なら、MFAの全社導入やバックアップの改善など個別対策で満たせる場合があり、認証取得の1年を待たずに契約が進みます。認証が本当に必要になった場合も、この個別対策はそのまま管理策の実装として審査で使えます。

体制づくり：推進者・管理責任者・経営層の役割

体制は3層で組みます。推進者（事務局）は情シスのリーダーが務め、スケジュール管理、規程の起草、リスクアセスメントの取りまとめ、認証機関との窓口を担います。情報セキュリティ管理責任者は役員クラスから任命し、方針の承認とマネジメントレビューの主催、部門間の調整を担います。部門担当者は各部門から1名ずつ出し、自部門の資産目録の作成とリスクの洗い出し、規程の周知を担います。

経営層の関与は形式ではなく審査項目です。審査員は経営層に「方針を承認したか」「必要な資源を割り当てたか」「マネジメントレビューで何を決めたか」を直接インタビューします。キックオフでの宣言、方針への署名、マネジメントレビューへの出席の3つは、代理不可の役割として最初に日程を押さえてください。コンサルタントを使うかどうかは、社内に規格を読んだ経験者がいるかで決めます。いなければ、規程のたたき台と内部監査の代行に絞って依頼し、リスクアセスメントと運用は自社でやる方が、取得後の維持が楽になります。

スケジュールの目安：12か月版と6か月に縮める条件

この表で動かせないのは「運用開始から二次審査まで数か月空ける」点です。二次審査では記録の実物を見られるため、運用が始まって間もないと証拠が足りません。何か月分が必要かは認証機関の方針で異なるので、見積依頼のときに確認しておきます。6か月に縮められるのは、従業員が50名程度以下で拠点が1つ、MFA・ログ・バックアップ・端末管理がすでに実装済み、規程のたたき台をコンサルかテンプレートで用意できる、という3条件が揃う場合です。1つでも欠けるなら12か月で計画した方が、結果として早く終わります。

適用範囲の決め方が審査日数と費用を決める

認証機関はISO/IEC 27006に基づき、適用範囲内で働く人数と拠点数を主な変数として審査日数を算出します。審査費用はこの日数に審査員の単価を掛けたものなので、範囲に含める人数と拠点を絞るほど費用は下がります。全社を範囲にすると、工場や海外拠点、要求元と無関係の事業部まで審査対象になり、各拠点の入退室管理や現地担当者へのインタビューが発生します。最初の取得は「要求元の取引先に関係する事業・サービス」に絞り、拡大は更新審査のタイミングで行うのが定石です。

範囲は「組織、拠点、業務、システム」の4要素で書きます。書き方の例は「〇〇株式会社 △△事業部における、□□サービスの企画・開発・運用・保守に関する情報セキュリティマネジメントシステム（本社および名古屋開発センター）」のような形です。範囲外にする部門やシステムについては、その理由（要求元の業務に関与しない、独立したネットワークである等）を範囲定義書に書きます。理由が書けない除外は審査で指摘されます。人事や経理のような全社共通部門は、範囲内の業務に関わる限りで対象になるため、「共通部門は範囲内の業務に提供する機能の範囲で適用」と明記しておくと、審査員との認識合わせが早く済みます。

リスクアセスメントの進め方と記入例

2022年版は資産ベースのアセスメントを必須にしていないため、粒度は「資産グループ×業務」で構いません。1台ごとにリスクを評価すると数百行になり、更新されなくなります。手順は、資産目録から評価対象を決める、想定される脅威と現在の対策を書く、影響度と発生可能性を3段階で採点して掛け合わせる、受容基準を超えたものに対応（低減・回避・移転・保有）を決める、対応計画とSoAに反映する、の5段階です。資産目録の作り方はIT資産管理の始め方にまとめています。

上の表は記入例で、影響・可能性とも1〜3、リスク値5以上を「対応必須」、4以下を「保有可」とする受容基準を置いています。受容基準は先に文書で決め、後から個別の都合で動かさないことが審査での信頼につながります。対応で「低減」を選んだ項目は、そのまま管理策の実装タスクになり、MFAの全社導入なら多要素認証（MFA）を全社導入する手順の内容がそのまま証跡になります。

必要な文書の一覧：方針・規程・手順・記録

規格が「文書化した情報」として明示的に要求するものと、附属書Aの管理策を運用するために自社で決める規程・記録を分けて用意します。下表の「規格の要求」は27001:2022の箇条番号です。

規程は10本前後、1本あたり5ページ以内に収めることを強くおすすめします。理由は単純で、規程が多いほど実態との乖離が生まれ、審査で「規程にはこう書いてあるが実際は行われていない」という不適合になるからです。コンサルタントから50本のテンプレートを渡されても、自社の業務に存在しない手順は制定しないでください。記録は「すでにやっている作業の証跡を残す」形にし、記録のためだけの作業を増やさないことが維持のコツです。たとえば脆弱性対応なら、脆弱性管理の始め方で扱うスキャン結果とトリアージ記録がそのまま9.1の監視・測定記録になります。

内部監査とマネジメントレビュー

内部監査は一次審査の1〜2か月前に実施します。監査員は自分の業務を監査できないため、情シスが推進者なら総務や品質保証部門の担当者に規格の読み合わせをして監査員を務めてもらうか、外部に依頼します。ひとり情シスの会社では外部依頼が現実的です。チェックリストは本文の箇条4〜10とSoAで「適用」にした管理策を並べ、各項目について「規格の要求」「自社規程の記述」「実態（誰に何を見せてもらったか）」の3点を記録します。指摘は不適合と改善の機会に分け、不適合には原因分析と是正処置の期限を付けて、審査前に完了させます。

マネジメントレビューは内部監査の後、一次審査の前に開きます。規格が定めるインプット（前回の決定事項の状況、内外の課題の変化、利害関係者のニーズの変化、不適合と是正処置、監視・測定と監査の結果、目的の達成状況、リスクアセスメントの結果と対応計画の状況、改善の機会）を議事録の見出しにそのまま使うと、審査で「インプットが揃っているか」を確認されたときに探す手間がありません。アウトプットは「来期の目的」「資源（予算・人員）の決定」「改善の決定」の3つを、決定者と期限つきで書きます。

審査（一次・二次）の流れと費用の考え方

一次審査は文書審査で、方針・範囲・リスクアセスメント・SoA・規程が規格の要求を満たしているか、二次審査を受けられる状態かを確認します。ここで指摘された事項は二次審査までに直します。二次審査は実地審査で、審査員が現場を歩き、記録を見て、担当者に「この手順は誰がいつやっていますか」と聞きます。指摘は重大な不適合（要求事項の欠落や運用の未実施）と軽微な不適合（手順の一部漏れ）に分かれ、重大なものは是正が確認されるまで登録されません。

費用は、初回審査費用（審査日数×単価）、登録料、毎年の維持審査費用、3年ごとの更新審査費用、コンサルティング費用、管理策の実装に必要なツール費用、そして内部工数で構成されます。金額は範囲内の人数・拠点数・認証機関で大きく変わるため、認証機関2〜3社に同じ範囲定義書で見積を依頼し、審査日数の根拠を比べてください。見積で確認すべきは、審査日数の算出根拠、維持審査の日数、リモート審査の可否、審査員の業種経験の4点です。

取得後の維持：年間カレンダーに落とす

登録後は毎年の維持審査と3年目の更新審査が続きます。「審査前だけ頑張る」運用を防ぐには、年間カレンダーに固定行事として置くのが確実です。目安は、4月に情報資産目録とリスクアセスメントの見直し、6月に全社教育、四半期ごとにアクセス権レビューとバックアップ復元テスト、9月に内部監査、10月にマネジメントレビュー、11月に維持審査、という配置です。事業の変化（新サービス、拠点追加、大きなSaaS導入）があったときはリスクアセスメントを臨時で追加し、SoAを更新します。

推進者が退職すると維持が止まる会社は多いです。取得直後に、規程の改訂履歴、認証機関との連絡先、年間カレンダー、審査で見せた記録の保管場所を1つの引き継ぎ資料にまとめ、管理責任者と共有しておいてください。取得時に作った文書の「なぜそう決めたか」は、半年で本人も忘れます。

つまずきポイント：取得プロジェクトでよくある失敗

• 範囲を全社にして費用と工数が倍になる：要求元は開発部門の顧客なのに全社を範囲にし、工場の入退室管理や海外拠点の現地審査まで対象になった例です。初回は要求元に関係する事業に絞り、拡大は更新審査で行います。
• テンプレート規程をそのまま制定して実態と乖離する：存在しない「媒体持ち出し申請書」が規程に書かれていて、審査で「運用されていない」と不適合になります。制定前に各規程を担当部門に読ませ、やっていない手順は削るか、やる手順に書き換えます。
• 運用開始が遅く二次審査で証跡が足りない：規程の完成度にこだわって10か月目に運用開始し、審査で「ログレビューの記録が2週間分しかない」と指摘される例です。規程は8割の完成度で6か月目に運用を始め、記録を取りながら直します。
• 経営層のインタビューで答えられない：マネジメントレビューが推進者の報告会になっていて、審査員の「何を決めましたか」に役員が答えられないケースです。議事録に決定事項と決定者を残し、審査の1週間前に役員へ内容を再共有します。

よくある質問

ISMS取得にかかる期間は？

キックオフから登録まで6〜12か月が一般的な目安です。期間を決める変数は、適用範囲の人数と拠点数、MFA・ログ・バックアップなどの管理策がすでに実装されているか、規程のたたき台があるか、認証機関の審査日程の空きの4つです。運用記録を数か月分ためる期間は短縮できないため、そこから逆算して運用開始日を先に決めます。

費用はどのくらい？

審査費用・登録料・年次の維持審査・3年ごとの更新審査・コンサルティング・ツール・内部工数の合計で考えます。審査費用は範囲内の人数と拠点数から算出される審査日数で決まるため、同じ範囲定義書で認証機関2〜3社から見積を取り、日数の根拠を比較してください。最も大きいのは内部工数で、推進者の業務時間の3〜4割が取得期間中に必要になります。

小さな会社でも取得できますか？

できます。人数が少ないほど審査日数は短く、費用も下がります。注意点は役割の兼任で、内部監査員は自分の業務を監査できないため、ひとり情シスの会社では内部監査だけ外部に依頼するのが現実的です。規程は10本前後に絞り、記録は既存の作業の証跡を残す形にすれば、少人数でも維持できます。

まとめ

ISMS取得で工数と費用を決めるのは、適用範囲の切り方と、規程の本数と、運用開始のタイミングの3つです。範囲は要求元に関係する事業に絞り、規程は10本前後で実態に合わせ、6か月目には記録を取り始める。この3つを守れば、審査は「やっていることを見せる場」になり、指摘は軽微なもので収まります。取得後は年間カレンダーに固定して、推進者が代わっても回る形にしておいてください。

次に読む

• IT資産管理の始め方：台帳の作り方とOSSツール（Snipe-IT）での運用手順
• 多要素認証（MFA）を全社導入する手順：Microsoft 365 / Google Workspaceの設定とパスキー移行
• ゼロトラストとは？情シスが最初の90日で取り組む実践ステップ