ISMS審査合格率100%

0120-068-268
お電話受付：平日9:30〜17:00

ISMS（ISO27001） 認証･更新

ISMS（ISO27001）認証お役立ちコラム

初心者の方へ｜ISO27001取得の流れは？費用や期間、メリットも解説

スタッフ写真
スタッフ写真

2024年4月30日

初心者の方へ｜ISO27001取得の流れは？費用や期間、メリットも解説

ISO27001の認証を取得するには、情報資産の洗い出し・リスク評価対策・内部監査・トップインタビューといったPDCAを実施し、一次審査、二次審査と2回の審査を受けることが必要です。ISO27001は国際的な規格であり、取得することで信頼性向上などのメリットがあります。

目次

１．ISO27001とは？

情報セキュリティ

(1)ISO27001とは

ISO27001とは、情報セキュリティマネジメントシステム（ISMS）の国際標準規格です。

ISO27001は、情報資産の保護、情報セキュリティリスクの管理、情報セキュリティ管理の継続的改善を目的としています。

組織がこの規格に準拠することで、情報セキュリティの管理体制が適切に機能していることを証明できます。簡単にいうと「安心・安全なビジネス環境を整えていこう」ということです。

(2)ISO/IEC27001とは？

ちなみに、ISO27001は、ISO/IEC27001と記載されていることがあります。

IECは、International Electrotechnical Commissionの略で、日本語では「国際電気標準会議」を意味します。電気、電子、関連技術分野の国際標準を策定するための国際的な非営利組織です。ISOとIECが共同で策定した情報セキュリティマネジメントシステムの国際標準がISO/IEC27001です。

(3)ISMSとは？

ISO27001と並んで、ISMSという呼称もよく耳にします。

ISO27001とは「規格要求」を指し、ISMSとは「マネジメントシステム」を指しています。

認証の名称としてはISO27001が正しいですが、ISMSと通称されるケースもありますので、ISMSを認証していると言っても問題はありません。

正しく理解するのであれば、規格要求を満たして認証されるため、「ISO27001を認証取得している」が正しい表現でしょう。

(4)ISO27001とPマークの違い

プライバシーマーク（Pマーク）という認証をご存知でしょうか。

ISO27001とPマークは、どちらもマネジメントシステムによるPDCAの仕組となり、第三者認証です。

しかし、以下のような違いがあります。

・対象範囲

ISO27001は組織が持つ情報資産全体を対象としています。一方、Pマークは「個人情報」の保護に特化しています。

つまり、ISO27001のほうが広い範囲を対象としているのです。

・発行元

ISO27001は国際標準化機構（ISO）が発行している国際規格です。グローバルに通用します。

Pマークは日本国内の認証制度です。

・有効期限

ISO27001は3年間の有効期限ですが、2回の維持審査と、1回の更新審査により毎年審査があります。

Pマークは2年間の有効期限のため、2年に1度の審査があります。

違いはありますが、どちらがよいというものではなく、あくまで第三者認証となるため、顧客要求や、取得する目的に合わせて、規格を決めるようにしましょう。

ISO27001とPマークの違いについて詳しく知りたい方はこちらの記事をご覧ください。

【結論】どっちを取得するのがいい！？PマークとISMSの違いを徹底比較！

https://ninsho-partner.com/pmark/column/privacymark_isms_hikaku/

２．ISO27001認証取得までの期間

ISO27001の認証取得までの期間は、企業の規模や既存の情報セキュリティ管理体制の状況によりますが、一般的には約6ヶ月から1年程度とされています。

ただし、これはあくまで目安であり、準備が整っていればより短期間で認証を取得することも可能です。

また、逆に準備が不十分な場合や改善点が多い場合は、より長い期間を要することもあります。

３．認証取得のおおまかな流れ　

(1)全体の計画を立てる

取得までに必要な項目を洗い出し、計画を立てましょう。いつまでに取得完了したいかの期日、適用範囲、認証プロジェクトの担当者や予算を決定します。

また、「プロの手を借りたい」「専門家に導いて欲しい」という場合は、コンサルティング会社に問い合わせを行います。

(2)審査機関を選定する

多くの審査機関がある中で、審査を受ける審査機関を決定します。自社の要望に合いそうな審査機関を数社選び、合い見積もりをとって決定します。

(3)情報セキュリティマネジメントシステム（ISMS）を構築する

情報セキュリティマネジメントシステム（ISMS）を構築します。

ISMSの規格要求事項に合わせて社内ルールを策定しましょう。これには、情報資産の洗い出し、情報セキュリティポリシーの策定、リスクアセスメント実施、リスク対策の計画と実施などが含まれます。

(4)ISMSを運用する

ルールが決まり文書ができた後は実際にマネジメントシステムの運用に入ります。実際の運用に関しては、活動の結果を証拠として記録を残す必要があります。例えば、情報資産を一覧にした台帳やリスクアセスメントの結果などが該当します。審査でも記録類の確認をされるので準備しましょう。

(5)社内チェック（内部監査）とトップへの報告（マネジメントレビュー）

一通りの運用が終われば、つぎはチェックを行い、次に向けてのアクションを決めていきます。

ISMSでは、内部監査とマネジメントレビューが該当します。ISMS（ISO27001）を取得するには内部監査・マネジメントレビューの実施は必須です。計画的な実施と実施結果を記録に残すようにしましょう。

(6)審査を受ける（一次審査）

マネジメントレビューまで完了したら、ついに審査にのぞむことになります。

新規取得をする場合には2回の審査があり、1回目の審査は文書類の審査です。

自社で作った文書類や記録類が、ISMS（ISO27001）の要求を満たしているかを確認されます。
文書類や記録類を確認してもらい、二次審査を受けられるかどうか のチェックをされます。

(7)審査を受ける（二次審査）

一次審査が終わると二次審査、いわゆる現地審査を迎えます。
自社で作ったルール通りに運用が行われているか、等の中身の妥当性を見る審査です。

実際の仕事内容や現場をチェックしてISMSの認証ができる状態かを見られます。
ここでは一次審査で受けた指摘の結果対応も見られますので、二次審査までに対応を終えておくようにしましょう。

ISMSの審査については以下を参照してください。
ISMSの審査は難しい？流れ、準備物、注意するポイントを解説
https://ninsho-partner.com/isms/column/isms_koushin_iji_shinsa/

(8)認証取得完了

二次審査を終えて審査機関のOKが出るとついに認証になります。

認定証が手元に届きます。同時に認証のマークも届きますので、名刺やホームページに掲載していくようにすると良いかと思います。
認定証が届いたら終わりではありません。ISMS（ISO27001）は毎年審査がございます。早速ですが、次年度の審査までの段取りを始めましょう。

取得できて安心し、油断してたら何もしないうちに次の審査を迎えたといったことがないように進めるようにしましょう。

ISMSの運用については、以下を参照してください。

ISMS（ISO27001）定期運用の１年間でやること
https://ninsho-partner.com/isms/column/isms_teiki-unnyou/

情報セキュリティ管理策と適用宣言書とはなにか

情報セキュリティ管理策と適用宣言書とはなにか

４．ISO27001の取得費用

ISO27001には大きく分けて2種類の費用が発生します。

①認証審査費用

審査機関に支払う金額です。審査費用や認証登録費用等、ISO27001を取得する上で必ずかかる費用です。

②コンサルティング費用

自社のリソースのみで構築、運用をする場合、時間はかかりますが、コンサルティング費用はかかりません。

自社と認証機関との間に入りコンサルティングしてくれるコンサル会社の費用は、新規取得時も同様ですが、その後ずっと続く運用面のサポートにも目を向けたほうがよいでしょう。

ISO27001は取得して終わりではありません。

認証完了後も維持するためには維持審査、更新審査を受けるためランニングコストがかかりますので下記を参照してみてください。

取得後も発生する費用・ランニングコストについて

https://ninsho-partner.com/isms/column/isms_shinki-shutoku-hiyou/#chapter-7

５．ISO27001取得の審査

（１）審査の内容と対策

内容としては、ISMSを認証取得させて問題ない組織かどうかを確認することなので、大きく見るポイントは3点です。

  1. 規格要求事項をルール化できているか
  2. ルール通りに運用できているか
  3. 目標達成などに向けて、妥当なルール・運用・内容なのか

以下参照にしてみてください。

ISMSの審査は難しい？流れ、準備物、注意するポイントを解説

https://ninsho-partner.com/isms/column/isms_koushin_iji_shinsa/

６．ISO27001取得にコンサルタントは必要なのか

ほとんどの企業ではISO27001の取得をまかされた担当者が通常業務と兼務でISO27001の担当となることが多いため、負担が大きいでしょう。

ゼロから規格の勉強をしたりセミナーに参加したり、書類の作成、審査の対応などにかかる時間・費用・工数を考えると、コンサル会社を使用するほうが効果的です。

なによりコンサルタントは他社事例や経験を多く持っているため、よりスムーズな取得へ導いてくれます。

７．情報セキュリティアセスメントとは

ISO27001は、情報セキュリティの管理体制の構築・運用を求めています。

情報セキュリティアセスメントとは、組織の情報セキュリティの状況を評価・分析することを指し、ISO27001認証取得のためには必須です。

具体的には、情報セキュリティポリシーやガイドラインの遵守状況、セキュリティ対策の適切性、脆弱性の有無、リスクの評価などを行います。

これにより、組織の情報セキュリティの強化や改善策の策定、リスクの管理などに役立てることができます。

８．機密性・完全性・可用性について

機密性・完全性・可用性とは情報セキュリティの3つの基本的な要素で、

情報セキュリティマネジメントシステムでは、機密性、完全性、可用性の3つに対して、様々な対策を講じる必要があります。

ただ、ここで大切になってくるのが、どれか一つだけ対策を講じればいいわけではなく、

3つの観点全てを考慮し、対策を建てていく必要があります。

それぞれは以下のように定義されます。

①機密性（Confidentiality）

情報が許可された者だけがアクセスできる状態を指します。不正なアクセスや漏洩から情報を保護することが求められます。

②完全性（Integrity）

情報が正確であり、不正な改ざんや破壊から保護されている状態を指します。情報の信頼性を保つために重要な要素です。

③可用性（Availability）

情報が必要な時に、許可された者が適切にアクセスできる状態を指します。システムのダウンタイムやネットワークの遅延などから情報を保護することが求められます。

９．ISO27001認証取得メリット・デメリット

ISO27001の認証取得には、メリットがたくさんある一方、デメリットも存在します。

（１）メリット

情報セキュリティの国際的な基準に準拠していることを証明できる。

企業の情報セキュリティ対策が適切であることを第三者が認証することで、顧客や取引先からの信頼を得られる。

情報セキュリティリスクを管理し、事故やインシデントを未然に防ぐことができる。

法令遵守や契約上の義務を果たすためのフレームワークを提供する。

（２）デメリット

認証取得までに時間とコストがかかる。

継続的な改善と監査が必要であり、そのためのリソースが必要。

全社的な取り組みが必要であり、組織全体の理解と協力が必要。

認証取得後も定期的な更新が必要であり、そのためのコストと時間が発生する。

まとめ

ISO27001の新規取得に関しても、何のために取得するのか、自社ではどの範囲で取るべきか、費用はどのくらいか、期間はどのくらいかなど、実績や経験、事例をもとにした情報が一番確実で早いことは確かです。

ご不明点やイメージ付け、情報収集だけでもお気軽にご連絡ください。

ISO・Pマークについてのお悩みはありませんか？
プロのコンサルタントにお気軽にご相談ください。
コンサルタント写真
ISO・Pマークについてのお悩みはありませんか?
プロのコンサルタントにお気軽にご相談ください。
コンサルタント写真

\あわせて読みたい記事/

  • ISMSの適用範囲の決め方がわからない！そんな方へ一から解説！

    2023年7月26日

    ISMSの適用範囲の決め方がわからない！そんな方へ一から解説！

    ISMSの適用範囲とは、 規格要求と自社のルールを比較して採否を決定し、対象範囲を決めたものです。適用範囲を決めるにはサービス名など、どんな事業をしている会社か分かるような内容にしなければなりません。反対に、当てはまらない事項があった場合は、「適用除外とする」と明記します。

  • ISMS認証機関の賢い選び方｜重要な３つのポイント

    2023年11月24日

    ISMS認証機関の賢い選び方｜重要な３つのポイント

    ISMSの認証機関（審査機関）は国内に60社ほど存在しているため、どこを選べばいいか迷う方が大半です。
    ISMS認証機関選定のポイントは３つ。①審査費用が適切か②自社の要望に合わせた対応が可能か③対応のスピードです。
    押さえるべき3つのポイントを理解してから、認証機関を選定しましょう。

  • 初心者のためのISO27017の要求事項と管理策

    2023年11月24日

    初心者のためのISO27017の要求事項と管理策

    ISO27017の要求事項は、情報セキュリティ管理システム（ISMS）の国際標準であるISO27001に基づいています。ISO27001の基本的なフレームワークを理解していることが、ISO27017の要求事項を理解する上で非常に重要です。

一覧へ戻る

ISO・Pマーク（プライバシーマーク）に関することなら
何でもお気軽にご相談ください

認証パートナーロゴ

0120-068-268
お電話受付：平日9:30〜17:00

認証パートナーのサービスご説明資料

新規認証や運用･更新にあたって
当社が請け負うことをわかりやすくまとめました。
ぜひご検討の参考にしてください。

資料の内容

  • ・当社のサポート内容
  • ・規格の概要
  • ・取得までに必要な審査費用
役立つ資料をお届け
資料請求する

ISMS（ISO27001）認証パートナー
サービスのご案内

認証パートナーロゴ

認証パートナーの専門コンサルタントが御社の一員となって事務局業務を行います。
お客様の作業は審査機関との窓口役だけ。それ以外はすべてお任せください。