ISMSは意味がないと言われる理由は？形だけにしない運用の見直し方

ISMSが意味がないと言われるのは、認証の維持が目的になると、書類と記録は増えても、現場の事故の起点に手が届かないからです。認証の仕組みそのものより、運用の作り方の問題であることが多いと私たちは見ています。

今日やることは、直近1年⁠の事故とヒヤリハットを3件書き出し、リスク台帳に載っているかを確かめることです。誤送信、退職者のアカウントの残り、持ち出したUSBメモリなど、小さなもので構いません。載っていなければ、台帳と現場がずれています。

「意味がない」⁠と感じている会社はどれくらいある？

統計で確かめられるのは、取得している組織自身の声です。ISMS-ACの調査報告書は、2024年3月⁠に認証取得組織へ聞いたもので、有効回答は1,704件です。今後の課題の上位は次の3つでした。

半数が形骸化を課題に挙げています。ただし、同じ調査で効果を聞くと、「該当する」⁠が多いのは意識向上の71.6%⁠、管理体制の強化の70.5%⁠、対策の強化の70.2%です。効果を感じながら、慣れとの戦いにもなっている、という読み方が近いでしょう。

効果が低く出た項目も見ておきます。最新の技術動向に対応した対策が図れたは36.4%⁠、同業他社に対する営業上の優位は34.7%です。認証を取るだけで最新の脅威に追いつくとも、競合に勝てるとも言いにくい結果です。

なお、この調査の対象は認証を持ち続けている組織です。やめた会社の理由は入っていません。

なぜ書類だけが増えるのか？

報告書の記述回答を見ると、原因はいくつかに絞れます。

事務局が固定している。報告書によると、取得から5年⁠を超える組織が6割⁠を超え、事務局要員の固定化、業務の属人化、業務の定型化が多く挙がっています。初期メンバーのままで、クラウドなどの導入に対応できていないという回答もあります。

リスク評価も毎年同じになりがちです。「手法が一定のため、新しい脅威が出てこない」⁠と⁠い⁠う回答がありました。前年の表をコピーして日付を変える運用になると、新しいクラウドの利用や生成AIの利用は台帳に現れません。

教育が配信で終わっている場合もあります。効果の測定方法や理解度の差が課題に挙がり、教育をしていても事故のときに報告が滞ったという回答があります。受講率は記録に残りますが、それで分かるのは受けたかどうかまでです。

認証の範囲と事故の入口がずれていることもあります。報告書では範囲が全社の25%未満という組織が16.7%あります。範囲を絞ること自体は問題ではありません。ただ、IPAの情報セキュリティ10大脅威2026⁠が示すとおり、取引先や委託先の弱い部分が足がかりにされます。範囲の外の入口は、別に見ておく必要があります。

形だけにしない見直しは何から始める？

大がかりな作り直しは要りません。次の順に、毎年の作業の中身を入れ替えます。

リスク台帳を事故の起点から作り直す

今日書き出した事故とヒヤリハットを台帳に足します。そのあとで10大脅威2026の組織編を使い、自社に当てはまるものを確かめます。1位⁠はランサム攻撃、2位⁠はサプライチェーンや委託先を狙った攻撃、3位⁠は初選出のAIの利用をめぐるサイバーリスクです。解説書は順位が対策の優先順位ではないと断っているので、上から順にではなく、自社の立場で選びます。

文書と記録を2つ⁠に分ける

規格が求めているものと、自社が過去に足したものを分けます。JIPDECの解説⁠によると、2022年⁠の改訂で管理策の数は114から93に再構成されました。古い版の様式を引きずったままなら、整理する機会です。何を減らせるかは、認証機関の審査で問題にならないかを確かめてから決めます。

「やった記録」⁠を「効いたか」⁠の確認に換える

記録の項目を、事故につながる点の確認に置き換えます。次は私たちが考える置き換えの例で、規格の要求の一覧ではありません。

教育を役割で分ける

全員に同じ内容を配る形をやめます。報告書でも、経営層、事務局、情報システム部門、一般社員で必要な内容が違うことが課題に挙がっています。教材の入れ替えを考えるなら、セキュリティ教育とメール訓練の比較で、配信の手間と教材の量を比べられます。

事務局に新しい人を入れる

少人数の会社では交代が難しいので、まず内部監査を別の部門の人に頼みます。現場の人が「この記録は誰が見るのですか」⁠と聞くだけで、不要な作業が見つかることがあります。

人手が足りないなら、外に出せる範囲を確かめます。記録の管理はISMS運用ツールの比較、体制の見直しはセキュリティコンサルの比較で見られます。費用の見方はISMSの取得費用と維持費の計算⁠にまとめました。

経営層への報告を数字にする

報告書は、ISMSは事業のアウトプットに直結しないため、費用対効果を説明しにくいと書いています。だから報告の中身を変えます。回答の中には、経営層が指示した対策や教育について定量的なレポートを受け取れるようになり、投資への理解が深まったというものがありました。上の表の確認項目を、前年と並べて出すだけでも話が具体的になります。

審査で「今年変えたこと」⁠を説明する

審査を、記録をそろえて通す場から、変更を確かめてもらう場に変えます。今年台帳に足したリスク、やめた記録、変えた教育を3つ用意して審査員に説明します。回答にも、審査員からの指摘で環境の構築が進んだというものがあります。指摘がなかったことと事故が起きないことは別なので、審査の結果だけで安心しないようにします。

製造業で見落としやすいところは？

事務所のパソコンを前提に書いた規程が、工場の実態と合わない点です。たとえば、設備メーカーの保守担当が工場の機器へリモート接続している部品メーカーの場合です。ISMSの規程が事務所のネットワークだけを範囲にしていると、その接続は台帳にも監査にも出てきません。

確かめる点は3つです。誰が、どの機器へ、どの経路でつながっているのか。図面を外注先へ渡す手段は決まっているのか。止まったときに誰が判断するのか。範囲に入れない場合でも、外の入口として書き出しておきます。

SCS評価制度を意識している場合も同じです。経済産業省の説明では、制度はIT基盤を対象とし、製造環境等の制御（OT）システムは直接の対象としていません。それでも、工場の設備が事業を止める入口であることは変わりません。

認証をやめる判断はどうする？

順に確かめます。取引先や入札の条件に入っているなら、やめると取引に響きます。報告書でも、導入の動機で「該当する」⁠が最も多いのは顧客からの信頼確保の84.7%でした。取引先へ届く調査票は認証の有無を聞くことが多いので、委託先に送るチェックシートの作り方⁠を読むと、聞く側の見方も分かります。

条件に入っていないなら、認証の費用と、認証なしでも続ける対策を分けて見ます。やめても残る仕事は、事故対応、委託先の管理、社員の教育です。残る仕事に対して認証の審査が役立っているか、外の目が入ることに費用分の価値があるかで判断します。

IPAのFAQは、SCS評価制度の★3・★4をベースラインの考え方とし、ISMSとは相互補完と位置づけています。発注元の要請が★に移る可能性もあるので、やめる前に取引先へ聞いておきます。認証と取引先対応の全体は、サプライチェーンと認証の記事一覧⁠で確かめられます。