ISMS審査機関とは？選ぶときのポイントを解説 

「ISMS審査機関ってなんだろう？」
「ISMS認証取得の審査はどこに頼めばいいの？」

ISMS 認証を取得するには、審査機関の審査に合格する必要があります。審査を受けるためには ISMS 審査機関に依頼をする必要がありますが、国内でも20以上の機関があり、どこに依頼すればいいのか迷ってしまう方も多いです。

そこで本記事では、 ISMS 審査機関とは何か、依頼する審査機関を選ぶ際のポイントを解説します。

ISMS認証審査の審査員へのインタビュー記事もございますので、ぜひご一読ください。

ISMS 審査機関とは？

ISMS 審査機関とは、ISMS 認証取得の条件の1つである審査を行う機関のことです。企業などの組織が構築・運用している ISMS （情報セキュリティマネジメントシステム）が国際規格である『 ISO/IEC 27001』に沿っているか審査します。

ISMS 認証を取得する際は、その審査を依頼する審査機関を事前に選ぶ必要があるのです.

情報マネジメントシステム認定センター（ ISMS-AC ）のサイト上では、ISMS - AC が認定した審査機関が一覧で公開されています。
ISMS 認証機関一覧

ISMS 審査機関を選ぶときのポイント

どの ISMS 審査機関を選ぶかによって、審査の内容や必要な審査費用は変わってきます。
ここからは、ISMS 審査機関を選ぶポイントを解説します。

以下3つの観点で選ぶのがおすすめです。

• 費用は適切かどうか

• ISMS-AC の認定を受けている審査機関かどうか

• 実績のある審査機関かどうか

費用は適切かどうか

ISMS 審査機関によって、審査費用の金額も異なります。

いきなり審査を依頼するのではなく、まずはいくつかの審査機関から見積もりをもらうのがおすすめです。

自社の経済状態や、適正な金額かどうかを検討しながら、審査を依頼する機関を選びましょう。

費用は審査機関や企業の規模、ISMS 認証の適用範囲によって変わります。10名規模の企業だと初回審査費用が40〜70万円程度、100名規模の企業だと初回審査費用が90〜130万円程度が相場とされています。

※上記の審査費用は目安の金額です。実際の審査費用は審査機関から見積もりを取得し、ご確認ください。

信頼できる認定機関の認定を受けている審査機関かどうか

審査機関には、いずれかの認定機関から認定を受けて審査サービスを提供している認証機関と、認定を受けていない機関があります。まずISMS認証における第三者認証を受けるには、認定を受けた認証機関（審査機関）を選ぶことが大前提です。

認定機関には、国内の認定機関と海外の認定機関があります。それぞれの特徴は以下のとおりです。

国内の認定機関（ISMS-AC）から認定を受けた審査機関を利用する場合

• ISMS-ACのシンボルマークが利用できる

• ISMS-AC公式サイトの「ISMS認証取得組織検索」に掲載される

• 国内取引先へのISMS認証の認知・信頼性が得やすい

海外の認定機関（UKAS・ANAB等）から認定を受けた審査機関を利用する場合

• グローバル展開している外資系審査機関を選択できる

• 海外拠点や取引先に対してもスムーズに認証の信頼性を示しやすい

なお、ISMS-ACは国際認定フォーラム（IAF）のMLA（国際相互承認協定）に署名しており、UKAS（英国）やANAB（米国）などの海外認定機関も同様です。これにより、いずれの認定機関から認定を受けた審査機関によるISMS認証も、国際的に同等の信頼性が認められています。

審査機関を選ぶ際は、まず認定を受けた認証機関（審査機関）であることを確認したうえで、どの認定機関の認定を受けているかという観点で、自社のビジネス環境や目的に合った機関を選択しましょう。

【関連記事】ISMS-AC(情報マネジメントシステム認定センター)とは？認定の有無による審査機関の違いもご紹介

実績のある審査機関かどうか

審査機関の実績も、選ぶ際の重要なポイントです。認定を受けた審査機関（認証機関）であることを前提としたうえで、どの程度の審査実績を持っているかを確認しましょう。

実績を見るうえでは、単純な認証件数の多さだけでなく、自社の業種・規模に近い組織の審査経験があるかどうかを確認することが特に重要です。自社と同じ業種や規模帯の審査実績が豊富な機関であれば、業務実態に即した的確な審査が期待でき、審査準備もスムーズに進みやすくなります。

具体的には以下の点を確認するとよいでしょう。

• 総認証件数（登録組織数）の多さ

• 自社と同業種・同規模の組織の審査実績の有無

• 審査員の業種知見・専門性

なお、ISMS-ACの公式サイトの「ISMS認証取得組織検索」を活用すると、各審査機関が認証した組織の情報を確認できるため、実績の裏付けとして参考にすることができます。

【関連記事】：ISMS認証の審査の流れは？具体的なスケジュールや審査期間や費用なども紹介

ISMS認証の審査の準備に必要な期間

ISMS認証の審査に向けて準備を進める際、どれくらいの期間や書類が必要になるのかをあらかじめ把握しておくことが非常に重要です。

ここでは、審査にかかるスケジュールの目安や、提出が求められる各種文書類について詳しく解説します。

審査にかかる期間の目安

ISMS認証を取得するまでには、一般的に着手から数えて約4ヶ月から1年程度の期間がかかると言われています。

審査機関へ申請を行った後、一次審査が実施され、その結果を踏まえて二次審査に進みます。

また、審査で不適合が発見された場合は、それを是正して報告書を提出する期間も必要となります。

そのため、認証が必要な時期から逆算して、余裕を持ったスケジュールで審査機関と調整を進める必要があります。

準備すべき文書類・記録

審査の際には、組織がISMSの基準を満たしていることを証明するため、2種類の準備物が求められます。

1つ目はマニュアルや規程といった文書類であり、情報セキュリティに関する方針やルールが明文化されているかを確認されます。

2つ目は、ルールが実際に運用されていることを示す記録です。

従業員への教育の実施記録や内部監査の報告書などがこれに該当します。

これらを体系的に整理して審査員に提示できるようにしておく必要があります。

ISMS 審査機関への依頼から ISMS 認証取得までの流れ

ISMS 審査機関に審査を依頼し、ISMS 認証を取得するまでは、基本的に以下の流れで進みます。

1. ISMS 審査機関に見積もりを依頼

2. 必要書類を ISMS 審査機関に提出して契約

3. 第一段階審査

4. 第二段階審査

5. ISMS 認証取得（運用開始）

第一段階審査では、第二段階審査に向けて ISMS の運用に必要な文書や記録類が整備されているかが確認・評価されます。

第二段階審査では、ISMS が審査基準である国際規格『 ISO/IEC 27001 』に適合しており、組織の中で有効に機能している（情報セキュリティレベルの向上などに寄与している）かが評価されます。

2つの審査に合格すると、ISMS 認証が付与されます。ISMS 認証を維持するには、1年ごとに行われる「維持審査」と、3年ごとに行われる「更新審査」の合格が必要です。

関連記事：ISMS認証の取得方法や流れ、取得メリット、費用・期間を紹介

ISMS認証の審査の種類・目的

ISMS認証の審査は、一度取得すれば終わりというわけではありません。

認証を継続するためには、定期的な審査を受ける必要があります。

ここでは、新規取得時の審査と、取得後に実施される維持審査や更新審査の違いについて解説します。

新規取得時の初回審査（第一段階・第二段階審査）

新たにISMS認証を取得する際に受けるのが初回審査です。

初回審査は大きく二段階に分かれています。

第一段階審査（一次審査）では、主に文書類が国際規格の要求事項を満たしているかどうかが確認されます。

続く第二段階審査（二次審査）では、実際の現場でルール通りにISMSが運用されているかがチェックされます。

審査の結果、不適合が指摘された場合は、その深刻度によって対応が異なります。

• 重大な不適合（ISMSの有効性を根本的に損なう欠陥）が指摘された場合は、その時点で審査が中断され、是正を行ったうえで再審査を受ける必要があります。

• 軽微な不適合（一部の要求事項を満たしていない状態）が指摘された場合は、是正処置の計画を策定して審査機関に提出し、その計画が承認されれば審査を通過できます。

不適合の種類に応じた対応を適切に完了することで、初めて認証が発行されます。

毎年実施される維持審査（サーベイランス審査）

ISMS認証を取得した後は、毎年1回サーベイランス審査と呼ばれる定期的な維持審査が行われます。

これは、取得後も適切に情報セキュリティマネジメントシステムが運用され、継続的に改善されているかを確認することが目的です。

前回の審査で指摘された事項が改善されているかなどもチェックされます。

この審査に合格することで、認証の継続が認められます。

3年ごとに実施される更新審査（再認証審査）

ISMS認証の有効期限は3年間と定められており、期限を迎える前に再認証のための更新審査を受ける必要があります。

維持審査（サーベイランス審査）が前回審査からの過去1年間の運用状況を確認する審査であるのに対し、更新審査では過去3年間を通じた運用状況が総合的に評価される点が主な違いです。なお、審査の対象範囲（組織・部署・拠点）はいずれも認証のスコープ全体が対象となります。

更新審査に合格することで、新たに3年間有効な認証書が発行されます。維持審査と更新審査それぞれの目的と違いを理解し、計画的に準備を進めることが求められます。

ISMS認証の審査当日の内容

実際の審査当日には、審査員から直接質問を受けるヒアリングの時間が設けられます。

経営層から現場の従業員まで、それぞれの役割に応じた質問がなされるため、ここでは具体的なヒアリングの内容について解説します。

トップインタビュー・部門へのヒアリング

審査当日は、まず経営層に対するトップインタビューが行われ、組織の情報セキュリティに対する方針や目標、経営陣の関与について質問されます。

その後、ISMSの管理責任者に対して、リスクアセスメントの実施状況や内部監査の結果などが確認されます。

さらに、各部門の現場担当者に対してもヒアリングが実施されます。

日常業務の中でセキュリティルールがどのように守られているか、マニュアルを理解しているかといった実態がチェックされます。

審査で不適合になるケース

審査の結果、規格の要求事項を満たしていないと判断されると不適合という評価を受けます。

ここでは、不適合の種類とそれぞれの違い、そして指摘された場合にどのような対応をとるべきかについて詳しく解説します。

重大な不適合・軽微な不適合の違い

不適合には大きく分けて重大な不適合と軽微な不適合の2種類があります。

重大な不適合は、システム全体が機能できない懸念がある場合や、ISMSそのものの機能を損なう致命的な欠陥がある場合に出されます。

一方、軽微な不適合は、部分的なルールの逸脱や記録の記入漏れなど、システム全体には大きな影響を与えない単発的な問題を指します。

不適合の種類によって、その後の対応と認証への影響は以下のとおり異なります。

• 重大な不適合が指摘された場合は、その時点で審査が中断され、認証の登録・更新は一旦保留となります。是正を行ったうえで改めて再審査を受け、問題がないと認められて初めて認証取得・継続が可能になります。

• 軽微な不適合が指摘された場合は、是正処置の計画を策定して審査機関に提出し、その計画が承認されれば審査を通過できます。

ISMS審査の負担を大幅に軽減する運用体制とは

ISMS認証の審査当日は、審査員からのヒアリングや各種文書の確認など、多くの対応が求められます。

しかし、適切な運用体制を構築しておくことで、審査当日の負担を大幅に減らし、スムーズに審査を進行させることが可能です。

ここでは、アナログ管理が引き起こす問題点と、クラウドサービスを活用した効率的な運用方法について解説します。

Excel・Word管理による審査当日のファイル探しの罠

多くの企業では、数十種類にも及ぶExcelやWordファイルでISMSの文書を管理しています。

このようなアナログな手法では、審査の際にあの文書はどこに保存したか、最新版はどのファイルかと慌てて探す事態に陥りがちです。

過去の更新履歴や修正の経緯が追えなくなっているケースも珍しくありません。

文書や版の管理が煩雑になることで、審査対応の工数が膨れ上がり、担当者に大きな負担がかかってしまいます。

クラウド管理で審査画面を直接提示し効率化

ExcelやWordによる煩雑な管理を削減し、ISMSの運用をクラウド上で一元化することで、審査対応の負担は劇的に軽減されます。

SecureNaviのようなクラウドサービスを利用すれば、必要な情報や更新履歴が体系的に整理された状態で管理できるため安心です。

維持審査や更新審査の当日も、ファイル探しに慌てることなく、クラウドの画面をそのまま審査員に提示するだけでスムーズに審査を受けることが可能です。

審査員からも「効率的な審査」と好評

クラウドサービスを活用したISMS運用は、企業側だけでなく審査員からも高く評価されています。

SecureNaviを利用してクラウドの画面を直接提示する手法に対し、審査員から非常に効率的な審査ができるとの好評を得ている事例もあります。

株式会社エビリーの導入事例では、現場担当者が主体的に情報資産の登録やリスクアセスメントを行う仕組みが整えられ、審査員から現場を巻き込んだ取り組みとして高く評価されました。

【事例記事】SecureNaviは「ワンオペ情シス」の強い味方。ISMS認証・Pマークの運用を効率化し、現場を巻き込んだ運用で企業のセキュリティレベルを向上。

複数の ISMS 審査機関を比較・検討しましょう

ISMS 審査機関は特徴や審査にかかる費用などが異なるため、複数の機関をじっくり比較・検討することをおすすめします。

社内で ISMS が構築・運用できたら、まずは ISMS 審査機関から見積もりを取り寄せてみてください。

当サイトでは、ISMS 認証取得に関するさまざまな情報を発信しています。ISMS 認証取得にあたりご不明な点がありましたら、ぜひ当サイトをご活用ください。

SecureNaviを活用して、ISMS認証を効率的に取得しましょう！

今回は、ISMS審査機関とは何か、依頼する審査機関を選ぶ際のポイントなどについて紹介しました。ISMS審査機関は、それぞれ特徴や費用などが異なり、自社に合うかどうかを事前に確認することが重要です。まずはいくつか話を聞いて、見積もりを取得した上で選択することをおすすめします。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記のリンクからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。

SecureNaviのサービス紹介

SecureNaviは、ISMS認証やPマークの取得・運用を効率化するクラウドサービスです。

従来のExcelやWordによるアナログな文書管理から脱却し、必要最低限の工数で認証取得が可能になります。

担当者の生産性を向上させ、自社に最適な情報セキュリティ体制の構築を実現します。

SecureNaviの導入事例

実際にSecureNaviを導入し、効率的なISMS認証の取得に成功した企業様の事例をご紹介します。

さまざまな規模や業種の企業において、作業負担の軽減やセキュリティレベルの向上が実現しています。

HEROZ株式会社（約40時間でISMS認証を取得）

HEROZ株式会社では、ISMS取得の推進が初めてであり、未経験かつ限られた人員・費用で効率よく取得できるかが課題となっていました。

そこでSecureNaviを導入した結果、半年間で約40時間という少ない工数でISMS認証の取得に成功。 ツール上の指示に従って社内の状況に合わせて入力するだけで、必要なドキュメントが完成します。

不安な部分はチャットやミーティングでのサポートを活用しながら、スムーズに進めることができました。

【事例記事】ツールを活用し約40時間でISMS認証取得「SecureNavi1つでISMSに関するものは全て完結した」

SecureNaviが選ばれる理由

ISMS認証の取得や運用において、多くの企業がSecureNaviを選んでいます。

ここでは、工数削減やサポート体制など、SecureNaviが持つ独自の強みと選ばれる理由について詳しくご紹介します。

ExcelやWordでの煩雑なファイル作成が不要に

従来、ISMS認証を取得・維持するためには、数十種類のExcelやWordのファイルを作成し管理する必要がありました。

SecureNaviを利用すれば、必要な情報がクラウド上で体系的に集約されるため、こうした煩雑なファイル作成が不要になります。

更新履歴もシステム上で管理されるため、ファイル探しの手間や版管理の悩みから解放されます。

維持・更新審査の際もシステム画面を見せるだけで効率的に審査を受けることが可能です。

ガイドに従うだけで認証取得の準備が完了

ISMS認証に向けた取り組みは難解になりがちですが、SecureNaviでは必要な手順が約30〜40のステップに体系化されています。

各ステップのガイドに沿って必要な入力や選択を行っていくだけで、認証取得に必要な準備が完了します。

取得までのロードマップと進捗率が常に示されるため、専門知識のない初めての方でも次に何をすべきか迷うことがありません。

着実かつスムーズに情報セキュリティ体制の構築を進めることができます。

回数無制限のサポートチャットで疑問を解消

システムの機能だけでなく、充実したサポート体制もSecureNaviが選ばれる大きな理由です。

ツールの使い方からISMS認証の規格に関すること、情報セキュリティに関するお悩みまで、システム上のチャットからいつでもコンサルタントに質問することができます。

質問内容や回数に制限はないため、経験の浅い担当者でも一人で抱え込むことがなくなります。

生じた疑問をその都度解消しながら安心して取り組みを進めることが可能です。