ISMSの資格と認証の違いは？審査員資格と会社の認証を分けて整理

ISMSの資格は個人に、ISMS認証は会社などの組織に与えられるもので、社員が審査員資格を取っても会社の認証にはなりません。

今日やることは、きっかけになった文書を読み直すことです。取引先の調査票や入札の条件に書かれているのは「ISMS認証の取得」⁠か⁠、「資格保有者の有無」⁠か⁠。ここを読み分けると、必要なものと費用が大きく変わります。

サプライチェーンセキュリティの解説⁠の中で、この記事は言葉の混同をほどき、社内で何が要るかを切り分けます。

資格と認証は何が違う？

対象、審査する相手、自社に関わる場面が違います。

ISMS認証の基準はJIS Q 27001（ISO/IEC 27001）⁠で⁠す⁠。ISMS-ACは、ISMSの要求事項を定めた規格と説明しています。ISMSは、組織がリスクアセスメントで必要なセキュリティの水準を決め、計画を持ち、資源を配分して運用するものです。つまり、見られるのは会社の仕組みです。

一方の審査員資格は、審査をする人の力量を登録する仕組みです。JRCAの資格基準は、ISMS審査員を評価登録するための基準を定めています。

混同が起きるのは、どちらも「ISMSを取る」⁠と言われるからです。社内の会話で「ISMSを取ろう」⁠と出たら、会社の認証の話か、個人の資格の話かを最初に確かめます。

登場する機関を整理すると？

関係者は4種類です。名前が似ているので、役割で覚えます。

• 認定機関：認証機関を認定する。日本のISMSではISMS-AC
• 認証機関：組織を審査し、認証を与える。一覧はISMS-ACのサイトにある
• 要員認証機関：審査員などの個人を評価して登録する。JRCA（日本要員認証協会のマネジメントシステム審査員評価登録センター）など
• 研修機関：審査員の研修コースを開く。JRCAの承認を受けたコースが資格の要件になる

会社が申し込むのは認証機関です。個人が審査員の登録を申し込むのは要員認証機関です。申込先が違うので、手続きも交わりません。

また、審査員が要員認証機関に登録していなければ審査できないわけでもありません。ISMS-ACのFAQは、認証機関で活動する審査員について、要員認証機関への登録は必須ではないとし、認証機関が資格基準を作って評価した審査員により審査を行うと説明しています。

ISMSの審査員資格にはどんな区分がある？

JRCAの資格基準（AI140 改定7版、2026年10月1日⁠）⁠による区分は、審査員補、審査員、主任審査員、エキスパート審査員です。主な条件を、審査員補、審査員、主任審査員の順に並べます。

資格の有効期間は3年で、1年ごとの維持の申請があります。審査員と主任審査員は、維持のために審査の実績も提出します。

注目したいのは審査員から上の要件です。実際の審査への参加が求められるので、研修を受けるだけでは届きません。普段は別の仕事をしている社員が、審査の現場に継続して入るのは簡単ではありません。

ここに書いたのは要点です。例外や緩和の扱いがあるので、申請するときはJRCAの基準と手引きの全文で確かめます。

自社の認証に、審査員資格は要る？

自社が認証を取るために、審査員資格を先に取る必要は、確かめた資料には見当たりません。JQAの審査登録規則は、セカンドステージ審査の前提として内部監査とマネジメントレビューの実施と記録を挙げています。社員の審査員資格は挙げていません。ただし、これはJQAの規則です。別の認証機関を使うときは、その機関の条件を確かめます。

要るのは資格ではなく、次の役割を担える人です。

内部監査の担当には、監査の進め方を学ぶ機会を作ります。審査員研修を受けるのも選択肢の一つですが、社内の監査に必要な範囲と、審査員として登録するための要件は別物です。JRCAのサイトには内部監査員の資格登録の案内もあるので、対象の規格と要件を見たうえで、費用に合うかを判断します。

具体的な工程と月数は、ISMSの取得の流れと担当の決め方⁠にまとめました。文書と記録の管理に手間がかかりそうならISMS・Pマーク取得支援ツールの比較を、社員教育の記録を残したいならセキュリティ教育（eラーニング・メール訓練）⁠の比較を見てください。

場面ごとに、何が要る？

たとえば、部品メーカーの総務担当者が親会社の調査票で「ISMS認証の取得状況」⁠を聞かれた場合を考えます。社員に審査員の研修を受けさせても、この設問の答えは「取得していない」⁠のままです。必要なのは、会社としての認証を取るか、未取得の理由と代わりの対策を説明することです。

場面ごとの整理は次のとおりです。

担当者の知識を底上げするなら

IPAの情報セキュリティマネジメント試験は、情報システムの利用部門で情報セキュリティリーダーを担う人を対象にしています。CBT方式で随時実施され、試験時間は120分です。部門の情報資産を特定してリスクアセスメントを行う、外部委託の要求事項を契約で明確にしてその実施状況を確かめる、といった業務が想定されています。兼任の担当者の学習範囲とは重なりますが、受かっても認証にはなりません。受験の最新の日程はIPAのページで確かめてください。

SCS評価制度との関係は？

SCS評価制度が始まると、資格の話がもう一つ増えます。IPAによれば、SCSセキュリティ専門家になるには、情報処理安全確保支援士、公認情報セキュリティ監査人、公認情報セキュリティ主任監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかを持ち、研修を受け、制度運営機関に登録します。

ISO27001の主任審査員は、この一覧に入っています。審査員補や審査員ではありません。ここでも資格は個人のもので、社員が専門家になっても会社の★の登録にはなりません。★3では社内外の★3確認責任者の確認を受けられますが、会社の自己評価と経営層の宣言はそれぞれ別に必要です。会社として何を点検するかはSCS評価制度のチェックリストの使い方⁠で確かめられます。

相手の「ISMS取得」⁠をどう確かめる？

取引先や外注先が「ISMS取得済み」⁠と言ったときは、認証か資格かに加えて、範囲も確かめます。認証は組織の一部を範囲にできるので、会社の名前が載っていても、自社の仕事を担当する部門が範囲外という場合があるからです。

ISMS-ACはISMS認証取得組織検索⁠を公開しています。組織名や登録範囲で検索できます。公表には各機関の同意が前提で、公表の時期が1か月程度ずれる場合もあるため、載っていないときは相手に登録証の写しと適用範囲を求めます。審査員の登録は、JRCAのサイトに検索と照会の入口があります。

取引先への回答や社内の体制づくりに手が回らないときの相談先としては、セキュリティコンサル・CSIRT支援の比較で支援の範囲を見られます。