１．ISMS（ISO27001）取得企業とは

ISMS取得企業とは、ISMSの規格要求事項（JISQ27001:2014）を基に組織の情報セキュリティマネジメントシステムを確立し、審査機関による審査を受け、認証を認められた会社のことです。

ISMS取得企業は、規格要求事項（JISQ27001:2014）の各管理策に対して、技術対策を定め、
リスクアセスメントを実施して必要なセキュリティレベルを決め、計画、運用、改善をすることでシステム運用を行っている企業であると言えます。

※ISMS（ISO27001）とは
情報セキュリティマネジメントシステムのこと。情報セキュリティに関するISO規格の1つ。

※JISQ27001：2014（ISO／IEC27001）とは
組織がISMS（ISO27001）を確立し、実施し、維持し、継続的に改善するためにどうしたらいいかを提供することを目的としています。
ISMS（ISO27001）の確立及び実施について、組織として何をどう行うべきかを記載しています。

※ISMS（ISO27001）は、3つの要素について定義しています。
「情報の機密性、完全性及び可用性の維持」
各要素を一言でいうと
・機密性(Confidentiality)・・・情報が漏れないようにすること
・完全性(Integrity)・・・情報が改ざんされたりしないようにすること
・可用性(Availability)・・・情報が使いたいときに使える状態にすること
となります。

こちらの記事でも詳しく解説しております。よろしければご覧ください。

 

２．ISMS（ISO27001）の取得企業数ってどれくらい？

2023年5月30日時点での日本のISMS（ISO27001）取得企業数は7,362社です。
そのうち、取得を公表している企業数は6,965社となっています。

取得企業数は、公益財団法人日本適合性認定協会（JAB）というISO規格の認定を行っている協会で定期的に認証件数の調査をしており、発表されています。

 

３．ISMS（ISO27001）取得企業の推移

ISMS（ISO27001）の取得企業ですが、2002年に約140社だった取得企業が、2019年で約6,000社、2023年では7,000社以上と増加しています。
この推移から、ISMSをまだまだ取得したい企業があり、世間のニーズは高まっていると言えます。

４．ISMS認証を取得すべき業種

ISMS認証を取得している企業を業種別でみると、情報技術業に属する企業が58.2％と
半分以上の割合を占めています。
・情報技術（58.2％）
・その他サービス業（16.8％）
・建設業〈エンジニアリングを含む〉（4.2％）
・卸売り・小売業（3.8％）

 

引用：ISMS適合性評価制度に関する調査報告書 P3『図1‐1法人の業種』
（情報マネジメントシステム認定センター）
URL：https://isms.jp/std/scheme_doc.html　ISMS適合性評価制度に関するアンケート調査報告書　2018年3月

 

また、ISMS取得の目的としては、以下のような理由がよく挙げられます。
・会社の情報セキュリティの強化のため
・会社の情報セキュリティ対策の強化のため
・従業員の情報セキュリティに関する意識の向上や教育のため
・官公庁関連の入札条件にあるため
・ISMSに対して顧客要求があるため

 

5．ISMS（ISO27001）取得企業の検索方法は？

ISMS（ISO27001）取得企業を見つける方法は3つあります。

①ネット検索する

「ISMS認証取得組織」で検索すると、日本の認証機関で取得した企業については調べることができます。

 

②会社ホームページにて確認する

ISMSは日本の認証機関以外の審査機関で審査を受けても取得ができるため、ISMSを取得していても①のページに掲載されていない場合があります。
その会社のホームページを見て、「ISMS（ISO27001）認証」と掲載されていないか、ISMSのロゴマークがないかを確認してみるのがいいでしょう。
ISMS（ISO27001）取得企業は、ISMS取得後に認証の証である各認証機関、各審査機関のロゴマークの使用が許可されます。
多くのISMS取得企業が社内外へのアピールのため、会社ホームページに認証について掲載しています。

 

③名刺、会社パンフレットなどで確認する

ISMSを取得していても会社ホームページに記載する義務はありませんので、ホームページにない場合は、名刺や会社パンフレットにも記載がないか確認してみるのがいいでしょう。

ちなみに、各認証機関、各審査機関によって、ロゴマーク使用に関してのルールや手順があるので使用には注意が必要です。
ルールや手順が間違っていると、不適合になる場合があります。

 

 

6．取得企業がやっている３つのこと

下記３点は、実施が必須の項目です。

 

①社内外における情報セキュリティ対策の実施

社内での情報資産(個人情報含む)の取り扱い、社外との情報共有時のセキュリティ対策、各システムにおけるアクセス権の管理、監視などの対策の策定が必要です。
また、マニュアル(手順書)を作成し、従業員がいつでも閲覧できるようにしなければなりません。

 

②従業員への情報セキュリティ教育の実施

従業員及び派遣、アルバイト、パート、個人事業主への自社情報セキュリティ対策についての教育を年に1回以上実施しなければなりません。
また、情報セキュリティ事故への教育や注意喚起、周知も実施しなければなりません。

 

③トップマネジメントによるマネジメントシステムの推進

トップマネジメントが情報セキュリティに関しての方針、目標(目的)を策定し、従業員へ周知しなければなりません。

重要なポイントを絞っていますので、これ以外にもやらないといけないことはあります。 ISMS（ISO27001）取得、運用にお困りの方は是非一度ご相談ください。

 

7．ISMS（ISO27001）って意味がないって本当？

そんなことはありません。 しかし、ISMS（ISO27001）を役立てられている組織が多くないのです。

意味のあるISMS（ISO27001）にするために大切なことは、
「構築の段階でISMSのためだけのルールを作らない」ということです。

多くの組織がISMS（ISO27001）のためだけのルールを作ってしまっているのが現状です。
自社のルールをそのままISMSのルールにすることで、意味のある運用に変わってきます。

詳しくはこちらの記事で紹介しております。

 

8．ISMS（ISO27001）を取得する上で注意すべきポイント

新しく担当者になった方がよくやってしまうのは、
ISMS（ISO27001）の審査に通るためだけに新しいルールを作りすぎる
ということです。

ルールをたくさん作った結果、業務がやりにくくなってしまったり、手間が増えてしまうと本末転倒です。
今ある自社のルールを活かすかたちで構築・運用し、審査で指摘を受けた箇所は改善するというスタンスで審査に臨むくらいがいいと思います。

詳しくはこちらの記事で紹介しております。

 

9．ISMS（ISO27001）取得企業になるメリット

ISMSを取得することで下記のようなメリットがあります。

 

①取引先や顧客からの信頼を与えられる（高められる）

社内外に向けて、自社が取り扱う情報に関して、管理ができていてセキュリティ対策を行っているという証明になります。

 

②売上拡大のチャンスになる

ISMS（ISO27001）を取得することにより、情報セキュリティ対策を行っているとアピールでき、取引先との契約締結がしやすくなります。

 

③社内の情報セキュリティに対してのコンプライアンス意識が向上する

社内の情報セキュリティに関して、各対策を実施することで、従業員へのコンプライアンス意識の向上が期待できます。

反対に、取得することでのデメリットもあります。
よろしければこちらの記事もご覧ください。

 

まとめ

ISMS（ISO27001）取得企業とは、情報セキュリティについてのマネジメントシステムを確立し、審査機関による審査を受け、認証を認められた会社のことです。
ISMS取得企業はネット検索、ホームページ・名刺・会社パンフレットを確認することで調べることができます。

ISMSを取得している企業は、
①情報セキュリティ対策
②情報セキュリティ教育
③トップがマネジメントシステムを推進
の３点を必ず実施しています。

ISMSを取得することで、
①取引先・顧客から信頼を得られる
②売上拡大のチャンスになる
③社内のコンプライアンス意識が向上する
というメリットが得られます。

ISMS（ISO27001）取得にお困りの方、ISMSのためにお時間を取られ、通常業務にお時間が取れない方、ISMSのための実施事項が増えてしまい業務実態にそぐわないルールになっている方、是非一度ご相談ください。