ISMSの取得費用はいくら？審査料とコンサル代と社内の手間を分けて計算

ISMSの取得費用は、認証機関に払う審査料と社内の人件費が必ずかかり、コンサル代とツール代は頼むかどうかで変わります。定価はありません。支援会社が公表している審査料の目安は、従業員20名以下⁠で約50万〜60万円⁠、100名規模で100万円前後です。

今日やることは、認証の範囲の案を1行⁠で書き、人数、拠点数、扱う情報を認証機関2〜3社⁠へ同じ内容で送ることです。相場を調べ続けるより、自社の条件で出た見積もりのほうが予算の根拠になります。

この記事の金額は、民間の支援会社が公表している目安です。公的な統計は確かめられませんでした。ISMS-ACのパンフレットも、料金は認証範囲や規模のほか、認証機関によって異なると書いています。各社の目安は税や交通費の前提がそろっていないので、桁をつかむ材料として読んでください。

ISMSの費用は何に分かれる？

予算書では4つ⁠に分けます。必ず出ていくものと、選べるものが混ざると、見積もりを比べられないからです。

JQAのよくある質問⁠によると、審査料は対象の人員数や事業所数などに応じて算出します。ソフトやツールについては、ある支援会社の解説が、特定の製品の導入は取得に必須ではないとしています。

審査料とコンサル代は規模でいくら変わる？

ある支援会社が公表している目安⁠は次のとおりです。

別の会社の解説は、審査料を数名の企業で60万円前後⁠、100名程度で100万円前後⁠、数百名規模で200万円前後としています。

ただし、数字には開きがあります。30名・1拠点のモデル⁠を公表している会社の内訳は、申請11万円⁠、第1段階35万円⁠、第2段階61万2,500円⁠、認証書の発行13万円です。足すと120万2,500円で、任意の予備審査17万5,000円⁠は別です。上の表の21〜50名⁠の目安とは、同じ規模でも30万円以上⁠の差があります。

審査の時間そのものは、認証機関が自由に決められるものではありません。日本検査キューエイの解説⁠によると、審査工数はISO/IEC 27006などの国際基準に沿って算定し、概ねどの機関でも同等です。工数の決まり方の解説では、人数に事業とITの複雑さを加味するとしています。扱う情報の重さやシステム開発の有無で増減するということです。

だから見積もりは総額だけでなく、人日と単価を分けて聞きます。人日が同じなら、差は単価や付帯の費用にあると分かります。

2年目以降の維持費はいくら？

ISMSは取って終わりではありません。ISMS-ACのパンフレット⁠によると、認証の有効期限は3年で、年1回以上⁠のサーベイランス審査と、3年ごとの再認証審査があります。

先ほどの目安を出している会社は、維持審査を取得審査の3分⁠の1程度、更新審査を3分⁠の2程度としています。取得審査が100万円なら、維持審査が30万円程度、更新審査が60万円程度という計算です。最初の3年⁠の審査料は160万円程度になります。

一方、30名・1拠点のモデルでは維持審査が年48万円⁠、更新審査が65万5,000円です。この資料は、維持審査の頻度が年1回⁠の場合と年2回⁠の場合があると書いています。同じ式で最初の3年⁠を足すと、約216万円です。

コンサル代とツール代はどう見ればいい？

コンサル代は、月額と契約の長さで考えます。公開されている例として、月額5万円（税別）⁠の⁠会⁠社と、月39,800円（税別）⁠か⁠ら⁠で条件つきの会社⁠があります。12か月なら、それぞれ60万円⁠と47万7,600円です。

金額より先に確かめるのは、誰が文書を書くのか、内部監査まで頼めるのか、取得後の更新も同じ料金なのかです。ISMS取得を支援するセキュリティコンサルの比較で、支援の範囲の違いを見られます。

ツール代は、月額を年額に直して、減る手間と比べます。たとえばSecureNaviの料金ページでは、1規格あたり月額3万円から（税別）⁠で⁠す⁠。この価格なら年36万円からになります。製品ごとの違いはISMS・Pマーク取得支援ツールの比較⁠にまとめています。取引先から届く調査票への回答も重いなら、セキュリティチェックシート回答ツールの比較⁠もあわせて確かめます。

社内の手間はどう計算する？

社内の手間は見積書に出ないので、自社で計算します。ある支援会社は、担当者数や期間によって数百万円から数千万円規模になることもあるとしています。幅が広いので、相場の数字より自社の計算を使います。

式は、関わる時間に時間あたりの人件費を掛けるだけです。次は説明のために置いた仮の数字で、目安ではありません。

これに、内部監査、審査の立ち会い、規程の説明会の時間を自社の予定で足します。兼任の担当者なら、減る本来の業務を誰が持つのかも一緒に決めます。

製造業は範囲の決め方で費用が変わる？

変わります。たとえば、従業員100人⁠の部品メーカーが、図面を扱う設計部門と情報システムの20人⁠を範囲にする場合と、工場を含めて全社にする場合です。人数と拠点が違うので、審査の工数も、文書を整える手間も別物になります。

ISMS-ACの2024年の調査では、認証範囲が全社の組織は52.2%で、全社の25%未満も16.7%あります。回答1,704組織のうち、情報技術が53.3%です。製造業の区分を私たちが足すと99組織（5.8%・出版印刷を除く）でした。製造業の審査の実績は機関によって差がありえるので、見積もりのときに聞きます。

発注元の要請で認証を取る場合は、費用の話も切り出せます。公正取引委員会などの資料は、認証の取得を求めながら、コスト上昇分を明示的に協議せず価格を据え置くことを、独占禁止法上問題となるおそれがある例に挙げています。

費用を抑える手段はある？

自治体の補助は確かめる価値があります。条件は地域ごとに違い、申請の時期を誤ると使えません。

費用の話は、続けられるかの話でもあります。認証を維持する費用が毎年出ていくので、ISMSを形だけにしない運用の見直し方⁠も取得前に読んでおくと、作る文書を絞れます。個人情報の保護が主な目的なら、Pマークの申請料と維持費⁠と並べて比べます。取引先対応として認証全体を見直すなら、サプライチェーンと認証の記事一覧⁠にまとめています。