ISO27001の取得企業は、ISMS-ACのISMS認証取得組織検索で調べられます。ただし、認証は会社全体のものとは限らないので、社名が出ただけでは確認は終わりません。頼みたい業務と拠点が登録範囲に入っているかを見ます。
今日やることは、機密情報を預けている取引先を1社選び、検索で「登録範囲」の欄を読むことです。その範囲に、預けた情報を扱う業務と拠点が書かれているかを確かめます。
ISMSとISO27001は同じ認証を指しているの？
同じものを指すと考えて問題ありません。ISMS-ACの説明によると、JIS Q 27001（ISO/IEC 27001）はISMS（情報セキュリティマネジメントシステム）の要求事項を定めた規格です。その規格に基づく認証が、日本ではISMS認証と呼ばれています。
検索の画面も「ISMS認証取得組織検索」という名前です。ISO27001で探している人は、この名前で探し直すと見つかります。
検索のページには件数も出ています。2026年11月5日の表示では、登録が8,764件、公表が8,519件でした。差の分は、ISMS-ACのFAQで説明されているとおり、非公開を希望している組織です。
検索画面の項目はどう使い分ける？
入力できるのは次の6項目です。認証登録番号を指定すると、ほかの条件は使われません。
| 項目 |
使う場面 |
| 組織名 |
取引先の社名が分かっている |
| 部門名 |
事業部や工場の単位で探す |
| 登録範囲 |
業務を表す語で探す |
| 都道府県 |
同じ社名を絞り込む |
| 認証機関 |
審査した機関から探す |
| 認証登録番号 |
認証書や名刺の番号で照らす |
業種の欄はありません。FAQのQ3005は、業種の情報を認定機関で管理していないと説明しています。特定の業務を持つ会社を探すなら、登録範囲の欄に業務の語を入れます。「設計」「製造」のような短い語から試すと、取りこぼしが減ります。
条件を入れずに検索すると、非公開以外の全組織を閲覧できます。ただし一度に表示できる件数には限りがあり、一覧表は提供されていません。
認証の範囲が会社全体とは限らないのはなぜ？
制度が全社での取得を求めていないからです。JIPDECのFAQは、認証取得の範囲に制限はなく、事業部や部、課、プロジェクトの単位でも取得できると説明しています。極端に狭い範囲は避けるよう推奨していますが、部門の単位で取得すること自体は認められています。
Pマークとの違いもここにあります。JIPDECの整理では、Pマークは全社的な取り組みが基本で、ISMSは組織の必要に応じて適用範囲を決められます。Pマークの法人名での確認方法と同じ感覚で見ると、範囲を読み落とします。
社名が出ても確認は終わらない
組織名がヒットしたことと、自社が頼む業務が認証の対象であることは別の話です。登録範囲と事業所の記載まで読みます。
詳細ページには、組織名称、部門名称、所在地、認証基準、認証登録番号、登録範囲、初回登録日、有効期限、認証機関が載ります。公開されている詳細ページの例では、登録範囲に対象のサービスが番号つきで並び、適用宣言書の版と日付、範囲に含まれる事業所も書かれています。
書き方は組織によって違います。読むときは、次の3点を順に見ます。
- 頼みたい業務が書かれているか
- その業務を行う拠点が含まれているか
- 部門名の欄で、一部の部門に限られていないか
範囲を読むのは、形式の話だけではありません。JIPDECのFAQによると、認証範囲の内で事故が起きた場合は認証機関への報告が必要で、状況によって臨時の審査があり、一時停止や取消しに至ることもあります。範囲の内か外かで、制度の中での扱いが変わります。
認証基準の欄も一緒に見ておきます。公開の例では「JIS Q 27001:2023(ISO/IEC 27001:2022)」のように、どの版の規格で認証されているかが書かれています。クラウドサービスを扱う事業者の場合、ISMSクラウドセキュリティ認証は別の検索ページです。頼むのがクラウドサービスなら、こちらも開きます。
製造業の取引先ではどこを見ればいい？
たとえば、機械メーカーが試作部品の図面を協力工場へ渡す場合を考えます。協力工場の親会社のシステム部門だけがISMS認証を持っているなら、社名は検索に出ても、図面を受け取る工場の業務は対象外かもしれません。
この場合に確かめたいのは、次のことです。
- 認証を持っているのは、契約の相手と同じ法人か
- 登録範囲に、図面を扱う設計や生産の業務が入っているか
- 図面を保管する工場や事業所が、範囲に含まれているか
範囲に入っていないから危ない、という意味ではありません。認証では確かめられていないだけです。その部分の対策は質問票や契約で別に確認します。質問の項目を揃えるなら、取引先から求められる対策の中身が使えます。回答の回収が負担なら、セキュリティチェックシート回答・委託先管理ツールの比較も候補です。
適用宣言書まで見る必要はある？
重要な情報を預ける相手なら、聞く価値があります。JIPDECのFAQは、データセンターの例を挙げて説明しています。範囲の名前から一般的な対策は想定できても、どの対策がどの水準で取られているかを確かめるには適用宣言書を見る必要がある、という内容です。
適用宣言書は一般には公開されません。同じFAQは、顧客の立場で開示や安全対策の説明を求められるとしています。開示の可否は相手が判断するので、断られたら、預ける情報に関わる対策だけ説明を頼みます。
検索に出ない会社はどう確かめる？
出ないことと、取得していないことは同じではありません。FAQのQ3004は、検索に出ない理由として次の例を挙げています。
- 非公開を希望している
- 公開の準備中である（通常、公開まで2週間程度）
- すでに登録が抹消されている
- ISMS-ACが認定した認証機関による認証ではない
検索ページの備考には、組織情報の公表が手続きの関係で1か月程度ずれる場合があるとも書かれています。認証を取ったばかりの会社が出ないのは、このためかもしれません。
最後の例は、取引先の説明と食い違いやすい点です。日本では、英国や米国など他の認定機関から認定を受けた認証機関も審査をしており、その認証はこの検索の対象外です。
確かめる方法として、同じFAQは2つを挙げています。その企業に認証登録証の写しを求めることと、認証した認証機関に問い合わせることです。写しが届いたら、組織名、範囲、有効期限を読みます。
一度確かめたら、次はいつ見直す？
JIPDECの説明では、認証登録後は通常1年ごとにサーベイランス審査があり、再認証審査は3年ごとです。詳細ページの有効期限を委託先の一覧に書き写しておくと、次に確かめる時期が分かります。
範囲も変わることがあります。工場の移転や、委託する業務が増えたときは、期限を待たずに確かめ直します。
外部から見える評価も併せて見たいときはセキュリティレーティングの比較があります。自社で取得を考える場合、文書と運用の記録をどう管理するかはISMS・Pマーク取得支援ツールの比較で確かめられます。取引先の確認の全体像は、サプライチェーンのセキュリティのカテゴリにまとめています。
