Q&A

ISMS（ISO27001）に関する
よくあるご質問

Pマーク、ISMS、どちらを取得すべきですか？

PマークとISMSのどちらを取得すべきかは、認証を取得する目的、取引先からの要求、取り扱う情報、事業内容、取得対象とする組織の範囲によって異なります。

取引先や入札条件などで取得する認証を指定されている場合は、原則として、指定された認証を取得することになります。特に指定がない場合は、次のように考えると選びやすくなります。

Pマークは、個人情報の適切な取り扱いを対外的に示したい企業に適しています。
Pマークは、JIS Q 15001に基づいて個人情報保護の仕組みを構築し、適切に運用している事業者に付与される、日本国内の認証制度です。原則として法人単位で取得するため、特定の部門だけではなく、会社全体の個人情報の取り扱いが審査対象となります。

人材サービス、コールセンター、マーケティング、システム開発、医療・福祉、教育、通販など、顧客や従業員の個人情報を大量に取り扱う企業では、Pマークが事業上の信頼性を示す手段になりやすいといえます。

ISMSは、個人情報に限らず、会社が取り扱う情報全般のセキュリティ管理を示したい企業に適しています。
ISMSは、ISO/IEC 27001に基づき、顧客情報、営業情報、技術情報、契約情報、システム、クラウドサービスなど、組織が管理する情報全般について、情報セキュリティ上のリスクを管理する仕組みです。国際規格に基づく認証であるため、法人向け取引、システム開発、クラウドサービス、海外取引などで取得を求められることがあります。

また、ISMSでは、認証の対象となる組織、拠点、部門、業務やサービスなどの適用範囲を設定します。そのため、まず情報セキュリティ上重要な事業から認証を取得し、後から認証範囲を拡大する方法もあります。

デンカクでは、取引先からの指定がなく、PマークとISMSのどちらを取得するか判断が難しい場合、次のような点を確認してご提案しています。

• 個人情報の取り扱いが事業の中心となっているか
• 顧客から個人情報の管理体制を重視されているか
• 情報システムやクラウドサービスの安全性を示す必要があるか
• 入札や取引条件で求められる可能性があるか
• 国内向けの認証を重視するか、国際規格による認証を重視するか
• 会社全体で取得するか、特定の事業や部門を対象にするか

デンカクでは、一つの目安として、個人情報を取り扱う業務が事業の中心であり、その業務が売上または収益の概ね50％以上を占める場合には、Pマークの取得を優先してご提案することがあります。

ただし、この50％という割合は、Pマーク制度が定める取得基準ではありません。単に認証を取得するだけでなく、認証を通じて実際の情報管理を向上させるという観点から、デンカクが事業内容を確認する際の目安としているものです。

費用面では、Pマークの有効期間は2年間で、継続する場合は2年ごとに更新審査を受けます。一方、ISMSは、初回認証後も通常は年1回以上の維持審査を受け、3年ごとに再認証審査を受けます。

この審査周期だけを比較すると、Pマークの方が継続的な審査費用を抑えやすい場合があります。ただし、実際の総費用は、企業規模、認証範囲、拠点数、審査機関、現在の管理状況、コンサルティングの利用範囲などによって異なるため、Pマークの方が必ず安くなるとは限りません。

個人情報保護と情報セキュリティの両面について、管理体制や企業の信頼性を示すため、PマークとISMSの両方を取得する企業もあります。

複数の認証を個別に運用すると、似た内容の規程、台帳、教育、内部監査、マネジメントレビューなどが重複し、担当者の負担が増えることがあります。

デンカクでは、PマークとISMSに共通する規程や運用を可能な範囲で統合し、複数の認証を効率的に維持するための構築・運用支援も行っています。取得目的、事業内容、費用、社内体制を確認したうえで、どちらか一方を取得するか、両方を取得するかをご提案します。

ISMS取得には何か月かかりますか？

デンカクでは、ISMS認証の取得までに、一般的に6～8か月程度を目安としたスケジュールをご提案しています。

実際の取得期間は、認証の対象とする拠点や事業、従業者数、既存の社内ルールやセキュリティ対策の整備状況などによって異なります。文書の整備だけでなく、構築したルールを一定期間運用し、その結果を確認したうえで認証審査を受ける必要があるためです。

早期取得をご希望の場合は、打合せの頻度を増やし、短期間に集中して準備を進めることも可能です。デンカクでは、お見積りの段階で取得希望時期や社内体制を確認し、無理なく進められるスケジュール案をご提示します。

ISMS取得の総費用はいくらになりますか？

ISMS取得に必要な総費用は、主に「コンサルティング費用」「認証審査費用」「セキュリティ対策に必要な費用」の3つで構成されます。

当社ウェブサイトに掲載している料金プランは、デンカクによるコンサルティング支援の費用です。このほか、認証審査を行う審査機関への費用や、必要に応じて導入するセキュリティサービス、機器、システムなどの費用が発生します。

審査費用は、認証範囲、拠点数、従業者数、選択する審査機関などによって異なります。また、セキュリティ対策にかかる費用も、現在の対策状況や、どの程度の水準を目指すかによって大きく変わります。

デンカクでは、コスト面だけでなく、取得目的や希望時期、今後の運用体制も確認したうえで、条件に合った審査機関の選定を支援します。新しいサービスや機器を購入する以外の代替策も検討し、過度な投資にならないよう、これまでの支援経験に基づいてアドバイスします。

コンサル費用と審査費用は別なのか？

はい、コンサルティング費用と審査費用は別に発生します。

コンサルティング費用は、ISMSの構築や運用を支援するデンカクにお支払いいただく費用です。一方、審査費用は、認証を取得する組織から認証審査を行う審査機関へ直接お支払いいただきます。

ISMS認証は、初回の認証審査を受けた後も、通常は1年目と2年目に維持審査、3年目に更新審査を受けるため、審査費用は継続的に発生します。

認証取得後のコンサルティングは必須ではなく、自社だけで運用できる体制が整えば、コンサルティング費用は発生しません。ただし、最新のセキュリティ動向に合わせて社内ルールを更新したい、専門的な視点で運用状況を確認したい、審査への対応を継続して支援してほしいといった場合には、取得後もコンサルティングを利用する方法があります。

デンカクでは、認証取得後の年間運用についても、必要な範囲を選択できる継続支援サービスをご用意しています。

従業員数が10名、50名、100名の場合、取得期間は変わりますか？

従業員数が増えたからといって、取得期間が人数に比例して長くなるとは限りません。

取得期間に大きく影響するのは、人数そのものよりも、拠点数、部門数、業務内容の違い、情報システムの構成、認証範囲の複雑さなどです。

例えば、同じ業務を行うコールセンターであれば、従業員数が50名の場合と100名の場合とで、整備する文書や基本的な運用方法が大きく変わらないこともあります。

一方で、従業員数が多くなると、全員が社内教育を受講するまでに時間がかかる、関係者との調整が増える、認証審査の日数やインタビューの対象が増えるといった影響が生じることがあります。

デンカクでは、お見積りの際に、従業員数だけでなく、認証の対象となる拠点や業務、組織体制を確認し、実態に合った無理のないスケジュールをご提案します。

ISO/IEC 27001・27017・27018・27701の違いは何ですか？

それぞれ対象とする管理分野が異なります。

ISO/IEC 27001は、組織の情報セキュリティ全般を管理するためのISMSに関する要求事項を定めた規格です。情報の機密性、完全性、可用性を維持するための基本となる認証規格です。

ISO/IEC 27017は、クラウドサービスを提供する組織と利用する組織の双方を対象に、クラウド固有の情報セキュリティ管理策を示したガイドラインです。国内のISMSクラウドセキュリティ認証は、ISO/IEC 27001の認証を前提とするアドオン認証として運用されています。

ISO/IEC 27018は、パブリッククラウド上で個人を識別できる情報であるPIIを取り扱うクラウドサービス事業者を主な対象として、PIIを保護するための管理策を示したガイドラインです。ISO/IEC 27001に基づくISMSを補完する規格ですが、認証の扱いや審査方法については、審査機関や認証サービスによって異なる場合があります。

ISO/IEC 27701は、PIIを含むプライバシー情報を管理するためのPIMSに関する規格です。
ISO/IEC 27701:2025からは、ISO/IEC 27001から独立したマネジメントシステム規格となり、PIMS単独での認証取得が可能になりました。ただし、認証機関によって新しい認証制度への移行時期が異なる場合があります。

取得する規格が増えると、構築する仕組みや審査範囲が広がり、審査費用も増加するのが一般的です。デンカクでは、ISO/IEC 27001、27017、27018、27701に関する支援実績があり、お客様のサービス内容や取得目的に応じて、適切な規格をご提案します。

ISMS取得に必要な文書・記録は何か？

ISMSの認証取得には、ISO/IEC 27001が作成または保持を求める文書化した情報と、各組織が定めたルールに基づく文書・記録が必要です。

規格に基づいて用意する主な文書・記録には、次のようなものがあります。

• 情報セキュリティ方針
• ISMSの適用範囲
• 情報セキュリティリスクアセスメントの結果
• リスク対応計画
• 適用宣言書
• 情報セキュリティ目的
• 教育や力量に関する記録
• 監視、測定、分析および評価の記録
• 内部監査の記録
• マネジメントレビューの記録
• 不適合や是正処置の記録

これらに加えて、各組織が定めた社内ルールに応じて、情報資産台帳、アカウント管理台帳、委託先管理記録、教育記録、点検記録、ネットワーク構成図などを整備します。

必要な文書や記録は、すべての企業で同じではありません。事業内容、組織規模、情報システム、取り扱う情報、リスクの内容に応じて決めることが重要です。

デンカクでは、必要な文書や記録のひな形を提供するだけでなく、各組織の業務や既存ルールに合わせた作成・調整を支援します。認証審査に必要な文書が不足しないよう、準備状況を確認しながら取得までサポートします。

リスクアセスメントとは何ですか？

ISMSにおけるリスクアセスメントとは、組織が取り扱う情報について、どのような情報セキュリティリスクがあるかを特定し、その発生可能性や影響の大きさを分析したうえで、対応が必要なリスクを評価する一連のプロセスです。

リスクアセスメントの結果を踏まえて、リスクを低減する、回避する、移転する、または受容するといった対応方法を決定します。したがって、厳密には「リスクを特定・分析・評価するところまで」がリスクアセスメントであり、その後に必要な対策を決めて実施する活動を「リスク対応」といいます。

ISMSでは、自社が必要とするセキュリティ水準をリスクアセスメントによって決定し、情報の機密性・完全性・可用性をバランスよく維持することが重要です。

一般的な方法の一つとして、社内の情報資産を一定の単位にまとめ、情報資産台帳に整理する方法があります。そのうえで、主に次の3つの観点から情報の重要度を評価します。

• 機密性：権限のない人に情報を見られないようにする必要性
• 完全性：情報が誤りなく、改ざんや破損のない状態を保つ必要性
• 可用性：必要なときに情報やシステムを利用できる状態を保つ必要性

重要度の高い情報については、情報漏えい、誤操作、サイバー攻撃、システム障害、災害、委託先での事故など、想定される脅威や弱点を確認します。そして、現在の対策で十分かを評価し、対応が必要なリスクには追加のセキュリティ対策を講じます。

ただし、ISO/IEC 27001では、情報資産台帳を使った評価方法だけが指定されているわけではありません。業務プロセス、システム、サービス、拠点などを起点としてリスクを評価する方法もあり、組織の業務や管理体制に合った方法を採用することが大切です。

また、リスクアセスメントでは、評価する人によって結果が大きく変わらないよう、判断基準を明確にする必要があります。評価者の知識や認識によって結果が異なると、本来守るべき重要な情報が管理対象から外れたり、対応が必要なリスクが見過ごされたりする可能性があるためです。

デンカクでは、複数企業の協力のもとで開発した、情報資産の価値基準の算出を支援するリスクアセスメントプログラムをご用意しています。共通の評価基準を用いることで、担当者による評価のばらつきを抑えながら、情報資産の重要度や対応すべきリスクを整理できます。

ISMS認証を取得してから、情報資産やリスクの評価内容が何年もほとんど変わっていないという組織も少なくありません。しかし、クラウドサービスの利用拡大、システム変更、新しいサイバー攻撃、委託先の変更などにより、組織を取り巻くリスクは変化します。

デンカクでは、現在の事業環境や新たなリスクを反映したリスクアセスメントの見直しについても支援しています。

内部監査は自社だけで実施できますか？

はい、必要な力量と客観性を確保できれば、内部監査を自社だけで実施することも可能です。

ただし、内部監査では、監査対象となる業務を担当している本人が自分の業務を監査しないなど、監査の客観性や公平性を確保する必要があります。また、単にチェックシートへ記入して監査報告書を作成するだけではなく、ISO/IEC 27001の要求事項や社内規程に適合しているか、ルールが有効に機能しているか、情報セキュリティ上の弱点がないかを確認することが重要です。

そのため、内部監査の有効性は、監査を担当する方の規格知識、監査技術、情報セキュリティに関する知識に大きく左右されます。社内に十分な力量を持つ監査員がいない場合や、より客観的な監査を行いたい場合には、外部の専門家を利用する方法があります。

デンカクでは、認証取得後も内部監査を継続してお任せいただく組織が多くあります。自社で内部監査を行える体制を整えたい場合には監査員教育を、第三者の視点で確認したい場合には内部監査の受託サービスをご提供しています。

審査でよく指摘される事項は何か？

ISMSの審査では、社内ルールに定めた内容と、実際の運用や記録が一致していないことが、よくある指摘事項の一つです。

例えば、次のようなケースがあります。

• 規程では定期的に点検すると定めているが、点検記録がない
• 情報資産台帳やアカウント管理台帳が最新の状態になっていない
• リスクアセスメントで決めた対策が実施されていない
• 教育や訓練は実施しているが、受講記録や評価記録が残っていない
• 内部監査で発見した問題に対する是正処置が完了していない
• 規程に記載された承認手続と、実際の業務手順が異なっている

こうした不一致は、必ずしも現場の運用不足だけが原因とは限りません。実態以上に厳しいルールを定めている、ルールの内容が抽象的で担当者によって解釈が異なる、組織やシステムの変更が規程に反映されていないといったことも原因になります。

デンカクでは、形式的に厳しいルールを作るのではなく、各組織の事業内容、セキュリティ水準、実際の業務手順に合わせて、継続して運用できるルールを整備することを重視しています。

ISMS取得後は毎年何を行う必要がありますか？

ISMS取得後も、構築した仕組みを継続的に運用し、定期的に見直す必要があります。

ISO/IEC 27001では、すべての活動を一律に年1回実施するよう求めているわけではありませんが、多くの組織では、次の活動を年間計画に組み込み、年1回以上の周期で実施しています。

• 組織を取り巻く内外の課題や利害関係者の要求事項の見直し
• 情報セキュリティ目的・目標の設定と評価
• 情報資産やリスクの見直し
• リスク対応計画の進捗確認
• 従業者への情報セキュリティ教育
• インシデント対応訓練や事業継続訓練
• 委託先やクラウドサービスの評価
• 内部監査
• マネジメントレビュー
• 不適合に対する是正処置
• 規程、台帳、記録類の更新

また、組織変更、入退社、システム変更、新サービスの開始、セキュリティ事故、法令改正などがあった場合は、年間の実施時期を待たずに、リスクやルールを見直す必要があります。

これらの作業を確実に実施するためには、担当者、実施時期、必要な記録を年間計画に整理することが大切です。

デンカクでは、認証取得後の年間運用支援もご用意しています。年間計画に沿って、実施時期ごとに必要な作業をご案内し、文書の更新、リスクアセスメント、教育、内部監査、マネジメントレビュー、審査対応などを支援します。作業漏れや記録漏れを防ぎながら、継続的に改善できるISMS運用をサポートします。

ISO/IEC 27001・27017・27018・27701の違いは何ですか？

それぞれ対象とする管理分野が異なります。

ISO/IEC 27001は、組織の情報セキュリティ全般を管理するためのISMSに関する要求事項を定めた規格です。情報の機密性、完全性、可用性を維持するための基本となる認証規格です。

ISO/IEC 27017は、クラウドサービスを提供する組織と利用する組織の双方を対象に、クラウド固有の情報セキュリティ管理策を示したガイドラインです。国内のISMSクラウドセキュリティ認証は、ISO/IEC 27001の認証を前提とするアドオン認証として運用されています。

ISO/IEC 27018は、パブリッククラウド上で個人を識別できる情報であるPIIを取り扱うクラウドサービス事業者を主な対象として、PIIを保護するための管理策を示したガイドラインです。ISO/IEC 27001に基づくISMSを補完する規格ですが、認証の扱いや審査方法については、審査機関や認証サービスによって異なる場合があります。

ISO/IEC 27701は、PIIを含むプライバシー情報を管理するためのPIMSに関する規格です。ISO/IEC 27701:2025からは、ISO/IEC 27001から独立したマネジメントシステム規格となり、PIMS単独での認証取得が可能になりました。ただし、認証機関によって新しい認証制度への移行時期が異なる場合があります。

取得する規格が増えると、構築する仕組みや審査範囲が広がり、審査費用も増加するのが一般的です。デンカクでは、ISO/IEC 27001、27017、27018、27701に関する支援実績があり、お客様のサービス内容や取得目的に応じて、適切な規格をご提案します。