ISMS認証を取得する方法は？基本的な流れやポイントを紹介

ISMS認証を取得するにあたり、取得の流れや費用・期間を事前に把握しておく必要がありますね。

この記事では、ISMS認証を取得するまでの基本的な流れをまとめました。ISMS認証を取得をご検討されている方、ぜひ参考にしてください。

そもそもISMSって？という方は、以下記事もご覧ください。

ISMS （情報セキュリティマネジメントシステム）とは？基礎知識を徹底解説

ISMS（情報セキュリティマネジメントシステム）とは？

ISMSとは「情報セキュリティマネジメントシステム」とも呼ばれる、情報セキュリティのリスクを管理する仕組みを指す言葉です。自社内の情報資産やリスクを適切に管理することで、情報資産の「機密性」「完全性」「可用性」を維持し、利害関係者に対して信頼を与えることが、ISMSの役割です。

上記のISMSを構築し、審査機関の審査に合格すると『ISMS認証を取得する』ことができます。ISMS認証は「ISMSがしっかり構築できており、問題なく運用できている」証明になるため、企業にとってさまざまなメリットがあります。

余談ですが、よく耳にする「ISMSを取得する」という表現は適切ではなく、「ISMSを構築することでISMS認証を取得する」という理解のほうが正しいです。

【関連記事】ISMSは何のために構築・運用するの？ISMS認証を取得する目的とあわせて紹介

ISMSに求められる2つの要素

ISMSは、情報セキュリティマネジメントシステムという名称の通り、単にウイルス対策ソフトを導入するといった技術的な対策だけでなく、組織全体で情報を管理する体制を整えることを指します。

具体的には「情報セキュリティを管理する体制の整備」と「継続的な運用・改善の仕組み作り」という2つの柱が基本です。この両輪をバランスよく整えることで、情報セキュリティに関する信頼性を大きく高められます。

セキュリティに関する社内体制の整備

情報セキュリティを管理する体制を整備する際、第一歩となるのが「情報を守る対象（適用範囲）」の決定です。最初から全拠点での体制構築を目指すと、情報の棚卸しや教育の工数が膨らみ、途中で挫折する原因になります。

まずは取引先から求められている事業部など、優先的に認証を取得する必要があるところから着手しましょう。

範囲が決まったらリスクアセスメントを実施し、情報資産・脅威・対策を整理します。それから必要な体制を整えれば、スムーズに進められるでしょう。

マネジメント体制の仕組み化

社内体制を整備した後は、定めたルールに基づいて日々の業務を運用し、継続的に改善していく仕組み化が不可欠です。ISMSの運用においては、定めたルールが現場で確実に実行され、記録として残されている状態を維持しなければなりません。

しかし、人力で記録をつけると多くの工数がかかります。現場が疲弊しないよう、記録作業を自動化して工数を削減することが、無理なく続ける秘訣です。

マネジメント体制を構築するときは、「定められたルールに適合しているか」「日々の業務が忙しくても無理なく運用できるか」という視点で考えることが欠かせません。

ISMSと混同しやすいものとその違い

ISMSの構築や認証取得を検討しはじめると、似たような名前の規格や制度がいくつも登場して戸惑うことがあります。特に混乱しやすいのが、以下の2つです。

• ISO/IEC 27001

• Pマーク

これらはそれぞれ、果たす役割や守る対象が異なります。自社にとって適切なセキュリティ対策を選択するためにも、それぞれの違いをここでチェックしておきましょう。

ISO/IEC 27001との違い

ISO/IEC 27001とISMSは互いに関連していますが、同じものではありません。それぞれ以下を指します。

• ISO/IEC 27001：情報セキュリティに関する基準が定められた国際規格

• ISMS：ISO/IEC 27001で定められた要件を満たす形で構築した運用ルールおよび体制

すなわち、「ルールブック」と「それを実行する仕組み」の関係といえるでしょう。つまり、ISO/IEC 27001という世界共通の教科書にしたがって自社に合致した情報資産の守り方を考え、実行することが求められます。

ISO/IEC 27001の詳しい情報は、以下の記事で紹介しています。

ISO/IEC 27001とは？要求事項や取得費用、メリットを分かりやすく解説

Pマークとの違い

Pマーク（プライバシーマーク）は、個人情報を適切に管理していることを示すマークです。そのため、対象となる情報資産は個人情報に限られます。また、Pマークは国際規格として定められているものではなく、日本独自の制度です。

一方のISMSは、個人情報を含めて、適用範囲と組織が定めた情報資産すべてを保護の対象とするマネジメントシステムです。技術データや設計資料など、さまざまな情報が含まれるのが特徴です。

個人情報の保護体制をアピールしたい場合はPマークの取得を、事業に関わるあらゆる情報資産を網羅し、国際標準に基づいたセキュリティ強化を目指すのであれば、ISMSの構築および認証取得を目指すとよいでしょう。

Pマークの詳しい情報は、以下の記事で紹介しています。

Pマーク（プライバシーマーク）の審査とは？基本的な流れを紹介 

ISMS認証を取得するまでの流れ

ISMS認証を取得する方法は、基本的に以下の通りです。

1. ISMSの適用範囲の決定

2. 情報セキュリティ方針の策定

3. ISMS文書の作成

4. リスクアセスメントの実施

5. 従業員への教育実施

6. 内部監査の実施

7. マネジメントレビューの実施

8. ISMS審査機関による審査（第1段階・第2段階）

認証取得の取り組みを始めてから上記の手順を踏み、実際にISMS認証を取得するまで平均6ヶ月～1年ほど、最短でも3～4ヶ月かかります。もちろん、会社・組織の規模やISMSの構築にかけるリソースによって変動します。

それぞれの段階でどのようなことをするのか、概要を紹介します。

1. ISMSの適用範囲の決定

ISMSを構築する最初の段階として、ISMSの適用範囲を決定します。ISMSで保護する情報資産の適用範囲に制限はなく、「自社全ての情報資産」「特定の部署・拠点の情報資産」などと定めることが可能です。

保護すべき情報資産を洗い出し、ISMSの適用範囲を決めましょう。

2. 情報セキュリティ方針の策定

次に情報セキュリティ方針の策定を行います。情報セキュリティ方針とは、企業や組織で行う情報セキュリティ対策の方針や行動指針のことです。

情報セキュリティ方針には、主に以下のことを記載します。

• 情報セキュリティに関する社内全体のルール・運用規定

• 保護対象となる情報資産

• 考えられる脅威（リスク）から情報資産を守る方法・方針

• 情報セキュリティを確保するための体制　など

情報セキュリティ方針については、こちらの記事で詳しくまとめています。

情報セキュリティ方針とは？初心者向けに分かりやすく解説

3. ISMS文書の作成

ISMSを運用するためのルールやマニュアルなどをまとめたISMS文書を作成します。あわせて情報セキュリティ管理の記録や、適用・除外する管理策（ISO/IEC 27001 の附属書 A に記載された情報セキュリティ対策）とその理由を定めた「ISMS適用宣言書」も必要になるため、作成します。

4. リスクアセスメントの実施

保護する情報資産や情報セキュリティ対策の方針を決めたら、リスクアセスメントを行います。

リスクアセスメントとは、企業などの組織が抱える情報資産に対するリスクの洗い出しや分析、評価を行い、許容できるかどうかを決めるプロセスのことです。想定されるリスクの洗い出しや分析を行い、必要に応じて対策を行うことで情報漏えいなどの事故を防げます。

一般的にリスクアセスメントは、以下の手順で行います。

1. リスクの特定（洗い出し・分析・評価）

2. 優先順位を決めてリスク対応

3. リスクアセスメントの実施状況の評価・見直し

リスクアセスメントについては、以下の記事で詳しく紹介していますので、あわせてご覧ください。

情報セキュリティにおけるリスクアセスメントとは？必要性や基本的な進め方について解説

5. 従業員への教育を実施

ISMS文書の作成（ ISMSの構築）までできたら、マニュアルに沿って実際に ISMSの運用段階に移ります。

ISMSを運用するには、従業員たちの理解が必須です。社内研修などを行い、従業員に ISMSの理解を深めてもらう必要があります。

教育の方法は各組織によって異なりますが、主に以下のような方法があります。

• e ラーニング

• DVD の鑑賞会

• 講師によるセミナー

• グループワーク

• メールマガジン

6. 内部監査の実施

内部監査とは、組織内で内部監査員を選出または外部の専門家に依頼し、ISMSが定めたルールに沿って適切に運用できているかどうかを評価することです。

もし内部監査によって問題が見つかった場合、対策が必要になります。

7. マネジメントレビューの実施

マネジメントレビューとは、企業の経営者など、組織のトップが ISMSを評価することです。ISMS認証を取得するには経営者も ISMSの運用状況を把握する必要があるため、マネジメントレビューを行います。マネジメントレビューの結果、改善すべき点が見つかったら、対策を取ります。

8. ISMS認証機関による審査（第1段階・第2段階）

ISMSの構築・一定期間の運用、内部監査、マネジメントレビューなどが終わったら、ISMS審査機関に依頼し、 ISMS認証の審査を受けます。

審査は第1段階審査と第2段階審査に分かれており、それぞれ、以下の部分が評価されます。

第1段階審査

第2段階審査に向けて、ISMSの運用に必要な文書や記録類が整備されているか。

具体例としては以下が挙げられます。

• 情報セキュリティの方針を決めているか

• 社内外の課題を決めているか

• 情報セキュリティにおけるリスクを特定しているか

第2段階審査

ISMSが審査基準である国際規格『ISO/IEC 27001』に適合しており、組織の中で有効に機能している（情報セキュリティレベルの向上などに寄与している）か。

審査に合格すると、ISMS認証が取得できます。審査時に不適合と判断された場合は、その部分の対応を行い再度審査を受けることで認証を取得可能です。

ISO 27001認証（ISMS認証）の取得方法は？基本的な流れを紹介

ISMS認証取得にかかる期間

ISMSの取り組み開始から認証取得にかかる期間は、平均して6ヶ月〜1年ほどと言われています。

内訳としては、ISMSの構築に2ヶ月〜6ヶ月、第1段階審査に1ヶ月、第2段階審査に1ヶ月、第2段階審査終了〜認証取得までに2ヶ月ほどのスケジュール感です。

特に、第1段階審査から認証取得までの3〜4ヶ月は、どの審査機関を選んでも基本的には固定されています。

そのため、もし急ぎで取得を進めたい場合は、ISMS構築ツールやコンサルティング会社を利用し、「ISMSの構築」を素早く行う必要があります。

【関連記事】ISMS認証の取得にかかる期間は？有効期間と更新審査・維持審査のペースも紹介

ISMS認証の取得にかかる費用

ISMS認証の取得には、少なくとも100万円以上かかると考えておきましょう。

まず、ISMS認証を取得する場合、以下の費用を審査機関に支払う必要があります。

• 第1段階審査費用

• 第2段階審査費用

• 登録費用

• 審査員の交通費・宿泊費

審査員の交通費・宿泊費を除いた審査費用は、50万〜100万円が相場とされています。

また、もしISMS認証の取得でコンサル会社を利用する場合、コンサル費も必要です。ISMS のコンサルティング費用は、概ね数十万〜数百万円ほどになるケースが多いようです。

取得前に、複数の審査機関・コンサルティング会社から見積もりをもらい、費用と支援内容を比較検討するとよいでしょう。

ISMS認証にかかる費用については、以下の記事でも解説しています。

ISMS認証を取得するのにかかる費用は？相場を紹介

ISMS認証取得後の定期審査とポイント

ISMS認証の取得はゴールではなく、構築した体制を将来的に維持することが求められます。認証を受けた組織は、体制を維持できているかチェックするため、以下の審査を受けることが必要です。

• サーベイランス審査（維持審査）

• 更新審査

それぞれの審査で何がチェックされるのか、受けるときはどのようなことを意識すればよいのか紹介します。

サーベイランス審査（維持審査）

ISMS認証を取得してから1年後と2年後に、サーベイランス審査（維持審査）を受けなければなりません。これは、日常業務でルールが本当に守られているかを確認する審査です。

審査では入退室記録やPCの点検記録といった具体的なログを確認し、決められたルールどおりに運用されているかチェックします。そのため、日々の業務ではきちんとログを残すことが求められます。

運用が形骸化しないためにも、審査があるとき以外も定期的に状況をチェックして現場が困っていることがないか、従業員が無理していないかを確認しましょう。

更新審査

ISMS認証を継続するためには、初回認証から3年後に更新審査を受ける必要があります。この審査は維持審査よりも広範な項目が評価の対象となり、合格することで認証が更新されます。

更新審査では認証を受けた組織全体のセキュリティ体制と、3年間の取り組みが総合的に評価されます。内部監査（自主点検）とマネジメントレビュー（経営層による確認）が正しく機能しているかが大きなポイントです。新しいクラウドサービスのリスクへの対応など、必要に応じてきちんと改善していることを示しましょう。

また、審査で従業員へのヒアリングが実施されることもあるため、従業員一人ひとりが情報セキュリティを自分ごととして意識していることも大切です。

ISMS認証を取得するメリット

ISMS認証を取得するメリットは主に以下の3つが挙げられます。

1. 社内の情報セキュリティレベルの向上

2. 自治体や大手企業案件の受注率の向上

3. IPOの準備にかかる工数の削減

それぞれ解説していきます。

情報セキュリティレベルの向上

審査に合格して ISMS認証を取得することで、組織の情報セキュリティレベル向上につながります。情報漏洩などの事故の発生確率や、事故発生時の影響を最小限に抑えられます。

自治体や大手企業案件の受注率の向上

ISMS認証を受けていることで、自社のセキュリティ管理体制が国際基準に準拠していることをアピールできます。

国・自治体や大手企業などでは、取引にあたってISMS認証の取得が条件になるケースもあります。すなわち、ISMS認証を取得していることが、自治体や大手企業案件の受注率を高めることにもつながります。

IPOの準備にかかる工数の削減

将来的にIPOを目指す企業は、規程の整備を始めとした IT統制を実施することになります。

早いうちからISMSを構築しておくことで、情報セキュリティ管理体制や一部規程が整備されるため、IPO準備のタイミングでのIT 統制にかかる工数の削減が可能です。

【関連記事】ISMSにおけるPDCAとは？サイクルの回し方も紹介

ISMS認証を取得するデメリット・注意点

新たにISMS認証を取得すると社会的信頼性を高められます。しかし、認証の取得にあたっては以下のようなデメリットもあります。

• 取得費用の発生

• 運用工数の増加

• 形骸化リスクが存在

無理なく運用して認証を受け続けるためにも、事前にこれらのデメリットにどのように対処するか決めておくことが重要です。

取得費用の発生

ISMS認証を取得する場合、審査機関に対して以下の費用を支払う必要があります。

• 第1段階審査費用

• 第2段階審査費用

• 登録費用

• 審査員の交通費・宿泊費

審査費用の相場は50～100万円と言われており、審査機関や自社の業種・拠点数・従業員数によっても変わってきます。(審査員の交通費や宿泊費を除く)

また、コンサルティング会社を利用する場合には、コンサルティング費用も追加で発生します。

【関連記事】ISMS文書とは？種類や作成が必要な文書の例を紹介

運用工数の増加

運用にかかる工数・時間にも注意が必要です。通常業務に加えて新たな管理作業が発生するため、現場が疲弊しかねません。

そのため、事前に「どれほどの手間が増えるのか」を具体的に把握しておくことが大切です。従業員教育の実施や、入退室記録・PC点検記録などのログを残す作業などが発生します。

中でもISMS文書の作成は50〜60種類にも及ぶため、作成はもちろん管理・運用の工数もかなり大きいです。

現場の負担をいかに軽減し、無理なく続けられる仕組みを設計できるかが、ISMS認証を維持するポイントです。業務負担を軽減するため、できるだけシステム化・自動化を進めることが欠かせません。

形骸化リスクが存在

もっとも避けなければならないのが、ルールが形だけのものになる「形骸化」です。複雑なルールを詰め込みすぎると守りきれなくなり、セキュリティ事故を防げないという本末転倒な状況に陥ります。

さらに、決めたことが実行されていないと審査で不適合判定を受け、最悪の場合は認証を更新できない事態に陥りかねません。

形骸化を防ぐためにも、自社の業務実態に合わせたシンプルなルールを作り、経営層が積極的に関与して実効性のある体制をつくることが大切です。

形骸化を防ぐ運用のポイント

運用中に形骸化することを防ぐためには、以下のポイントを意識することが大切です。

• ルールをわかりやすくする

• 継続的に改善に取り組む

ここでは、それぞれ具体的にどのようなことを意識できるのか紹介します。これから体制を構築しようと考えているなら、ぜひ参考にしてみてください。

ルールをわかりやすくする

ISMS認証の取得をスムーズに進めつつ実効性を高めるためにも、まずルールをシンプルでわかりやすいものにしましょう。複雑なルールは守るのが難しくなるためです。

特に意識したいのはログの残し方です。ログの取得は複雑化しやすいため、「いつ・誰が・どこに残すか」を明日からでもできるほどシンプルに設計することを意識しましょう。自動的にログが残るようにしておけば、確実性を高めつつ工数を削減できます。

継続的に改善に取り組む

仕組みを常に最新の状態に保つには、定期的に自分たちでルールをチェックする内部監査が欠かせません。形だけの点検にするのではなく、「今のルールに無理がないか」「改善できるところはないか」という視点でチェックしましょう。

クラウドサービスの活用やリモートワークなど、業務体制の変化に合わせて対策を柔軟に見直す必要もあります。認証を受けた組織全体で改善サイクルを回し続けることで、組織の成長に合わせた強固な情報セキュリティ体制を築けます。

運用のポイントを詳しく知りたいなら、以下の記事も参考にしてみてください。

なぜあなたの会社のISMSは属人化するのか？ 属人化を防ぎ、”活きた”運用を実現する3つの秘訣

ISMS認証を取得するのがおすすめの業種・企業

ISMS認証の取得が特に効果的なのは、機密性の高い情報を扱う業種や、取引先からセキュリティ対策の証明を求められる企業です。具体的には、以下のような業種・企業が該当します。

• ITサービス・SaaS提供企業：顧客データを預かるため、認証が営業上の信頼証明になる

• 製造業・研究開発部門：技術情報・設計データなど、競争に直結する情報資産を保護できる

• 医療・ヘルスケア：患者情報や統計データの適切な管理が求められ、取引先からの要件にも対応しやすくなる

• 金融・会計・法律事務所：高度な機密情報を扱う業種で、顧客への信頼証明として機能する

• 公共機関・行政向けビジネス：官公庁の入札条件にISMS認証の取得が含まれるケースがある

• 上場（IPO）準備中の企業：内部統制・セキュリティ体制の整備がIPO審査でも評価される

共通するのは、「情報漏えいが事業の存続に直結する」「取引先・顧客からセキュリティの証明を求められている」という2点です。上記以外の業種でも、いずれかの条件に当てはまるなら、ISMS認証の取得を積極的に検討しましょう。

ISMS認証を取得する3つの方法

会社の予算や担当者が割ける時間によって、ISMS認証の取得に向けた最適な進め方は変わります。具体的な取得方法は大きく以下の3つに分けられます。

• 自力で取得する

• コンサルを活用する

• 支援ツールを活用する

それぞれの特徴と費用を比較して、自社に最も合った方法を選びましょう。

自力で取得する

自力でISMS認証を取得する最大のメリットは、外部に支払う費用を抑えられることです。審査機関に支払う費用はかかるものの、コンサル会社や支援ツール提供会社に支払う費用は発生しません。

そのため、できるだけコストを削減したい企業に向いています。しかし、情報セキュリティの専門知識をゼロから学び、すべてのルールとドキュメントを自分たちで作らなければなりません。

担当者に大きな負担がかかるため、本当に無理なく取得できるのか事前に考えてみましょう。通常業務と並行しての作業は困難になることもあり、準備に1年以上かかるケースも珍しくありません。

コンサルを活用する

確実かつスピーディにISMS認証を取得したい場合は、情報セキュリティの専門家であるコンサル会社にサポートを依頼するとよいでしょう。自社の状況に合わせたルール作りや文書作成をプロが支援してくれるため、担当者の作業負担を大幅に削減できます。

ただし、審査費用とは別に専門家への依頼料として数十万〜数百万円程度が必要です。また、コンサル主導で取り組みが進みやすく、提案が自社にあっていないケースがある点にも注意しましょう。

これを防ぐには、コンサルと綿密にコミュニケーションをとりながら取り組みを進めることが大切です。コンサルの活用は、社内に専門知識を持つ人材がいない場合に向いています。

支援ツールを活用する

自社主導で取り組みを進めつつ、ノウハウを蓄積したいと考えているなら、ISMS認証の取得を支援してくれるツールを活用するのがおすすめです。必要な文書の土台があらかじめ用意されていて、ガイドに従って作業を進めるだけで認証取得の準備を進められます。

すべて自力でやるより工数・時間が省けるだけでなく、今何をすべきかが明確になって迷わず進められるのがメリットです。専門用語を自分たちで理解するスキルは必要ですが、徐々にノウハウが溜まるため、形骸化のリスクを軽減しつつ、将来的な改善策も立案しやすくなります。

これからISMS認証を取得するならSecureNaviを活用しよう

ISMS認証を取得するための支援ツールを探しているなら、ぜひSecureNaviを検討してみてください。SecureNaviは、必要な文書整備・証跡管理・内部監査・審査対応をワンストップで管理できるツールです。

ステップ形式のガイドがあり、「今何をしなければならないか」を常に示してくれるため、初めての担当者でも迷わず準備を進められます。

また、導入から審査対応まで専門チームが伴走するサポート体制も整っており、支援が必要な組織のニーズにも応えています。従業員教育や内部監査の管理もツール内で完結するため、ISMS認証を取得した後の運用もサポートしてくれます。

社内のノウハウを蓄積するためにも役立つため、ぜひこの機会に検討してみてください。

ISMS認証を取得して社会的信頼性を高めよう

ISMS認証を取得すれば、情報セキュリティに対する社会的信頼性を高められ、ビジネスの拡大につなげられることもあります。

形骸化を防いで長期的に認証を受け続けるには、まず適用範囲を絞り、実効性のある体制を築くことが成功の鍵です。費用や工数の負担を把握した上でリスクアセスメントを行い、自社に最適な対策を講じましょう。

これからISMS認証を取得しようと考えているなら、ぜひ支援ツールのSecureNaviを検討してみてください。わかりやすいガイドにしたがって取り組みを進めることで、スムーズな取得を目指せます。