--- title: "ISMS認証は必要か。取得の流れと、取った後の運用｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/isms-certification-process/ description: "ISMS認証は、情報セキュリティを管理する仕組みが規格に合っていることを、第三者の認証機関が確かめる制度です。取るべきかの考え方、範囲の決め方、初回の審査から年1回以上の審査と3年ごとの再認証までの流れを説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # ISMS認証は必要か。取得の流れと、取った後の運用 ISMS認証は、情報セキュリティを管理する仕組みが規格に合っていることを、第三者の認証機関が確かめる制度です。取るべきかの考え方、範囲の決め方、初回の審査から年1回以上の審査と3年ごとの再認証までの流れを説明します。 2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） 経営とDX（MANAGEMENT）のコラム ## この記事の要点 - ISMS認証は、情報セキュリティの管理の仕組みが ISO/IEC 27001（JIS Q 27001）に合っていることを、認定を受けた認証機関が審査する制度です。 - 取るかどうかは、取引先の要請、扱う情報の重さ、社内の仕組みづくりへの効き目と、取った後の運用の手間を比べて決めます。 - 初回の審査は原則として2段階で行われ、認証の有効期間は3年、その間は年1回以上の審査を受けます。 [ISMS](https://www.ameliatechnology.co.jp/glossary/isms/)認証とは、会社の情報セキュリティを管理する仕組みが、国際規格の ISO/IEC 27001（日本産業規格では JIS Q 27001）に合っていることを、第三者の認証機関が審査し、登録する制度です。取引先から求められている場合や、重い情報を扱う場合には取る意味が大きくなりますが、取った後も年1回以上の審査が続くため、運用の手間も含めて判断することが大切です。 ## ISMS認証とは、何を確かめる制度か ISMS（情報セキュリティマネジメントシステム）とは、情報の機密性・完全性・可用性を守るために、危険を洗い出し、対策を決め、実行し、見直すという管理の仕組みです。ISMS認証は、個々の対策の強さを点数にするものではなく、この仕組みが規格の要求に沿って作られ、回っているかを確かめるものです。 日本では、ISMS-AC（情報マネジメントシステム認定センター）が認定機関として認証機関を認定し、認定を受けた認証機関が会社のISMSを審査します。認証を受けたい会社が申し込む先は、ISMS-ACではなく認証機関です。 出典：[ISMS適合性評価制度（ISMS-AC、2020年1月）](https://isms.jp/doc/ismspamph.pdf) 規格は2022年に ISO/IEC 27001:2022 に改訂され、日本産業規格の JIS Q 27001:2023 も発行されています。旧い版からの移行の期間は、2025年10月31日までとされていました。経済産業省の「情報セキュリティ管理基準」（令和7年改正版）も、JIS Q 27001:2023 と JIS Q 27002:2024 に準拠しています。 出典：[ISO/IEC 27001:2022 への移行について（JIPDEC、2023年7月）](https://www.jipdec.or.jp/library/report/h3taia0000001qn3-att/20230703-r01.pdf)、[情報セキュリティ管理基準令和7年改正版（経済産業省）](https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf) ## 取るべきかどうかは、何で決めるか ISMS認証を取るかどうかは、取引先からの要請、扱う情報の重さ、社内の仕組みづくりへの効き目を、取った後の運用の手間と比べて決めます。認証は法律で義務づけられたものではなく、会社が自ら選ぶものです。 取る意味が大きいと考えられるのは、次のような場合です。 - 取引先の入札や委託の条件に、ISMS認証が挙げられている - 取引先から届く[セキュリティチェックシート](https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/)で、毎回同じ説明を求められている - 個人情報や取引先の機密など、重い情報を多く預かっている - 規程や記録が人によってばらばらで、管理の仕組みを一から整えたい 一方で、取引先の要請がなく、扱う情報も限られる場合は、まず自社の対策の土台を整えることを先にするほうが、効き目が大きいことがあります。IPAの「中小企業の情報セキュリティ対策ガイドライン」は、自社の状況を確かめるところから段階的に進める手順をまとめています（[「中小企業の情報セキュリティ対策ガイドライン」の使い方](https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/)）。 出典：[中小企業の情報セキュリティ対策ガイドライン（IPA）](https://www.ipa.go.jp/security/guide/sme/about.html) 個人情報の扱いに重きを置く場合は、[プライバシーマーク](https://www.ameliatechnology.co.jp/glossary/privacy-mark/)と比べて検討することもあります。プライバシーマークは個人情報の保護の仕組みを対象とし、ISMSは個人情報に限らず情報資産の全体を対象とするという違いがあります。 ## 範囲は、どう決めるか 認証の範囲は、会社の全体である必要はなく、会社の必要に応じて決められます。ISMS-ACの案内でも、認証の範囲は組織の必要に応じて定めるもので、全社が対象である必要はないとされています。 範囲を決めるときは、取引先が何を確かめたいのかから考えます。たとえば、取引先から預かった情報を扱う部署とシステムだけを範囲にすれば、準備の手間を抑えられます。ただし、範囲が狭すぎると、取引先が確かめたい業務が範囲の外になり、認証があっても説明に使えないことがあります。 - 取引先から預かった情報を、どの部署が、どのシステムで扱っているか - その業務に関わる拠点と、使っているクラウドサービス - 範囲の外の部署と、情報やシステムがどうつながっているか 範囲は、登録証や認証機関の公開の情報に書かれます。チェックシートなどで認証があることを示すときも、範囲を添えて伝えます。 ## 取得までの流れ 取得までは、仕組みをつくって回し始め、認証機関に申し込み、原則として2段階の審査を受ける、という流れで進みます。ISMS-ACの案内では、最短で3〜4か月程度とされていますが、規程や記録がまだない場合は、それより長くかかることが多いと考えられます。 1. **仕組みをつくる**：範囲を決め、情報資産を洗い出し、危険を評価して、どの対策をとるかを決めます。方針・規程・手順を文書にします 2. **仕組みを回す**：決めた対策を運用し、教育、内部監査、経営者による見直しを行い、その記録を残します 3. **認証機関を選んで申し込む**：認定を受けた認証機関を選びます。料金は範囲や会社の規模などで変わります 4. **初回の審査を受ける**：原則として第一段階と第二段階の2段階で行われます 5. **登録される**：規格に合っていると確かめられると、認証が登録されます 出典：[ISMS適合性評価制度（ISMS-AC、2020年1月）](https://isms.jp/doc/ismspamph.pdf) ## 取った後は、どう続くか 初回の審査で登録された後、認証の有効期間は3年で、その間は年1回以上の審査（サーベイランス審査）を受け、3年ごとに再認証の審査を受けて更新します。取った後も、仕組みを回し続けることが前提です。 ISMS認証の登録の後の流れ（有効期間3年） **初回の審査で登録** **有効期間の3年の間**：年1回以上の審査（サーベイランス審査）を受ける **3年ごと**：再認証の審査を受けて更新する 取った後も、**仕組みを回し続けること**が前提です 取った後に続けることの例です。 - 危険の評価と対策を、年に一度など時期を決めて見直す - 内部監査と、経営者による見直しを続ける - 事故や指摘があれば、原因を調べて直し、その記録を残す - 規格の改訂があれば、新しい版に合わせて仕組みを直す 審査のための書類づくりが目的になってしまうと、手間ばかりが増えます。日々の運用で使っている記録を、そのまま審査に使える形にしておくと、負担を抑えやすくなります。内部監査の進め方は、[システム監査とは何か](https://www.ameliatechnology.co.jp/blog/system-audit-basics/)も参考になります。 ## 認証があっても、すべての危険がなくなるわけではない ISMS認証は、管理の仕組みが規格に合っていることを確かめるもので、システムに弱点がないことや、事故が起きないことを保証するものではありません。外部に公開しているシステムの弱点は、[脆弱性診断](https://www.ameliatechnology.co.jp/glossary/vulnerability-assessment/)などで別に確かめる必要があります。 認証の取得と、技術的な守りの点検は、互いに補い合うものと考えると整理しやすくなります。認証の取得や範囲の判断に契約や法令が関わる場合は、専門家にもご確認ください。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、情報セキュリティの方針や規程、委託先の管理の決まりを、会社の実情に合わせて整えるご支援をしています。外部に公開しているシステムの脆弱性診断と、見つかった問題を直すところまでもお受けします。仕組みを動かす前に、いまの状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - ISMS - 情報セキュリティ - 認証 - 経営 ## この記事に出てくる用語 - [ISMS（ISO/IEC 27001）](https://www.ameliatechnology.co.jp/glossary/isms/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [可用性・SLA](https://www.ameliatechnology.co.jp/glossary/availability-sla/) - [セキュリティチェックシート](https://www.ameliatechnology.co.jp/glossary/security-check-sheet/) - [プライバシーマーク](https://www.ameliatechnology.co.jp/glossary/privacy-mark/) - [内部監査](https://www.ameliatechnology.co.jp/glossary/internal-audit/) - [システム監査](https://www.ameliatechnology.co.jp/glossary/system-audit/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) ## 関連する法令・指針（参考情報） - 指針 経済産業省「情報セキュリティ管理基準」（令和7年改正版） 情報セキュリティのマネジメントと管理策をまとめた包括的な参照基準です。JIS Q 27001:2023 と JIS Q 27002:2024 に準拠し、情報セキュリティ監査で監査人が判断の尺度として使います。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf) - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/) - [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/) - [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/) [経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 取り組む順番を決める AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。 [AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) ### M&Aの前後のシステムを整える フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。 [M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ISMS認証は必要か。取得の流れと、取った後の運用｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/isms-certification-process/