ISMS
（情報セキュリティマネジメントシステム）とは？
構築時のポイントや認証取得などを
分かりやすく解説！

おすすめ資料を無料でダウンロードできます ✅ 個人情報に関する研修資料

※この記事は、2024年6月18日に執筆され、同時点の法令等に基づいています。

ISMS（情報セキュリティマネジメントシステム）とは

「ISMS（情報セキュリティマネジメントシステム）」とは、企業などの組織における情報セキュリティを管理するための枠組みです。高度な情報化社会となった現代では、各企業においてISMSを適切に構築・運用することが求められます。

ISMSの目的

ISMSの目的は、企業が保有する情報資産を漏洩などのリスクから保護しつつ、適切に有効活用できる仕組みを整えることです。

現代では、企業経営において情報の重要性が非常に高くなっています。
機密情報の漏洩は企業にとって致命的であるため、情報セキュリティを強化することはとても大切です。その一方で、情報を活用して経営に役立てることも、企業の競争力を高める観点から重要といえます。

ISMSは、保護と活用の両面から情報管理の適正化を図るための仕組みです。

ISMSに関するISO規格・JIS規格

ISMSに関しては、国際標準化機構（ISO）による「ISO/IEC 27001」が設けられています。
また日本では、ISO/IEC 27001を踏まえて、日本産業規格（JIS規格）である「JIS Q 27001」が設けられています。

各企業においては、ISO/IEC27001またはJIS Q 27001に基づいて、ISMSを適切に構築することが推奨されます。また、各規格の認証を受けるためには、対応する要求事項を満たしたISMSの構築が必須となります。

ISO/IEC 27001によるISMSの要求事項

ISO/IEC27001には、ISMSに関して各企業が満たすべき要求事項が定められています。要求事項がまとめられた規格書は、一般財団法人日本規格協会の販売サイトにおいて購入可能です。

参考：一般財団法人日本規格協会ウェブサイト「JSA GROUP Webdesk」

本記事では、主な要求事項の項目のみ紹介します。

企業がISMSを構築する際のポイント

企業がISMSを構築するに当たっては、特に以下の2点を意識することが大切です。

① 「情報セキュリティの3要素」を意識する
② PDCAサイクルを通じた運用・改善を行う

「情報セキュリティの3要素」を意識する｜機密性・完全性・可用性

ISO/IEC27001およびJIS Q 27001では、情報セキュリティの重要な要素として、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」の3つを挙げています。

情報セキュリティの3要素
(a) 機密性（Confidentiality） 情報へのアクセスを認められていない者に対して、その情報を使用不可または非公開とすることをいいます。   (b) 完全性（Integrity） 情報が正確であり、かつ完全である状態を保持することをいいます。   (c) 可用性（Availability） 情報へのアクセスが認められた者が要求したときに、その情報へスムーズにアクセスして使用できることをいいます。

企業がISMSを構築するに当たっては、上記の情報セキュリティの3要素を実現できるように、社内のルールやシステムなどを設計することが大切です。

PDCAサイクルを通じた運用・改善を行う

ISMSは、PDCAサイクルによって適切に運用し、継続的に改善することが求められます。「PDCA」サイクルは、以下の4つのプロセスによって構成されます。

(a) 計画（Plan）
情報漏洩などに関するリスクを適切に分析した上で、そのリスクの顕在化予防・対処に関する目標を設定し、目標達成に向けた実行計画を策定することが求められます。

(b) 実行（Do）
事前に策定した計画に基づき、ISMSを運用します。組織はISMSの運用に必要な資金・物資・人材などの資源を提供し、担当者はそれぞれ責任をもってISMSの運用業務を行います。
ISMSの実行内容については、文書に記録して保存することが求められます。後の評価・改善のプロセスにおいて役立てるためです。

(c) 評価（Check）
ISMSの実行によって得られたパフォーマンス（効果）につき、監視・測定・分析・評価を行います。評価の方法や結果については、文書に記録して保存することが求められます。

なおISO/IEC27001およびJIS Q 27001では、ISMSが要求事項を満たしているかどうかチェックするため、定期的に内部監査を実施することを要求しています。
特に一定規模以上の企業においては、ISMSに関する内部監査の実施が推奨されます。

さらにISO/IEC27001およびJIS Q 27001では、トップマネジメントによる定期的なISMSのレビューも求めています。
企業経営において経営陣が担う役割に鑑みると、ISMSを構築しようとする企業では、マネジメントレビューの重要性は高いといえるでしょう。

(d) 改善（Act）
ISMSに関して不適合が発生したときは、その不適合を管理・修正するための処置をとるともに、不適合によって起こった結果へ適切に対処しなければなりません。
また、不適合をレビューしてその原因を明確化し、再発防止措置を講じることも求められます。

また、評価プロセスによって得られた結果に基づき、ISMSを継続的に改善することも大切です。

ISMS認証について

ISMSについては、ISO認証の一つである「ISMS認証」を受けることにより、対外的にその適切性・妥当性・有効性をアピールできます。

日本国内では、公益財団法人日本適合性認定協会（JAB）と一般社団法人情報マネジメントシステム認定センター（ISMS-AC）の認定を受けた認証機関が、ISMS認証の審査を行っています。

マネジメントシステム認証機関は、以下のウェブサイトより検索可能です。

参考： 公益財団法人日本適合性認定協会ウェブサイト「認定されたマネジメントシステム認証機関」 一般社団法人情報マネジメントシステム認定センターウェブサイト「ISMS認証機関一覧」

ISMS認証とプライバシーマーク（Pマーク）の違い

情報管理に関する認証制度としては、ISMS認証のほかに「プライバシーマーク（Pマーク）」が挙げられます。
「プライバシーマーク」は、個人情報を適切に管理していると評価された事業者に対して付与されるマークです。

ISMS認証は、個人情報に限らず、事業者が保有する幅広い秘密情報を対象としています。
情報漏洩などの防止を中心とするセキュリティ面だけでなく、情報活用の面についても審査が行われます。
ISMS認証が準拠する標準規格は、国際標準規格である「ISO/IEC27001」です。

これに対してプライバシーマークは、個人情報のセキュリティ面に焦点を当てた認証制度となっています。ISMS認証とは異なり、日本国内の標準規格である「JIS Q 15001」（個人情報保護）に準拠した審査が行われています。

参考：日本情報経済社会推進協会ウェブサイト「プライバシーマーク制度」

ISMS認証を取得するメリット

ISMS認証を取得するメリットは、ISMSの適切性・妥当性・有効性を対外的にアピールできることです。
会社組織の盤石さが伝わるとともに、情報漏洩などのリスクに関する懸念を払拭でき、企業としての信頼性の向上につながるでしょう。

ISMS認証を取得・維持するための手続き・審査

ISMS認証を取得するためには、マネジメントシステム認証機関の審査を経て登録を受ける必要があります。また、登録後も定期審査および更新検査を受けなければなりません。

参考：一般財団法人日本品質保証機構ウェブサイト「認証取得・維持の流れ」

ISMS認証を取得するための手続き・審査

ISMS認証を取得するための手続きと審査の流れは、以下のとおりです。

ISMS認証を維持するための手続き・審査

ISMS認証を維持するためには、登録完了の約1年後・2年後に行われる定期審査と、登録完了の約3年後に行われる更新審査に合格しなければなりません。

ISMS認証の取得・維持にかかる費用

ISMS認証に関する審査費用は、業種・業態、人数と規模、設計開発業務の有無などに応じて個別に決定されます。30名程度の中小企業では、下表の程度の審査費用が必要になるのが標準的です。

ファーストステージ審査・セカンドステージ審査	計70万円～90万円程度
定期審査	1回当たり20万円～35万円程度
更新審査	50万円～60万円程度

また、上記の審査費用に加えて、認証取得に関する外部コンサルタントに依頼する場合は依頼費用が発生します。
さらに、ISMSがISO規格の要求事項に適合した状態を維持するためには、運用に携わる担当者の人件費や、情報セキュリティシステムの保守費用なども必要になる点に留意しておきましょう。

おすすめ資料を無料でダウンロードできます ✅ 個人情報に関する研修資料