ISMS認証の審査の流れは？具体的なスケジュールや審査期間や費用なども紹介 

ISMS認証を取得するためには、審査機関による審査に合格する必要があります。

審査はどのような流れで進むのか、どのような点がチェックされるのか、概要を本記事でまとめました。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

ISMS認証における審査の種類

ISMS認証の審査は、以下の3つが存在します。

• 初回審査(第1段階・第2段階)

• 維持審査

• 更新審査

ISMS認証の新規取得時には、初回審査(第1段階・第2段階)を受ける必要があります。

ただ、ISMS認証は取得したら永久的に保有できるわけではありません。毎年行われる「維持審査」と、3年ごとに行われる「更新審査」を受審する必要があります。

ISMS認証取得までの審査の流れ

まずはじめに、ISMS認証取得までの審査の流れを解説します。

ISMS認証取得は大きく分けて以下の4ステップで進みます。

1.申し込み

ISMSの審査機関を選び、審査の申し込みをします。

申込みの手順や必要な書類は審査機関によって異なるため、申請時に各機関に確認するのがよいでしょう。

2.第1段階審査

ISMS認証を取得する上で必要な文書や、第2段階審査を行う準備が整っているかが主に審査されます。

• 情報セキュリティ方針や情報セキュリティ目的が文書化されているか

• 組織の外部及び内部の課題が決定されているか

• 情報セキュリティアセスメントのプロセスが定められ、必要な情報が文書化されているか

3.第2段階審査

構築したISMSが、審査基準であるJIS Q 27001:2014 (ISO/IEC 27001:2013) に適合しており、組織の中で有効に機能しているかが審査されます。

具体的には、以下のような条件を満たしている必要があります。

• JIS Q 27001:2014 (ISO/IEC 27001:2013) の要求事項に適合していること

• 組織で定めた要求事項に適合していること

第1段階審査と第2段階審査に合格すると、ISMS認証を取得できます。

第1段階・第2段階審査の具体的なスケジュール例

では、各段階の審査ではどのような内容を確認し、どんなタイムスケジュールで進行するのでしょうか？

それぞれについて、表形式で解説していきます。

■ 第1段階審査

• 必要日程：1日間

■ 第2段階審査

• 必要日程：3日間

1日目

2日目

3日目

上記のスケジュールはあくまで一例ですが、質問内容も含め、概ねこのようなスケジュールを想定しておくとよいでしょう。

ISMSの審査で質問されること

ISMSの審査員は、JIS Q 27001:2014 (ISO/IEC 27001:2013) に沿ったシステムが構築・運用できているかを評価するために、審査の際はトップマネジメント、各部門への質問を行います。

どのような質問がなされるのか、大まかにまとめました。

トップインタビュー

• 事業の概要（最近の景気、マーケットの概況、会社の未来像、競合他社など）

• 業務拡大やオフィス移転の目的（新規事業の開始や、オフィス移転があった場合のみ）

• ISMS 取得のきっかけと必要性（新規事業のため既存の適用範囲から拡大する、顧客からの強い要望など）

• 社内の従業者に対して、情報セキュリティの重要性をどのように伝えているか

など。想定質問については、こちらの記事でもまとめていますので、あわせてご覧ください。

参考：想定問答集「トップインタビュー」

部門への質問

• 各部門ごとの情報セキュリティにおける役割に関する質問

• トップからの指示に対する行動に関する質問

• 作成した ISMS のルールやマニュアルの運用状況に関する質問

ISMS 審査の申し込みから認証取得までにかかる期間

審査の申し込み後、 ISMS 認証取得まで（第1段階審査開始〜認証証書が届くまで）にかかる期間は、一般的に3〜4カ月ほどとされています。

• 第1段階審査開始〜第1段階審査終了：約1カ月

• 第1段階審査終了〜第2段階審査開始：約2週間〜1カ月

• 第2段階審査終了（是正報告完了）〜認証取得：約1カ月〜2カ月

上記のペースで審査が進みます。

ISMS審査にかかる費用

ISMS の審査を受けるには費用がかかります。費用は組織の規模や ISMS の適用範囲、審査機関などによって異なりますが、概ね数十万〜数百万円が相場とされています。

また維持審査・更新審査を受ける場合も費用が発生します。すなわち ISMS 認証は取得時の費用だけでなく維持費もかかるということです。

ISMS認証取得後の維持審査・更新審査について

ISMS認証を取得した後にも、定期的に審査を受ける必要があります。取得時のISMSが正しく運用されているかを確認する維持審査、維持審査よりもより細かい点を確認し、ISMS認証の保持を認めてもらう更新審査の2種類があります。

更新審査・維持審査は、それぞれ以下のペースで行われます。

更新審査：3年に1回

維持審査：1年に1回

更新審査・維持審査については、以下の記事でより詳しく解説しています。
ISMS認証の更新審査ではどんな点が見られる？維持審査との違いも紹介

SecureNaviを活用して、ISMS認証の取得や運用を効率化しましょう！

今回は、ISMS審査の流れや審査機関、発生する費用などを紹介しました。ISMS認証取得にあたって必要な審査の流れを把握し、どれくらいの期間・費用がかかるのか事前に確認しておきましょう。複数の審査機関を比較し、自社にあった審査機関を選ぶことも重要です。

『SecureNavi』は 内製でのISMSの運用を効率化するクラウドサービスです。ISMSの運用における非効率な活動を効率化するだけでなく、不明点をサポート担当に相談できる他、ISMSに関する様々な文書や情報をツールに集約して一元管理できることなどから、多くの企業で導入いただいております。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得や運用にご活用いただけそうかご確認ください。