ISMSとISO 27001の違いとは？認証取得で信頼性を高めよう

ISMS、ISO 27001（ISO/IEC 27001）。それぞれが何を意味する言葉なのか、ご存知でしょうか。この記事では、それぞれの違いについて紹介します。

ISMSとISO 27001の違いとは？

最初に、ISMSとISO 27001の違いを詳しく見ていきましょう。それぞれの用語は、以下のものを指します。

• 【ISMS】組織が保有する情報資産を守るためのシステム

• 【ISO 27001】ISMSの構築・運用方法を定めた国際規格

両者はそれぞれ密接に関係するものであるため、その関係を正確に把握しておくことが大切です。

【関連記事】ISMS（ISMS認証）とISO/IEC 27001は何が違う？初心者にも分かりやすく解説

【ISMS】組織が保有する情報資産を守るためのシステム

ISMSとは、自社における情報セキュリティのリスクを管理する仕組みのことを意味します。

自社内の情報資産やリスクを適切に管理することで、情報資産の「機密性」「完全性」「可用性」を維持し、利害関係者に対して信頼を与えることがISMS の役割です。

「機密性」「完全性」「可用性」という『情報セキュリティの3つの要素』については、以下の記事で紹介しています。

【関連記事】ISMS（情報セキュリティマネジメントシステム）とは？基礎知識を徹底解説

【ISO 27001】ISMSの構築・運用方法を定めた国際規格

ISO 27001（ISO/IEC 27001）とは、ISMSの国際規格です。情報セキュリティの3つの要素（機密性・完全性・可用性）が管理され、利害関係者に信頼を与えるための枠組みが示されています。

組織がISMSを構築・運用・改善していく際に、ISO 27001（ISO/IEC 27001）で定められた要求事項に沿って実施することで、国際基準の情報セキュリティ体制を作れます。

このISO 27001（ISO/IEC 27001）に沿って ISMS を構築・運用できていることが認証機関に認められた組織は、 ISMS 認証を取得可能です。

ISO/IEC 27001については、以下の記事で紹介しています。

ISO/IEC 27001とは？要求事項や取得費用、メリットを分かりやすく解説

ISMS・ISO 27001と混同しやすい用語との違い

情報セキュリティの体制を整備する際、多くの専門用語が登場して混乱を招くことがあります。適切な取り組みを実施するためにも、それぞれの違いを正しく理解することが大切です。ここでは、混同しやすい用語として、以下を紹介します。

• ISO/IEC 27001との違い

• JIS Q 27001との違い

• ISMS認証との違い

• ISMS適合性評価制度との違い

• Pマークとの違い

この機会にそれぞれ整理しておきましょう。

ISO/IEC 27001との違い

ISMSは組織が情報を安全に管理するための仕組みそのものを指し、ISO/IEC 27001はその仕組みを作る際に守るべき国際的なルールを指します。国際標準化機構（ISO）と国際電気標準会議（IEC）が共同して策定した規格であることから、ISO/IEC 27001と呼ばれます。

なおISO 27001と表記した場合も、ISO/IEC 27001と同じものを指します。

この規格は、世界共通の教科書のような存在です。この基準に沿ったセキュリティ体制を構築している組織はISMS認証（ISO/IEC 27001にもとづく認証）を受けられます。

【関連記事】ISO/IEC 27001（JIS Q 27001）準拠とは？ISMS認証との違いやメリットを解説

JIS Q 27001との違い

JIS Q 27001は、国際規格であるISO 27001を日本語に翻訳し、日本国内の基準として整えたものです。JISは日本産業規格と呼ばれ、国内の製品やサービスの品質を一定に保つためのルールを指します。

JIS Q 27001で定められている内容は、ISO/IEC 27001と同じです。したがって、日本国内においては同一のものと認識しておくとよいでしょう。

ISMS認証との違い

ISMSが組織で作った情報の管理体制そのものを指すのに対し、ISMS認証はその体制が国際的なルールに適合していることを第三者が認めた状態を指します。認められた認証機関によるチェックを通過することで初めて、「ISMS認証を受けた」と表現できます。

取引先からセキュリティの証明を求められた際に提出するのは、この認証を受けたことを示す「ISO/IEC 27001マネジメントシステム登録証」と呼ばれる登録証です。仕組みを運用しているだけでは客観的な証明にならないため、対外的な信頼を得るためには審査を通過して認証を受ける必要があります。

【関連記事】ISO 27001認証（ISMS認証）の取得方法は？基本的な流れを紹介

ISMS適合性評価制度との違い

ISMS適合性評価制度とは、企業がルールを守っているかを公平に評価するためのフレームワークです。この制度の中には、実際に企業を調べる認証機関と、審査員がその役割を果たすのに適切か調べる要員認証機関、認証機関が正しく仕事をしているかを監督する認定機関という3つの役割が存在します。

そのため、ISMSが情報の管理体制であるのに対し、ISMS適合性評価制度は「認証機関や審査員を評価・監督する制度」を指す点が異なります。

こうした厳格な運用があるからこそ、ISMSという仕組みそのものや認証制度に対する社会的信頼性が高くなっています。

Pマークとの違い

Pマークはプライバシーマークと呼ばれ、個人情報の保護に特化した日本国内の制度です。ISMSはあらゆる情報を守る国際基準を指している反面、Pマークは個人情報に限っているのが大きな違いといえるでしょう。

また、Pマークは事業者単位で取得しなければなりません。一方のISMS認証は、特定の部署や拠点だけに絞って取得することが可能です。

更新の間隔についても、ISMS認証は1年後と2年後に維持審査を、3年後に更新審査を受けなければならないのに対し、プライバシーマークは2年ごとの更新が求められます。両者の違いと自社が守るべき情報資産の種類を照らし合わせ、どちらの認証を取得しなければならないか判断しましょう。

ISO 27001の構成

ISO 27001は、会社が情報を守るための仕組みを整えるための世界共通のルールブックです。このルールブックは、大きく以下の2パートに分かれています。

• 要求事項

• 附属書A

ここでは、それぞれどのようなことが書かれているのかチェックしていきましょう。

要求事項

要求事項とは、組織が情報を安全に管理するための体制を作る上で、守らなければならない共通のルールです。経営層がどのようにセキュリティに関与するかという方針の決定や、情報を扱う際のリスクをどのように評価して対策を立てるかという手順が含まれます。

自社にとってどのような脅威があるかを分析し、対策の優先順位を決める作業であるリスクアセスメントについても記載されたルールブックです。

要求事項を的確に守ることで、会社全体で情報を安全に扱うための強固な土台ができあがります。認証を受けるための審査では、組織のセキュリティマネジメント体制が要求事項に適合しているかをチェックします。

附属書A

附属書Aとは、情報を守るために実行すべき具体的なセキュリティ対策をまとめた、いわばチェックリストのようなものです。最新の2022年版では93項目の管理策が掲載されていて、組織は自社の状況に合わせて必要なものを選んで実行します。

オフィスの鍵の管理といった物理的な対策から、パソコンのウイルス対策といった技術的な仕組みまで幅広く含まれているのが特徴です。全ての項目をそのまま実施する必要はなく、自社の状況に応じて必要・不要な管理策を識別します。

たとえば、テレワークを一切しない会社であれば、それに関連する項目を除外可能です。ただし、管理策を選択・除外した理由をきちんと文書化することが求められます。明確に説明できるようにしておきましょう。

【関連記事】ISMSの構築に必要な「管理策」の意味を紹介

ISO 27001と関連性が高いその他の規格

ISO 27001は情報を守るための土台となる基準ですが、それだけではカバーしきれない分野もあります。それらの分野をより詳しく管理するための関連規格として以下のようなものがあるため、ここでチェックしておきましょう。

• 【ISO 27002】ISO/IEC 27001の附属書Aに掲げられた管理策について、具体的な実施方法や指針を詳しく解説した補足規格

• 【ISO 27017】クラウドセキュリティに関する規格

• 【ISO 31000】リスクマネジメントのガイドラインを示す規格

自社の事業内容や利用しているサービスに合わせてこれらの規格を組み合わせることで、情報の守りをより強固にすることが可能です。

【ISO 27002】情報セキュリティ管理策の実践方法を示すガイドライン規格

ISO 27002は、情報の安全を守るための具体的な基準を詳しく解説したガイドブックのような存在です。ISO 27001が「何をすべきか」というルールを示すのに対し、この規格は「どのように進めるか」という実践的な方法を示しています。

そのため、自社のセキュリティ施策を考える際の参考資料として有用です。この手引書を参考にすることで形だけのルールではなく、サイバー攻撃や情報漏えいを実際に防ぐための実効性の高い仕組みを整えられます。

ISO 27002の詳細は以下の記事でも紹介しています。

『ISO/IEC 27002』とは？『ISO/IEC 27001』との違いや2022年2月の改定内容を解説 

【ISO 27017】クラウドセキュリティに関する規格

ISO 27017は、インターネットを通じてサービスを利用するクラウド環境での安全性を高めるための国際規格です。自社のデータをクラウド上に保存しているなら、その安全性を確保するためにISO 27017にもとづいた取り組みを進めることが求められます。

クラウド特有の危険性に備えるための対策が定められているのが特徴です。本規格に適合した取り組みを実施することで、ISMSクラウドセキュリティ認証を取得できます。

これはISMS認証のアドオン認証であり、ISMS認証を新たに取得しようとする組織が同時に取得するか、すでにISMS認証を受けた組織が追加で取得するものです。クラウドサービスを利用・提供しているなら、積極的に取得を検討するとよいでしょう。

以下の記事では、両者の違いをさらに詳しく解説しています。

ISO 27001（ISO/IEC 27001）とISO 27017（ISO/IEC 27017）の違いを紹介

【ISO 31000】リスクマネジメントのガイドラインを示す規格

ISO 31000はリスクマネジメント規格と呼ばれ、組織が直面する様々なリスクや不確実な危険を適切にコントロールするための基本的な考え方を示したガイドラインです。情報セキュリティの体制を整える過程では、どこにどのような危険が潜んでいるかを分析するリスクアセスメントが欠かせません。

この規格は、情報漏えいだけでなく組織全体の様々なリスクをどのように見つけ出し対処するかという根本的な手法を教えてくれます。また、ISMSをはじめとしたマネジメントシステムとの整合性があるため、自社の体制を整える際の参考にできるでしょう。

組織全体のセキュリティ意識を高め、統一するためにも役立つ規格です。

企業がISMS認証（ISO 27001にもとづく認証）を取得するとよい理由

ISMS認証の取得は、自社の情報セキュリティ体制が国際規格に沿っていて一定レベルに達していることを示します。認証を取得することには、以下のようなメリットがあります。

• 顧客や取引先からの信頼性向上

• 社内の情報セキュリティレベルの向上

• 自治体や大手企業案件の受注率の向上

ここでは、それぞれのメリットを詳しく解説します。これらが自社にとって魅力的に感じるのであれば、積極的にISMS認証の取得を検討するとよいでしょう。

なお、ISMS認証取得の流れを以下の記事で解説しているので、あわせて参考にしてみてください。

ISMS認証の取得方法や流れ、取得メリット、費用・期間を紹介

顧客や取引先からの信頼性向上

国際規格に合致したセキュリティ体制を整えて認証を受ければ、セキュリティレベルが高い企業として社会的信頼性が高まります。そのため、取引先から情報管理体制に懸念を持たれることを防げるでしょう。

顧客データや技術といった全ての情報資産を守る体制があることを、客観的に証明できるのがISMS認証です。

機密情報を扱う重要な部門に限定して認証を取得することも可能で、企業間取引において相手に安心感を与える強力な証拠となります。

社内の情報セキュリティレベルの向上

的確な情報セキュリティ体制を整えても、社内の運用が形骸化することがあります。しかし、ISMS認証の審査では本当に機能する体制かが問われるため、実効性のある仕組みが整います。

たとえば、以下のような取り組みができる体制を整えられます。

• 外部のクラウドサービスの安全性を評価し、定期的な見直し記録を残す

• 退職者のシステム利用権限が残っていないか、毎月末に確認・整理する

• 全従業員への教育を実施し、理解度テストなどの客観的な記録を保管する

最新の2022年版の基準には93項目のルールがありますが、自社に不要なものは理由を説明して除外できるため、現場に無理のない範囲で安全性を高められます。

自治体や大手企業案件の受注率の向上

案件によっては、受注するためにISMS認証を含めたセキュリティの証明を求められることがあります。そのため、事前に認証を取得して提案書に記載すれば、この条件をクリアできます。

厳しい条件を求められる案件を受注できるようにしておくことは、ビジネスを成長させるうえで欠かせません。認証の取得には時間やコストがかかるものの、それだけの価値があるといえるでしょう。

ISMS認証（ISO 27001にもとづく認証）を取得する際のデメリット

ISMS認証を取得することは企業にとって多くのメリットがある一方で、いくつかのデメリットや注意点も存在します。導入を検討する際は、これらの負担をあらかじめ理解し、社内のリソースや予算を適切に見積もることが必要です。ここでは、主なデメリットとして費用面と工数面について解説します。

審査費用や維持管理に関わるコストの発生

ISMS認証を取得するためには、認証機関による審査を受ける必要があり、数十万円から数百万円規模の審査費用が発生します。さらに、認証は一度取得して終わりではなく、3年の認証有効期間中、1年目・2年目にサーベイランス審査（維持審査）、3年目に再認証審査（更新審査）があるため、ランニングコストも考慮しなければなりません。

また、自社内だけでの体制構築が難しい場合は、外部のコンサルティング会社に依頼する費用も追加でかかることがあります。予算計画を立てる際は、初期費用だけでなく、長期的な運用コストも含めて検討することが求められます。

【関連記事】ISO 27001（ISMS認証）の取得・維持・更新にかかる費用の相場は？

担当者の業務負担の増加と運用工数の発生

ISMS認証を取得するためには、情報資産の洗い出しやリスクアセスメントの実施、情報セキュリティ方針の策定など、膨大な作業が発生します。さらに、従業員への教育や内部監査など、やるべきことが多岐にわたるため、担当者の業務負担が大幅に増加します。

特に、専任の担当者がおらず他の業務と兼任している場合、通常業務を圧迫するリスクがあります。こうした負担を軽減するためには、クラウドサービスなどのツールを活用して、文書作成やタスク管理を自動化・効率化する工夫が必要です。

ISMS認証（ISO 27001にもとづく認証）を取得すべき業種や企業規模

情報セキュリティの重要性が高まる中、ISMS認証はどのような企業にとって必要なのでしょうか。特定の業界だけでなく、幅広い業種で取得が進んでいますが、ここでは特に取得すべき業種や企業規模の傾向について解説します。自社が該当するかどうかを確認する際の判断材料となります。

IT企業や情報通信業を中心に広く普及

ISMS認証は、顧客からお預かりした機密情報や個人情報を大量に扱うIT企業や情報通信業、ソフトウェア開発会社などで広く普及しています。これらの業種では、サイバー攻撃や情報漏えいのリスクが高く、セキュリティ体制の証明が事業継続において非常に重要です。

また、クラウドサービスを提供する事業者にとっても、ISO 27017といった関連規格と合わせて取得することで、サービスの安全性を客観的にアピールする材料となります。情報をビジネスの核とする業種では、取得の重要性が高まっています。

企業規模に関わらず強固な体制構築が重要

ISMS認証は、大企業だけが取得するものではありません。従業員数が数名のスタートアップや中小企業であっても、大手企業と同じように取引条件として認証の取得が求められるケースが増えています。

サプライチェーン全体でのセキュリティ対策が重視される現在では、規模の大小に関わらず、情報管理体制が脆弱な企業は取引先として選ばれにくくなる恐れがあります。そのため、企業規模にかかわらず、自社の情報資産を適切に守るためのルールを整備し、対外的な信頼を獲得する手段として取得を検討する必要があります。

ISMS認証（ISO 27001にもとづく認証）を取得する手順

ゼロから準備を始めてISMS認証を取得するまでには、通常6ヶ月から1年ほどの期間がかかります。何から手をつけてどのように進めればよいか分からず不安になりがちですが、以下の手順を意識していればスムーズに進められるでしょう。

これからISMS認証（ISO 27001にもとづく認証）を取得するならSecureNavi

これからISMS認証を取得する場合、ルールを理解してドキュメントを作成し、運用体制を整えるには多くの手間がかかります。できるだけスムーズに進めるためにも、ぜひこの機会にSecureNaviの利用を検討してみてください。SecureNaviを利用することには、以下のようなメリットがあります。

• 明確なガイドで迷わず認証を取得

• ドキュメントの作成を自動化

• 内部監査・教育・委託先の管理を一元化

ここでは、それぞれのメリットを紹介します。煩雑化しがちな取り組みをシンプルにするうえで有効です。

明確なガイドで迷わず認証を取得

SecureNaviはガイドにしたがって取り組みを進めれば認証を受けられるように設計されていて、初めてISMS認証を受ける場合でも次に何をすべきかが一目でわかります。システムが自社の現状と国際基準とのズレを把握するギャップ分析から丁寧に導いてくれるため、専門的な知識がなくても迷いません。

適用範囲の設計も顧客の信頼に直結する部分から優先的に案内され、論理的な根拠に基づくリスク評価の基準があらかじめ用意されています。

社内にノウハウを蓄積しながらISMS認証を取得するための取り組みを進められるため、より実践的な体制を整えられるのも大きなメリットです。

ドキュメントの作成を自動化

ISMS認証を受けるには、多くのドキュメントを作成する必要があります。SecureNaviには必要な情報を入力するだけでドキュメントを作成する仕組みがあるため、ゼロから作成する必要がありません。

また、作成したドキュメントはクラウド上でまとめて管理可能です。そのため、必要に応じて更新するのが容易で、常に最新の状態に保てます。ドキュメントの作成にかかる手間を大きく削減できれば、認証を取得するまでにかかる時間も短縮できるでしょう。

内部監査・教育・委託先の管理を一元化

必要な情報を一箇所にまとめて管理できるのも、SecureNaviのメリットです。従業員教育の実施記録や委託先の情報、内部監査の記録をワンストップで管理できれば、記録を忘れたり失ったりするリスクを減らせるでしょう。定期的に見直すのもスムーズになります。

複数のツールを運用する必要もなくなり、負担を大きく軽減できるのは大きなメリットといえるでしょう。ISMS認証に伴う負担を軽減できれば、社内のリソースを本来やるべき業務に割り当てやすくなります。

ISO 27001の規格改訂にも自動で対応

ISO 27001の規格は定期的に改訂されるため、従来のアナログな管理方法では変更点への対応に多大な手間がかかります。SecureNaviでは、2022年の規格改訂に関しても、そのほとんどをシステム側が自動でアップデート対応します。

文書やリスクアセスメントなどの記録の見直しにかかる作業を大幅に削減でき、スムーズな移行が可能です。適用宣言書の更新作業もシステム上でスムーズに進められるため、規格改訂時の担当者の負担を大幅に軽減しながら、最新の要求事項に適合した状態を保つことができます。

チャットやコンサルタントによる充実したサポート体制

ISMSの運用では、規程の読み解きや具体的な対策の立案において疑問が生じることが少なくありません。SecureNaviでは、質問内容や質問回数に制限のないサポートチャットを利用でき、システム上でいつでもコンサルタントに質問できます。

さらに、必要に応じてコンサルタントとの定期打ち合わせ付きプランも選択可能です。新規取得時のマイルストーン設定から、審査直前の確認、認証維持のための会議運営支援まで、初心者にもわかりやすく、自社に最適な情報セキュリティ体制を構築できます。

SecureNaviを利用してISMS認証を取得・運用している導入事例

SecureNaviは、業種や規模を問わず多くの企業にご利用いただいています。ここでは、実際にSecureNaviを導入し、ISMS認証の取得や運用工数の大幅な削減に成功した企業様の事例を2つご紹介します。

株式会社immedio：約4ヶ月でスピード取得し引き継ぎも円滑に

エンタープライズ企業の開拓においてISMS認証が必須と判断した株式会社immedio様では、専任担当者がおらず未経験の状態からSecureNaviを導入しました。コンサルタント任せではなく自社主導で実態のあるセキュリティ体制を構築し、契約から約4ヶ月という短期間でISMS認証の新規取得を実現しました。

負担の大きいリスクアセスメントも自動提案機能でスムーズに進み、ツール内に情報がまとまっているため、将来的な担当者の引き継ぎにかかる説明コストも最小限に抑えられる点が評価されています。

【事例記事】「SecureNaviがないことが想像できない」ISMS認証を4ヶ月でスピード取得し、担当引き継ぎも最小工数で実現！

株式会社FCCテクノ：運用作業時間を90%以上削減し文書数を5分の1に

ISMS認証の取得から15年以上が経過し、運用業務が属人化・肥大化していた株式会社FCCテクノ様では、属人的な業務を見直すためにSecureNaviを導入しました。

ツール上のガイドに沿って管理工数とのバランスを鑑みながら整理した結果、700件以上あった情報資産台帳を170件程度まで、50種類以上あった社内文書を10種類未満まで減らすことに成功しました。「ここまでやれば基準を満たせる」というお墨付きを得ながら、ノンコア業務の作業時間を90%以上削減し、効率的な運用を実現しています。

【事例記事】「やりすぎていた」運用業務を見直し、文書数⅕、運用作業時間を90%以上削減！SecureNaviなら、安心して標準的な基準に沿った運用を再構築できる。

ISMS認証（ISO 27001にもとづく認証）を取得してセキュリティレベルを高めよう！

今回は、ISMSと、ISO27001（ISO/IEC 27001）の違いについて紹介しました。改めてそれぞれの違いをまとめます。

• ISMS：「Information Security Management System」の略称で、自社における情報セキュリティのリスクを管理する仕組み。

• ISO27001（ISO/IEC 27001）：ISMSの国際規格。情報セキュリティリスクの3つの要素が管理され、利害関係者に信頼を与えるための枠組みが示されている。

「ISMS」と「ISO/IEC 27001」は混同されやすい言葉ですが、これらは「仕組みそのもの」と「その標準規格」という包含関係にあります。適切に使い分けましょう。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。 下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得や運用にご活用いただけそうかご確認ください。