当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
ISMS（Information Security Management System）は、組織が情報セキュリティを継続的に管理するための仕組みである。
情報セキュリティ対策では、セキュリティ製品を導入するだけでなく、組織が保有する情報や利用するシステムを把握し、それぞれのリスクに応じた対策を選択する必要がある。
ISMSでは、こうした対策を組織的に運用し、状況の変化に合わせて評価・改善を続けていく。
ISMSで管理する情報セキュリティ
ISMSでは、情報セキュリティを機密性・完全性・可用性の観点から管理する。
| 要素 | 意味 |
|---|---|
| 機密性 | 許可された者だけが情報を利用できる状態を維持する |
| 完全性 | 情報が不正に変更・破壊されず、正確な状態を維持する |
| 可用性 | 必要なときに情報やシステムを利用できる状態を維持する |
情報漏洩の防止だけでなく、データの改ざんや消失、システム停止なども情報セキュリティ上のリスクとして扱われる。
リスクに応じて管理策を決める
ISMSでは、すべての組織へ同じセキュリティ対策を一律に適用するのではなく、組織が抱えるリスクを評価して必要な対応を決める。
まず、保有する情報やシステムなどを把握し、それらにどのようなリスクがあるかを評価する。その結果をもとにリスクへの対応を決め、必要な管理策を選択する。
アクセス制御、バックアップ、認証、従業者への教育、インシデント対応なども管理策となり得る。
特定の製品や対策を導入すること自体を目的とせず、リスクを把握したうえで必要な対策を決定し、適切に管理することが基本となる。
継続的に評価・改善する
ISMSでは、セキュリティ対策を一度整備して終わりとせず、継続して運用状況を評価・改善する。
システムの変更、新しいサービスの導入、業務内容の変化、新たな脅威の発生などによって、組織が抱えるリスクも変化するためである。
実施した対策の運用状況を確認し、内部監査やマネジメントレビューなどを通じて問題点を把握する。その結果から必要な是正や改善を行い、情報セキュリティ管理を継続していく。
ISO/IEC 27001とは
ISO/IEC 27001は、ISMSを構築・運用するための要求事項を定めた国際規格である。
ISMSが情報セキュリティを管理する仕組みそのものを指すのに対し、ISO/IEC 27001は、そのISMSが満たすべき要求事項を定めている。
組織はISO/IEC 27001に沿ってISMSを構築・運用し、規格への適合について第三者による認証を受けることができる。
ISMS認証の仕組み
ISMS認証では、認証機関が組織のISMSを審査し、ISO/IEC 27001の要求事項に適合しているかを確認する。
ISOやIECが個々の組織を直接審査するのではなく、認証機関が実際の審査と認証を行う。日本ではISMS適合性評価制度が設けられており、認定機関や認証機関などがそれぞれの役割を担っている。
ISMS認証で評価されるもの
ISMS認証では、情報セキュリティを管理するための仕組みが構築され、実際に運用されているかが評価される。
情報セキュリティ方針、リスクアセスメント、リスクへの対応、管理策の実施、教育、運用状況の確認、内部監査、改善などが評価の対象となる。
特定のセキュリティ製品や個別の技術対策だけを見るのではなく、リスクに応じた対策を組織として継続的に管理しているかが評価される。
ISMS認証から判断できること
ISMS認証を取得している組織は、情報セキュリティを管理する仕組みを構築・運用し、ISO/IEC 27001への適合について第三者による審査を受けていると判断できる。
外部の事業者へ情報を預けたり、システムやクラウドサービスの運用を委託したりする場合には、その事業者の情報セキュリティ管理体制を評価する材料の一つとなる。
ISMS認証だけでは判断できないこと
ISMS認証は情報セキュリティの管理体制を評価するものであり、サイバー攻撃や情報漏洩、システム障害が発生しないことを保証するものではない。
また、すべてのシステムに脆弱性がないことや、個々のサービスが自社の求めるセキュリティ水準を満たしていることまで認証するものでもない。
委託先やサービスを評価する際には、ISMS認証の有無だけで安全性を判断せず、自社が必要とする技術的な対策や運用についても確認する必要がある。
ISMSの認証範囲を確認する
ISMS認証を確認するときは、認証の有無だけでなく認証範囲にも注意する。
ISMSでは組織が適用する範囲を定めるため、企業全体が認証されているとは限らない。特定の事業、部門、拠点などが認証範囲となっている場合もある。
委託先やサービス提供事業者を評価する場合は、「ISMS認証取得」という表示だけで判断せず、自社が利用するサービスや関連する業務が認証範囲に含まれているかを確認する。
ISMS認証の取得にかかる費用
2026年10月時点で、ISMS認証の取得費用に一律の金額は設定されていない。
認証機関へ支払う審査費用は、組織の規模、従業員数、拠点数、認証範囲、審査に必要な工数などによって変わり、小規模な組織でも初回の審査には数十万円以上の費用が必要になることが一般的である。
認証機関へ支払う費用に加えて、必要に応じてコンサルティングや管理ツールの費用も発生する。さらに、規程の整備、リスクアセスメント、従業者への教育、内部監査などを行うための社内作業も必要となる。
認証取得後も継続的な審査や更新が必要となるため、取得時の費用だけでなく、認証を維持するための費用と作業も考慮しておく。
具体的な費用は認証機関や認証範囲によって異なる。取得を検討する場合は、複数の認証機関から見積もりを取得して比較するとよい。