ISMS

← 用語集トップへ戻る

ISMSとは何か——「情報を守る仕組み」の認証

ISMSは、セキュリティ製品を1つ導入すれば終わり、という話ではありません。組織のルール・体制・運用をひとまとめにして管理する「仕組み」を指します。取引先審査で問われる場面が増えているため、まずは言葉の正体を整理します。

ISMSの意味——製品ではなく「マネジメントの枠組み」

ISMSは日本語で「情報セキュリティマネジメントシステム」と訳します。ここでいう「システム」は、ソフトウェアやサーバーのことではありません。情報を守るための方針・体制・手順・点検をひとまとまりにした、組織の運用の仕組みを指します。

言い換えると、情報セキュリティを「担当者の気合い」ではなく「組織のルール」として回す考え方です。守る対象は、紙の書類・PDF・クラウド上のデータまで幅広く含みます。特定の人がいなくなっても回り続ける状態を目指すのが特徴です。

身近な例で言えば、デジタルブックの元原稿や顧客名簿、見積書のPDFなども守るべき情報資産です。誰がアクセスできるか、どこに保存するか、退職者の権限はいつ止めるか。こうした判断を思いつきで決めず、明文化したルールに沿って運用します。ISMSは、この「決めごとを守り、破れていないか点検し、直す」という当たり前の流れを、組織の習慣として定着させる枠組みだと考えると分かりやすいです。

ISO/IEC 27001とISMS認証の関係

「ISMS認証」と言うとき、その物差しになるのが国際規格ISO/IEC 27001です。日本ではJIS Q 27001として国内規格化されています。この規格が求める要件を組織が満たしているかを、審査機関（認証機関）が第三者の立場で確認し、合格すると認証が付与されます。

認証機関は、ISMS-AC（情報マネジメントシステム認定センター）などの認定を受けた機関です。つまり「うちは安全です」という自称ではなく、外部のお墨付きがある点が、取引先審査で重視される理由です。認証書には、対象組織・適用範囲・有効期限・登録番号が明記されます。

よく混同するPマーク・SOC2との違い

現場では、ISMSとプライバシーマーク（Pマーク）が混同されがちです。両者は守る対象が異なります。ISMSは情報全般、Pマークは個人情報が中心です。海外のクラウド事業者では、SOC2報告書という別の枠組みで内部統制を示すこともあります。違いを表で整理します。

どれが優れているという話ではありません。取引先が何を求めているかで、確認すべき認証は変わります。まずは相手の要件を確かめるのが近道です。

なぜ取引先審査でISMSが問われるのか

近年、新規取引の与信や委託先チェックで「ISMSはお持ちですか」と聞かれる機会が増えました。背景には、情報の預け先が広がったことと、認証が客観的な物差しになることがあります。仕組みの中身とあわせて理解しておきましょう。

サプライチェーン全体で守る時代になった

情報漏えいは、自社だけでなく委託先や再委託先から起きます。デジタルブックの制作を外注すれば、自社の資料は制作会社のサーバーに渡ります。取引先は、自分たちの情報を預ける相手が、きちんとした仕組みを持っているかを確認したいわけです。

その客観的な指標として、ISMS認証の有無が使われます。個人情報保護法でも、委託先を適切に監督する義務が定められています。認証は「監督を果たしている証拠」の一つとして扱われることが多いのです。

審査する側にも事情があります。取引先を1社ずつ細かく調査するのは、手間もコストもかかります。そこで「ISMS認証があるか」を足切りの基準にすれば、チェックの負担を減らせます。担当者としては、この背景を知っておくと、なぜ形式的にでも認証を問われるのかが腑に落ちるはずです。認証は、相手に安心して情報を渡すための共通言語になっているわけです。

ISMSは「PDCAで回し続ける」仕組み

ISMSの核心は、一度ルールを作って終わりにしない点にあります。Plan（計画）、Do（運用）、Check（点検）、Act（改善）のPDCAサイクルで、継続的に見直します。この「回し続けている」ことが審査で確認されます。

具体的には、まず守るべき情報資産とリスクを洗い出します（リスクアセスメント）。次に、アクセス権限管理や二段階認証といった対策を選んで運用します。そして内部監査で点検し、問題があれば改善する。この循環を毎年繰り返すのがISMSです。

ISO/IEC 27001には、選択肢となる管理策（対策のカタログ）が附属書としてまとめられています。組織は、自社のリスクに応じて必要な管理策を選び、なぜそれを採用したか（あるいは採用しないか）を説明できるようにします。「全部やる」のではなく「リスクに見合った対策を選ぶ」点が実務的です。この考え方を押さえると、認証取得が単なる書類づくりではないことが見えてきます。

「適用範囲」という重要な考え方

ISMS認証には「適用範囲（スコープ）」があります。全社なのか、特定の事業部・拠点・サービスだけなのかが、認証書に明記されます。ここを見落とすと、審査の意味が半減します。

たとえば「ISMS取得済み」と聞いても、あなたが取引する部門やサービスが範囲に入っていなければ、その業務は認証の外です。取引先審査で相手の認証を確認するときも、自社が問われるときも、範囲を具体的に押さえることが欠かせません。認証書に書かれた対象組織名や事業所、サービス名を照らし合わせるだけで、認識のズレを防げます。「全社で取っていると思っていたら、実は本社の一部門だけだった」というケースは珍しくありません。

実務での活用場面——問われたとき・選ぶときの実践

ここからは、担当者が実際に直面する2つの立場に分けて、対応の勘所を示します。「問われる側」と「選ぶ側」では、見るべきポイントが変わります。取得を目指す場合の流れもあわせて整理します。

自社が「問われる側」のとき

取引先から「ISMSは取得していますか」と聞かれ、未取得でも慌てる必要はありません。大切なのは、事実と代替策を誠実に示すことです。次の順で答えると、相手の不安を和らげやすくなります。

1. 認証が未取得なら、その事実を隠さず伝える。
2. 代わりに実施している対策を具体的に示す（パスワード保護、アクセス制限、定期バックアップなど）。
3. 取得予定や検討状況があれば、おおよその時期感を添える。
4. 秘密保持契約（NDA）など、契約面での担保を提案する。

「認証はないが、守る仕組みはある」と具体的に語れる会社は、むしろ信頼されます。逆に、あいまいな返答は不安を招きます。日頃から自社の対策を言葉にしておくことが、いざというときに効きます。

デジタルブック制作ツール・SaaSを「選ぶ側」のとき

あなたがデジタルブックやPDF配信のSaaSを選ぶ立場なら、ベンダーのISMS認証は有力な判断材料です。クラウドに資料を預ける以上、クラウドストレージ側のセキュリティは、自社の責任範囲にも関わってきます。次の点を確認しましょう。

• 認証の適用範囲に、使う予定のサービスが含まれているか。
• クラウド向けの追加規格ISO/IEC 27017まで取得しているか。
• 認証の有効期限が切れていないか。
• データの保存場所（国内か海外か）と、BCP（事業継続計画）の体制。

「認証あり」という表示だけで満足せず、範囲と期限まで一段掘り下げるのがコツです。この習慣があるだけで、ツール選定の失敗はかなり減ります。

ISMS認証を取得するまでの流れ

自社で取得を目指す場合の大まかな流れは、次の通りです。運用実績が必要な点に注意してください。

1. 適用範囲を決める（全社か、一部の部署・サービスか）。
2. 現状を把握し、リスクアセスメントを行う。
3. 情報セキュリティ方針・規程・手順書を整備する。
4. 対策を運用し、記録を残す（数か月の運用実績が求められる）。
5. 内部監査とマネジメントレビューを実施する。
6. 審査機関による審査（第一段階・第二段階）を受ける。
7. 取得後も、年1回の維持審査と3年ごとの更新審査を受ける。

期間の目安は、準備開始から取得までおおむね半年から1年程度です。運用実績の期間は縮めにくいため、取引の締め切りから逆算して計画を組みましょう。

導入前に押さえる注意点と選び方

ISMSは便利な物差しですが、過信は禁物です。認証を「あり・なし」だけで判断すると、思わぬ落とし穴にはまります。中小企業が投資判断をするうえでの現実的な視点も添えます。

「認証があれば安全」ではない

ISMS認証は「守る仕組みが整っている」ことの証明であって、「絶対に漏れない」保証ではありません。適用範囲外の部門や、認証取得後に始めた新サービスは対象外のことがあります。運用が緩めば、認証があっても漏えいは起こり得ます。

そこで、認証書の発行日・有効期限・適用範囲・登録番号まで確認しましょう。登録番号は、ISMS-ACなどのサイトで実在を照会できます。相手が示す認証が、本当に生きているかを自分の目で確かめる姿勢が大切です。

費用と工数の現実——中小企業の判断軸

中小企業にとって、ISMS取得はそれなりの費用と工数がかかります。主な内訳は、コンサルティング費用・審査費用・社内の運用工数です。金額は適用範囲の広さでおおむね決まります。

取引継続の条件になっているなら、投資判断はしやすいでしょう。そうでないなら、いきなり認証を目指す前に、まず社内規程の整備や基本的な対策から着手する手もあります。認証は目的ではなく手段だと捉え、自社の状況に合わせて段階的に進めるのが現実的です。

見落としがちなのが、取得後の維持コストです。ISMSは取って終わりではなく、毎年の維持審査と3年ごとの更新審査が続きます。そのたびに審査費用と準備の工数がかかります。運用を担当する人を決め、記録を残し続ける体制がないと、認証はいずれ形だけになりがちです。取得前に「誰が回し続けるのか」を決めておくことが、失敗しない一番の勘所だと感じています。

補助金や助成の活用可否は要確認

ISMS取得の費用に使える補助金・助成金があるか、気になるところだと思います。自治体によっては、認証取得を支援する制度が用意されている場合もあります。ただし、対象経費や公募時期は年度によって変わります。

国のIT導入補助金などは、認証取得費用そのものを対象としないことが多い点にも注意が必要です。利用を検討する際は、思い込みで進めず、必ず最新の公募要領・公式情報を確認してください。窓口や支援機関に事前相談するのも有効です。

← 用語集トップへ戻る