ISMS認証は必要か。取得の流れと、取った後の運用

ISMS認証とは、会社の情報セキュリティを管理する仕組みが、国際規格の ISO/IEC 27001（日本産業規格では JIS Q 27001）に合っていることを、第三者の認証機関が審査し、登録する制度です。取引先から求められている場合や、重い情報を扱う場合には取る意味が大きくなりますが、取った後も年1回以上の審査が続くため、運用の手間も含めて判断することが大切です。

ISMS認証とは、何を確かめる制度か

ISMS（情報セキュリティマネジメントシステム）とは、情報の機密性・完全性・可用性を守るために、危険を洗い出し、対策を決め、実行し、見直すという管理の仕組みです。ISMS認証は、個々の対策の強さを点数にするものではなく、この仕組みが規格の要求に沿って作られ、回っているかを確かめるものです。

日本では、ISMS-AC（情報マネジメントシステム認定センター）が認定機関として認証機関を認定し、認定を受けた認証機関が会社のISMSを審査します。認証を受けたい会社が申し込む先は、ISMS-ACではなく認証機関です。

出典：ISMS適合性評価制度（ISMS-AC、2020年1月）

規格は2022年に ISO/IEC 27001:2022 に改訂され、日本産業規格の JIS Q 27001:2023 も発行されています。旧い版からの移行の期間は、2025年10月31日までとされていました。経済産業省の「情報セキュリティ管理基準」（令和7年改正版）も、JIS Q 27001:2023 と JIS Q 27002:2024 に準拠しています。

出典：ISO/IEC 27001:2022 への移行について（JIPDEC、2023年7月）、情報セキュリティ管理基準 令和7年改正版（経済産業省）

取るべきかどうかは、何で決めるか

ISMS認証を取るかどうかは、取引先からの要請、扱う情報の重さ、社内の仕組みづくりへの効き目を、取った後の運用の手間と比べて決めます。認証は法律で義務づけられたものではなく、会社が自ら選ぶものです。

取る意味が大きいと考えられるのは、次のような場合です。

• 取引先の入札や委託の条件に、ISMS認証が挙げられている
• 取引先から届くセキュリティチェックシートで、毎回同じ説明を求められている
• 個人情報や取引先の機密など、重い情報を多く預かっている
• 規程や記録が人によってばらばらで、管理の仕組みを一から整えたい

一方で、取引先の要請がなく、扱う情報も限られる場合は、まず自社の対策の土台を整えることを先にするほうが、効き目が大きいことがあります。IPAの「中小企業の情報セキュリティ対策ガイドライン」は、自社の状況を確かめるところから段階的に進める手順をまとめています（「中小企業の情報セキュリティ対策ガイドライン」の使い方）。

出典：中小企業の情報セキュリティ対策ガイドライン（IPA）

個人情報の扱いに重きを置く場合は、プライバシーマークと比べて検討することもあります。プライバシーマークは個人情報の保護の仕組みを対象とし、ISMSは個人情報に限らず情報資産の全体を対象とするという違いがあります。

範囲は、どう決めるか

認証の範囲は、会社の全体である必要はなく、会社の必要に応じて決められます。ISMS-ACの案内でも、認証の範囲は組織の必要に応じて定めるもので、全社が対象である必要はないとされています。

範囲を決めるときは、取引先が何を確かめたいのかから考えます。たとえば、取引先から預かった情報を扱う部署とシステムだけを範囲にすれば、準備の手間を抑えられます。ただし、範囲が狭すぎると、取引先が確かめたい業務が範囲の外になり、認証があっても説明に使えないことがあります。

• 取引先から預かった情報を、どの部署が、どのシステムで扱っているか
• その業務に関わる拠点と、使っているクラウドサービス
• 範囲の外の部署と、情報やシステムがどうつながっているか

範囲は、登録証や認証機関の公開の情報に書かれます。チェックシートなどで認証があることを示すときも、範囲を添えて伝えます。

取得までの流れ

取得までは、仕組みをつくって回し始め、認証機関に申し込み、原則として2段階の審査を受ける、という流れで進みます。ISMS-ACの案内では、最短で3〜4か月程度とされていますが、規程や記録がまだない場合は、それより長くかかることが多いと考えられます。

1. 仕組みをつくる：範囲を決め、情報資産を洗い出し、危険を評価して、どの対策をとるかを決めます。方針・規程・手順を文書にします
2. 仕組みを回す：決めた対策を運用し、教育、内部監査、経営者による見直しを行い、その記録を残します
3. 認証機関を選んで申し込む：認定を受けた認証機関を選びます。料金は範囲や会社の規模などで変わります
4. 初回の審査を受ける：原則として第一段階と第二段階の2段階で行われます
5. 登録される：規格に合っていると確かめられると、認証が登録されます

出典：ISMS適合性評価制度（ISMS-AC、2020年1月）

取った後は、どう続くか

初回の審査で登録された後、認証の有効期間は3年で、その間は年1回以上の審査（サーベイランス審査）を受け、3年ごとに再認証の審査を受けて更新します。取った後も、仕組みを回し続けることが前提です。

取った後に続けることの例です。

• 危険の評価と対策を、年に一度など時期を決めて見直す
• 内部監査と、経営者による見直しを続ける
• 事故や指摘があれば、原因を調べて直し、その記録を残す
• 規格の改訂があれば、新しい版に合わせて仕組みを直す

審査のための書類づくりが目的になってしまうと、手間ばかりが増えます。日々の運用で使っている記録を、そのまま審査に使える形にしておくと、負担を抑えやすくなります。内部監査の進め方は、システム監査とは何かも参考になります。

認証があっても、すべての危険がなくなるわけではない

ISMS認証は、管理の仕組みが規格に合っていることを確かめるもので、システムに弱点がないことや、事故が起きないことを保証するものではありません。外部に公開しているシステムの弱点は、脆弱性診断などで別に確かめる必要があります。

認証の取得と、技術的な守りの点検は、互いに補い合うものと考えると整理しやすくなります。認証の取得や範囲の判断に契約や法令が関わる場合は、専門家にもご確認ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、情報セキュリティの方針や規程、委託先の管理の決まりを、会社の実情に合わせて整えるご支援をしています。外部に公開しているシステムの脆弱性診断と、見つかった問題を直すところまでもお受けします。仕組みを動かす前に、いまの状況をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。