自力取得のためISMS認証ガイド

ISMS認証取得の流れ
ISMS認証取得で押さえるべきポイント
ISMS認証コンサルとは
ISMS認証コンサルの対応範囲例
目的別おすすめのISMS認証コンサル
目的別ISMS認証コンサル詳細
【PR】目的別ISMS認証コンサル詳細
ISMS認証コンサル一覧
ISMS認証の基礎知識
ISMS⽤語集

ISMS認証コンサルとは

ISMS認証コンサルとは、ISMS認証取得をサポートしてくれるコンサルティング会社のことで、実にたくさんあります。ここまで解説してきた認証取得に必要となる項目の多くを代行してくれたり、指導してくれたりするため、担当部署の負担は大きく軽減されます。

ISMS認証コンサルに依頼する
メリット・デメリット

社内リソースが足りない企業や、ISMSの理解のための時間を確保できない企業には、難易度の高い書類作成や社員向けの研修を行ってくれるISMS認証コンサルが頼もしい存在でしょう。ここでは、ISMS認証コンサルのメリット以外に、どのようなデメリットがあるのか把握しましょう。

ISMS認証を取得する方法比較

ISMS認証を取得する際には、コンサル会社に依頼する方法、内製化する方法、アプリやクラウドツールを利用する方法があります。それぞれの方法にはメリット・デメリットがあり、目的やリソースに応じて最適な方法を選ぶことが重要です。

方法	メリット	デメリット
コンサル会社に依頼	専門家が対応するため、効率的に進められる審査基準が曖昧な場合でも適切な対応が可能運用面でのアドバイスやサポートが受けられる	費用が高額になる場合があるコンサル会社に依存しがちで、自社での運用力が育たない
内製化	自社の実態に合わせた運用が可能長期的にはコストを抑えられる自社のセキュリティ運用力が向上する	専門知識や経験が必要認証取得までに時間がかかる可能性があるリソースの確保が難しい場合がある
アプリやクラウドツールを利用	コストを抑えつつ効率化が図れるテンプレートや自動化機能で手間を軽減進捗状況の可視化が容易	基準がファジーな場合、対応に限界がある入退室管理や細かい運用面でのサポートが不足する場合があるツールのカスタマイズ性が低い場合がある

人を介するコンサルのメリット

ISMS認証において、基準がファジーな部分が多い（例: 「入退室管理を行う」という要件のレベルが曖昧）ため、コンサルタントの存在は非常に有益です。企業ごとの状況に応じて適切な対応を判断し、運用面のアドバイスを受けることで、認証取得後の運用にもスムーズに移行できます。

まとめ

ISMS認証を取得する方法は、会社のリソースや目的に応じて選ぶ必要があります。専門家の支援が必要な場合はコンサル会社、費用を抑えつつ効率化を目指す場合はアプリやツール、長期的に自社運用力を強化したい場合は内製化が最適です。内製化するためのマニュアルやサポートも含めるとコンサル会社へ相談することが結果的には人的コストや工数をかけずに完遂することができるので、それぞれのメリット・デメリットを理解し、最適な方法を選択しましょう。

メリット

ISMS取得のための実働がほぼなくなる
ISMS取得時期が早くなる
社員教育まで請け負ってもらえる
実運用を考慮した使い勝手のいいなISMSを構築できる

デメリット

コンサルティングフィーが発生する

【POINT】

コストがかかるのが、ISMS認証コンサルの大きなデメリット。自社での取得には相当な時間と労力が要るため、“時間をお金で買う” という費用対効果の視点では、自社で認証取得を目指すよりも期間が短く、通常業務を圧迫することもないので、コスト以上のメリットを享受できるでしょう。なお、コンサル会社によってサポートの対応範囲が異なるため、どこまでサポートしてほしいのかを事前に考えておき、各社の特徴を比較しながら選ぶのがよいでしょう。この次では、ISMS取得コンサルの選ぶべきポイントをご紹介します。

ISMS認証コンサルの
対応範囲例

ISMS認証コンサルは会社によって対応しているサポートの範囲が異なり、ほぼ丸投げできるところもあれば、対応項目が限定されているところもあります。また同じ会社でも、対応範囲やサポートスタイルの異なるプランが用意されていることもあります。依頼の前にはよく比較をし、自社のニーズに合ったコンサルティングサービスを選ぶようにしましょう。

まとめ

コンサルティング会社は ISMSの規格を深く理解をしており、実績の多い企業ほど企業ごとの適切なISMS構築パターンを知っているため、シンプルで使い勝手のいいISMSを構築してくれます。コンサルティング会社により代行範囲が異なりますので、フルアウトソーシングなのか、部分的なサポートなのか知っておきましょう。

目的別に選べる！
ISMS認証コンサルおすすめ3社
【コスト・対応力・負担削減】

ISMS（ISO27001）認証を取得する企業が増える中で、「自社のリソースが限られている」「取得したはいいが運用が続かない」といった課題を抱える企業は少なくありません。そこで重要になるのが、自社の状況に合ったコンサルティング会社の選定です。
ISMS認証コンサルを活用することで、「専門知識や担当者が不在でも取得を実現」「取得後も運用が続く“使える体制”を構築」といったメリットを得られます。
今回は、こうしたニーズに応えるISMS認証支援会社の中でも、「費用」「対応業種」「負担削減」という観点に強みを持つ3社をご紹介します。

コストを抑えて手間なく
「まず取得したい」
なら

ISOサポート

※引用元：ISOサポート公式HP（引用元：https://www.iso-sp.co.jp/2700.html ）

特徴

専任不要＆月額3.3万円の低コスト
情報セキュリティ担当がいなくても導入可能。人員・予算に限りがある中小・スタートアップ向け。
中小企業向けフルアウトソーシング支援
書類作成からプロセス設計まで丸ごと対応。初めての企業でも安心。
維持運用しやすい実務重視の設計
最小限の設計で、取得後も1名体制で継続しやすい。

公式サイトで
サービスの詳細を確認

電話で問い合わせる

複雑な組織や業種にも
柔軟に対応
してほしいなら

ISOプロ

※引用元：ISOプロ公式HP（https://activation-service.jp/iso/lp/）

特徴

現役審査員が直接サポート＆訪問無制限
複雑な多拠点対応も、現場に即した導入設計が可能。
業種特化・6か月以内の取得も相談可
業界特有の運用にも対応し、スピード重視の企業にもおすすめ。
ISO事務局も代行し全工程を一括支援
社内対応の手間を減らし、効率・品質を向上。

公式サイトで
サービスの詳細を確認

電話で問い合わせる

中小企業で
運用負担を削減
したいなら

ワークストラスト

※引用元：ワークストラスト公式HP（https://www.workstrust.com/）

特徴

書類作成の負担が少ない
提供される書類は全てサンプル付きで、確認・加筆修正を行うだけで活用できるため作業負担を大きく軽減。
取得時も取得後も運用の負担が少ない
負担の少ない運用を行うためには、管理すべき（作成すべき）書類は最小限に留めることが重要。
取得後は自社で維持、運用が可能
必要最小限な運用が可能なため、自社だけでも準備が容易。

公式サイトで
サービスの詳細を確認

電話で問い合わせる

ISMS認証取得の流れ

ISMSの認証取得を受けるには、数多くのステップをひとつひとつクリアしていく必要があります。まずは、体制の構築から審査、認証取得にいたるまでの一般的なフローを見ていきましょう。

適用範囲の決定

まずは、どの範囲までISO27001を適用するか決める。
事業や資産、組織規模、技術面などを考慮しながら決定。

情報セキュリティ基本方針の作成

社内のセキュリティ基本方針を決める。
セキュリティ基本方針を決めるにあたっては、なぜ情報セキュリティに取り組むことになったのかを考える。

リスクアセスメント

会社の情報資産を洗い出す。
リスク分析（どの情報資産にどんなリスクが伴うかの分析）を行う。
リスク対応を策定する。

情報セキュリティ対策基準・実施手順の構築

上のステップ（リスクアセスメント）で策定したリスク対応を、手順としてマニュアルに起こす

ISMS導入・教員

ISMSを導入して運用をスタートする。
適用範囲となっているすべての従業員を対象に教育・指導する。

内部監査

社内で内部監査を行う。
ISMSの有効性を測る（問題があれば見直す）。

マネジメントレビュー（経営陣レビュー）

セキュリティ維持・改善の範囲を決める。
必要な是正処置を策定する。

審査

審査機関により、文書審査および現場審査が実施される。

ISMS認証取得とその後の運用

認証維持のための維持・更新審査が実施される。
必要に応じ、適用範囲の拡大を進める。

ISMS認証取得で
押さえるべきポイント

ISMS認証取得を受けるためには、「ISMSの規格を理解する」「関連部署との連携を図る」「内部監査を実施する」「洗い出しの粒度を決める」という4つのポイントをきっちり押さえることが重要です。それぞれの内容をくわしく見ていきましょう。

01.ISMSの規格を理解

2023年9月20日に発表されたISMSの改訂に関する要点

セキュリティ監査の新しい要件
改訂では、セキュリティ監査に関する新しい要件が導入されたとされています。これは、情報セキュリティを評価し、問題を特定し、改善のための行動を確保するための重要なプロセスです。
監査報告の重要性
新しい要件において、セキュリティ監査の報告が特に重要視されていることが示されています。これにより、組織は監査結果を文書化し、報告することが求められるでしょう。
運用面の見直し
改訂の焦点は、ISMSの運用面に向けられており、組織は情報セキュリティを継続的に評価し、改善するプロセスを強化する必要があるでしょう。

ISO/IEC27001では、会社が効率的にISMSのシステムを構築し、情報資産の管理策の整備・運用を適切に行うことを求めています。具体的な要求ポイントは以下に挙げる通りです。これら要求ポイントをPDCAサイクル（運用サイクル）に落とし込み、情報セキュリティマネジメントを実施する必要があります。

序文
適用範囲
引用規格
用語及び定義
組織の状況
リーダーシップ
計画
支援
運用
パフォーマンス評価
改善
附属書A

ISMSの規格要求事項の詳細はこちら

【難関ポイント】

ISMSの認証取得を受けるには、「ISO/IEC27001」を読み込んで理解をすることが重要です。「ISO/IEC27001」は英語で書かれているため、日本規格協会（https://webdesk.jsa.or.jp/）から日本語版を購入して読み込むと理解しやすいでしょう。
規格は「本文」と「附属書A」に分かれており、本文には認証取得のために実施すべき要求事項が、「附属書A」には推奨される管理策が書かれています。本文の要求事項はどんな会社でも対応できるものばかりなので必ず実施し、附属書Aの管理策は、114個の中から自社に必要な項目を洗い出して実施しましょう。

02.関連部署との連携を図ること

ISMS認証取得には、担当部署の人間だけでなく、認証範囲内の従業員たちの理解・協力も不可欠です。認証範囲内の部署や従業員がどんな情報資産・リスクを保有しているか、どんな業務を行っているかを把握しなければならず、ヒアリングや資料作成などが必要となるからです。それも、一度で終わりではありません。PDCAサイクルに沿って、同じ内容を繰り返すことになります。
そのため認証範囲内の部署・従業員たちには、ISMS認証の必要性や、協力・連携が求められることについて、あらかじめ理解を得ておくことが大切です。

【難関ポイント】

上で説明したように、ISMS認証取得には各部署の理解・協力が必須です。関連資料類の作成など実働が伴う協力が必要となるため、ISMSを主導する担当者には、社内の意思統一を図れる権限を有した従業員を選定することが望ましいでしょう。

03.内部監査を実施すること

ISMSの認証を取得するまでのステップのなかでも重要なもののひとつに、「内部監査の実施」があります。この内部監査を実施する担当者（内部監査員）は、社内の業務内容や社風などについてあらかじめしっかりと理解しておく必要があるほか、以下に挙げるような監査スキルも求められます。

必要な監査スキル一覧

監査の日時や段取りを関係部署に伝える
的外れな質問をすることのないよう要求事項やルールをきちんと理解する
実施プロセスや現状から客観的証拠を見つける
客観的証拠からのみ結果をアウトプットする
普段は関係しない従業員ともきちんとコミュニケーション（会話）をとる
限られた時間内に必要な内容をしっかりと聞き出す

【難関ポイント】

認証の維持には年1回の内部監査が必要です。監査スキルのある人材の育成、そしてそのスキルを維持させるための教育が求められ、それに要する時間やコストに余裕を持つことが重要となります。
社内で専門性の高いISMS事務局を発足し、社内監査実施のためのフロー作成を整備するとともに、内部監査者の選出・研修を行いましょう。

04.洗い出しの粒度を決めること

ISMS認証取得のための取り組みのひとつに、「情報資産の洗い出し」「リスクの特定」といった項目があります。どちらも重要性の高い項目ですが、これらの作業において多くの会社が、「洗い出しの粒度」に悩まされます。
たとえば「A社の企画書」「B社の提案書」などのように細かく情報資産を洗い出すこともできれば、「営業資料」など大まかに洗い出すこともできるため、この粒度をどう設定するかに悩む会社が多いのです。
この粒度をあらかじめ設定していなかったことが原因で、各部署から提出された資料の粒度がバラバラ…という事態に陥ることもあります。

【難関ポイント】

今後の運用を考えると、なるべくシンプルなISMS構築にした方が良いでしょう。管理工数を削減でき、余分な負担を抑えられます。また、上で触れたように各部署から上がってくる情報資産の粒度にバラつきがあると情報管理の統一が難しくなるため、粒度の設定はあらかじめしっかりと行っておくことが重要です。

面倒なISMS認証を代行する
おすすめコンサルティング企業は
こちら

05.認証取得までの期間目安

ISMS認証取得までにかかる期間として一般的なのは、10ヵ月～12ヵ月前後です。短くても半年程度はかかると考えておきましょう。
なお、取得までの期間が長引くケースとしては、以下のようなものが挙げられます。

取得までの期間が長くなるケース

担当メンバーにあまり権限がないなど、検討事項の結論を出すのに時間がかかる。
プロジェクト進行中に組織や事業の内容が変動してしまう。
担当メンバーの入れ替わりが激しい。

いずれにしても長期的な取り組みになるため、社内で設置するISMS事務局には、通常業務にある程度のバッファがある従業員を充てるのが得策です。

06.認証取得にかかる費用

ISMS認証取得に必要な審査費用や手続きの流れは、各審査登録機関によって多少の違いがあります。そのため、各機関に問い合わせてしっかり確認することをおすすめします。
以下では、目安となる費用を、審査の流れに沿ってご紹介していきます。「30名規模、1サイト」を想定した費用目安です。

取得までかかる費用目安

申請手続き：110,000円
初回認証審査
第1段階審査：350,000円
第2段階審査：612,500円
認証書発行：130,000円

また、認証取得後の維持・更新費用も必要です。同じく「30名規模、1サイト」を想定した費用の目安を以下にまとめます。

取得後の費用目安

維持審査：年間480,000円
更新審査：655,000円

※参照元：ISM Web store資料集（https://www.ismwebstore.com/materials/archives/103）

【まとめ】

ISMSの認証取得は、1年程度の準備期間とヒューマンリソース、バジェットがあれば自社対応でも可能です。
ハードルとなるのは「規格の理解」「適切にISMSを構築する書類の作成」「内部監査を行える人材の育成」で、やはり担当事務局の推進力が求められます。日々の業務をこなしつつのプロジェクトになることがほとんどなので、ある程度余裕のある部署が担当することが望ましいでしょう。しかし困難はあれども、今後を見据えれば、社内全体の情報セキュリティリテラシーを向上できるという面でも自社での認証取得は十分に価値があるものと言えます。
次は、そこまでの人的リソースとバジェット、準備期間が確保できない企業に向けて、ISMS認証取得をサポートするコンサルティング会社をご紹介します。

目的別ISMS認証
コンサル詳細

前述した3社に関する詳しい情報をご紹介します。ISMS（ISO27001）の審査通過率や継続率、支援実績など高い数値を示しています。ISMS認証は一度取得して終わりではありません。取得の翌年以降も、維持審査や更新審査に通過し続けなければ認証を維持できないため、取得後のフォローの手厚さをチェックすることも大切です。「特徴」欄に示した各社の強みも踏まえ、それぞれの会社の信頼度を総合的な視点からチェックしてみましょう。

コストを抑えて手間なく
「まず取得したい」なら
「ISOサポート」

※引用元：ISOサポート公式HP（https://www.iso-sp.co.jp/2700.html）