ISMSとは、情報セキュリティマネジメントシステムの略で、組織として自らのリスク評価により必要なセキュリティの水準を決め、計画を立て、資源を配分して運用する仕組みです。定義は認定機関であるISMS-ACの説明によります。認証まで取るかどうかは、取引先の要求と扱う情報で決まります。
今日やることは、過去1年に取引先や入札で「ISMS」「ISO27001」と書かれた書類がなかったか探すことです。要件書、チェックシート、基本契約を確かめ、見つかったら「必須か、加点か、同等の説明で足りるか」を相手に聞きます。
この問いに答えが出れば、認証の要否の大半は決まります。
ISMS、ISO27001、ISMS認証はどう違う？
3つは別のものです。ISMSは社内の仕組みで、規格はその物差し、認証は第三者の証明です。
| 語 |
指すもの |
| ISMS |
情報を守るために決めて、動かし、見直す社内の仕組み |
| ISO/IEC 27001（JIS Q 27001） |
ISMSの要求事項を定めた国際規格 |
| ISMS認証 |
認証機関が規格に沿った運用を審査して証明すること |
ISMS-ACの資料によると、ISMSが守るのは情報の機密性、完全性、可用性の3つで、技術的な対策だけでなく、従業員の教育や組織体制の整備も含みます。この資料は旧版の規格に対応したものですが、基本の考え方を確かめるために読めます。
現行の規格はISO/IEC 27001:2022です。管理策の数は114から93に変わり、旧版からの移行期限は2025年10月31日でした。古い情報を見るときは、版の違いに注意してください。
ISMSの仕組みは認証を取らなくても作れます。ISMS-ACは規格を、組織の内部で評価する基準としても、外部の関係者が評価する基準としても使えると説明しています。
認証の取得が必要な会社はどこ？
取引の条件に認証が入っている会社です。そこに当てはまらない場合、扱う情報の重さと顧客への説明の手間で判断します。
| 自社の状況 |
判断 |
| 入札や契約で認証が必須になっている |
取得する |
| 主要な取引先が「取得が望ましい」と言い、毎年詳しい監査やシートが来る |
取得を検討する |
| 他社の機密や大量の個人情報を預かり、新規の取引で毎回説明を求められる |
取得を検討する |
| 取引先の要求は★3相当か個別のチェックシートまで |
SCS評価制度と自己点検を先に見る |
| 取引先からの要求がなく、基本対策も途中 |
自己点検から始める |
この表は、公表された基準ではなく、私たちが判断の手順として整理したものです。業種だけでは決まりません。
業種の傾向は参考になります。ISMS-ACの2024年7月の調査報告では、回答した1,704組織の業種で「情報技術」が53.3%と突出していました（重複集計を含む）。受託開発やシステム運用、データを預かるサービスでは、認証が取引の話題に上りやすいと読めます。
取得の動機では、同じ調査で「顧客からの信頼を確保するため」に該当すると答えた組織が84.7%で最多でした。認証を持つ組織は、2024年3月31日時点で7,725です。最新の取得組織はISMS-ACのサイトで検索できます。
製造業ならどう考える？
製造業では、図面や仕様を誰から預かっているかで変わります。
たとえば、大手メーカーの試作品の図面を預かる加工会社で、取引先から専用のセキュリティ監査が来ている場合を考えます。この場合は、認証の有無よりも、その監査の項目に答えられることが先です。認証があれば監査が省略されるのか、取引先に聞いてから投資を決めます。
業界の共通基準が先にある場合もあります。自動車関連なら自工会・部工会のガイドラインがあり、37項目の要求事項と153項目の達成条件が示されています。こうした基準で足りる取引先に、別途ISMS認証を取って出しても、手間が二重になることがあります。
工場の設備を適用範囲に含めるかも、確認事項です。審査の範囲が広がるほど手間が増えるので、取引先が気にしている情報がどこにあるかから範囲を考えます。
自己点検で足りるのはどんな会社？
取引先や入札が認証を求めず、説明もチェックシートで済んでいる会社です。
ただし、「足りる」のは今の取引についての話で、対策が要らないという意味ではありません。自己点検は、公的な資料を順に使えます。
- 情報セキュリティ6か条に取り組む
- 付録の自社診断25項目で弱いところを見つける
- SECURITY ACTIONの二つ星を宣言し、基本方針を公開する
- 取引先に求められる見込みがあれば、SCS評価制度の★3の項目で点検する
ガイドライン第4.0版には、基本方針や関連規程のサンプル、資産管理台帳も付いています。
自己点検の弱点は、自社の見落としを自社で見つけにくいことです。回答を社外に説明する必要が出てきたら、外部からのセキュリティ評価サービスの比較やセキュリティコンサルティングの比較を、不足を補う手段として見てください。
SCS評価制度とはどちらを選ぶ？
取引先が指定するほうを選びます。指定がなければ、中小企業は★3の項目での点検から入ると、やることがはっきりします。
IPAのFAQは、★3・★4を代表的な脅威から効果の高い管理策を抽出するベースラインアプローチとし、ISMSとは相互補完的な制度と位置づけています。ISMSは自らのリスクアセスメントで水準を決める仕組みなので、同じ土俵で優劣を比べるものではありません。
|
ISMS認証 |
SCS評価制度 |
| 考え方 |
自社のリスク評価で水準を決める |
共通の項目を満たす |
| 確かめる人 |
認証機関 |
★3は専門家確認付き自己評価、★4は評価機関 |
| 更新 |
通常1年ごとの審査、3年ごとの再認証 |
★3は1年、★4は3年 |
| 対象の例 |
組織が定めた適用範囲 |
IT基盤（工場の制御システムは直接の対象外） |
SCS評価制度の詳しい中身はSCS評価制度の星3と星4の違い、開始の予定はSCS評価制度の準備の期間で扱いました。
認証を取ると決めたら、何が続く？
取得と運用の両方の手間を見込みます。
JIPDECの説明によると、申請先はISMS-ACから認定された認証機関です。ISMS-ACは認証機関を認定する機関で、組織の認証登録は行いません。審査は原則として第一段階と第二段階の2段階です。
登録後は、通常1年ごとにサーベイランス審査があり、再認証審査は3年ごとです。料金は適用範囲や規模、認証機関によって異なり、見積りを取れます。申請から登録までの期間も、規模や適用範囲などで変わるため、一律の月数は書けません。
認証機関に見積りを頼む前に決めること
- 適用範囲（全社か、特定の事業部や拠点か）
- 取引先が求めている範囲（その範囲で要求を満たすか）
- 運用の責任者と、内部監査を担う人
- 社内でやるか、外部の支援を頼むか
適用範囲は小さいほど楽に見えますが、取引先が気にする業務を外すと、認証を取っても説明に使えない場合があります。範囲を決める前に、登録証に載る範囲で要求を満たせるかを取引先に確かめてください。
続ける負担は小さくない
ISMS-ACの調査で、認証の取得・維持の課題として多かったのは「人材の確保、育成」54.2%、「マンネリ化・形骸化」50.8%でした。専任を置きにくいという声も載っています。
台帳やリスク評価、内部監査の記録を表計算で管理しきれなくなったら、ISMS運用ツールの比較も選択肢です。ツールは記録を助けるもので、判断と運用は社内に残ります。
認証を持っていても、攻撃を受けないことの証明にはなりません。取引先とつながる部分の備えは、サプライチェーン攻撃と取引への影響で確かめてください。ほかの話題はサプライチェーンのセキュリティ対策の一覧にあります。
