ISMSの要件は、規格を読むだけでは実務に落とし込めません。自社が抱える情報セキュリティリスクを把握し、必要なルールや対策を決め、その実施記録を残す必要があります。専門知識を持つ担当者がいない企業でも、全体の流れと必要な対応を理解すれば、認証取得に向けて段階的に準備できます。この記事では、ISMS要件の全体像や認証取得までの手順、中小企業が無理なく運用を続けるためのポイントを分かりやすく解説します。
この記事を読んでる方必見！おすすめ資料
セキュリティ診断シート
全10問の質問に回答するだけで、自社のセキュリティ状態を総合的に診断できます。
対策も記載しています。
ISMSの要件を理解するための基本
ISMSの要件を理解するには、まず制度全体の考え方を押さえる必要があります。
ここでは、ISMSがどのように情報セキュリティを管理する仕組みなのかを解説します。併せて、混同されやすい「要求事項」と「管理策」の違いも整理しましょう。
ISMSが情報セキュリティを管理する仕組み
ISMSとは「情報セキュリティマネジメントシステム」のことです。
ウイルス対策ソフトやファイアウォールといった個別の技術対策だけで情報を守るのではなく、組織全体でリスクを把握し、必要な対策を計画・実施・改善していく仕組みを指します。
ISMSでは、次の三つの要素をバランス良く維持することを目指します。
- 機密性：許可された人だけが情報を利用できる状態
- 完全性：情報が正確で、改ざんや破損がない状態
- 可用性：必要なときに情報やシステムを利用できる状態
たとえば、顧客情報を厳重に管理していても、必要な社員が業務で利用できなければ可用性が損なわれます。反対に、誰でも簡単に利用できる状態では機密性を守れません。
ISMSでは、自社の事業や業務内容に応じて、これらのバランスを考えながら対策を決めます。技術だけでなく、社内ルールや教育、責任体制なども含めて情報を守る点が特徴です。
参照：ISMS（情報セキュリティマネジメントシステム）とは - 情報マネジメントシステム認定センター（ISMS-AC）
要求事項と管理策の役割の違いを整理する
ISMSの規格には「要求事項」と「管理策」があります。両者は役割が異なるため、認証取得の準備を始める前に違いを理解しておきましょう。
要求事項とは、ISMSを構築・運用する上で、認証を受ける全ての組織が満たさなければならない要件です。規格本文の4項から10項に定められています。
一方、管理策とは、情報セキュリティリスクに対応するための具体的な対策です。規格の附属書Aに一覧が示されています。
| 観点 | 要求事項 | 管理策 |
| 記載されている場所 | 規格本文の4～10項 | 附属書A |
| 対応の考え方 | 全ての組織が対応する | 自社のリスクに応じて採否を判断する |
| 主な内容 | ISMSの構築・運用・評価・改善 | 人、組織、設備、システムに関する具体的な対策 |
| 除外の扱い | 原則として除外できない | 適用しない場合は理由を示す |
認証取得に必要な要求事項を確認する
ISMSの要求事項は、規格本文の4項から10項に定められています。
難しく見えますが、内容は計画、実行、評価、改善というPDCAサイクルに沿って構成されています。それぞれの項目で企業に求められる対応を確認しましょう。
組織の状況とISMSの適用範囲
ISMSを構築する際は、まず自社の情報セキュリティに影響する内部・外部の状況を整理します。内部の状況には、組織の目的や方針、組織体制、保有する資源、情報システム、情報の流れなどが含まれます。
併せて、顧客や取引先、供給者、従業員、親会社など、ISMSに関係する利害関係者を特定します。その上で、各利害関係者が求めるセキュリティ水準や、法令・規制、契約上の義務などを確認し、その中からISMSで取り組む要求事項を決定します。
次に、ISMSを適用する組織や業務の範囲を決めます。適用範囲は、企業全体だけでなく、一つの事業部門や、複数の部門にまたがるサービスとして設定することも可能です。
経営者のリーダーシップと情報セキュリティ方針
5項「リーダーシップ」では、経営者がISMSに責任を持って関与することを求めています。
ISMSは、情報システム担当者や事務局だけで進める取り組みではありません。経営者が情報セキュリティを経営課題として認識し、必要な資源を提供する必要があります。
主な対応は次の通りです。
- 情報セキュリティ方針を定める
- ISMSの責任者や担当者を任命する
- 必要な予算や人員を確保する
- 情報セキュリティの重要性を社内へ伝える
- ISMSの成果を確認する
情報セキュリティ方針には、自社が情報をどのように守り、改善していくのかという基本的な考え方を示します。
方針を作成して掲示するだけでなく、経営者が実際の意思決定や見直しに関わっているかどうかも審査で確認されます。
リスクへの取組みと情報セキュリティ目的
6項「計画策定」は、ISMSの運用を始める前に、リスクへの対応方法や情報セキュリティ目的、その達成方法を計画する項目です。
最初に、ISMSが意図した成果を達成するために、どのようなリスクと機会へ対処する必要があるかを明らかにします。ここで扱うのは、情報漏洩やシステム停止といった情報セキュリティ上のリスクだけではありません。人員や予算の不足、ルールの形骸化など、ISMSの運用そのものに影響するリスクも対象になります。
次に、情報セキュリティリスクを評価するためのプロセスを定めます。具体的には、リスクを受け入れられるか判断する基準や、リスクを特定・分析・評価する方法を決めます。同じ条件で評価した場合に、一貫した結果が得られる仕組みにすることが重要です。
評価したリスクに対しては、回避、低減、移転、受容などの対応方法を選びます。その上で必要な管理策を決定し、附属書Aの管理策と照合して、適用宣言書とリスク対応計画を作成します。
なお、情報資産の台帳を作成してリスクを整理する方法は、リスクアセスメントを行う際の代表的な手法の一つです。ただし、6項が情報資産台帳の作成そのものを一律に要求しているわけではありません。自社の状況に合ったリスク評価の方法を定めることが求められます。
資源・力量・認識・文書化した情報
7項「支援」では、ISMSを運用するための人材、知識、情報、連絡体制などを整えます。
まず、ISMSの担当者や情報を扱う従業員に必要な力量があるかを確認します。不足している場合は、研修や教育を実施しなければなりません。
さらに、従業員が次の内容を認識していることも重要です。
- 情報セキュリティ方針
- 自分が守るべきルール
- ルール違反によって生じる影響
- 情報セキュリティに対する自分の役割
方針や手順、記録などの文書化した情報も管理します。
文書を作成するだけでなく、最新版を利用できる状態にすることや、古い文書を誤って使わないよう管理することが必要です。誰が、誰に、何を、いつ伝えるのかというコミュニケーションの方法も決めておきます。
リスクアセスメントとリスク対応の運用
8項「運用」は、PDCAサイクルのDo（実行）に当たる部分です。
6項で定めた計画やリスク対応を、実際の業務で実行します。
例えば、次のような対策が該当します。
- パソコンへのウイルス対策ソフトの導入
- アクセス権限の設定
- 重要データのバックアップ
- 退職者アカウントの停止
- セキュリティ教育の実施
- 委託先の管理
- 操作ログの取得と確認
重要なのは、ルールを作るだけで終わらせないことです。
決めた手順が実際に守られていることを確認し、教育記録や点検結果、申請履歴などの証拠を残します。審査では、文書に書かれた内容と現場の運用が一致しているかを確認されます。
監視・測定・内部監査・マネジメントレビュー
9項「パフォーマンス評価」は、PDCAサイクルのCheck（評価）にあたります。
ISMSが計画通りに運用され、期待する成果を上げているかを評価します。
まず、何を、いつ、どのような方法で確認するのかを決めます。例えば、教育の受講率、インシデントの発生件数、パッチの適用状況などが測定対象になります。
また、定期的に内部監査を実施します。
内部監査では、規格の要求事項を満たしているかだけでなく、自社で決めたルールが守られ、リスク低減に役立っているかも確認します。
監査や測定の結果は、マネジメントレビューで経営者に報告します。経営者は、ISMSの成果や課題を確認し、改善の方向性や必要な資源を判断します。
不適合への是正処置と継続的改善
10項「改善」は、PDCAサイクルのAction（改善）にあたる部分です。
ルール違反や運用上の不備などの不適合が見つかった場合は、問題を修正するだけでなく、原因を調査して再発防止策を講じます。
例えば、退職者のアカウントが停止されていなかった場合、該当アカウントを停止するだけでは十分ではありません。
なぜ手続きが漏れたのかを確認し、退職申請のフローにアカウント停止の確認項目を追加するなど、同じ問題が再び起きない仕組みに改善します。
審査では、問題が一度も起きていないことよりも、問題を把握し、適切に改善できているかが重視されます。
ISMSを継続的に見直し、実態に合った仕組みへ更新していくことが、認証を維持する上で重要です。
ISMS認証を取得するためにすべきこと
要求事項の内容を理解したら、認証取得に向けた準備を進めます。
ここでは、着手から審査までの基本的な流れを解説します。
認証取得までのスケジュールを作成する
最初に、認証を取得したい時期から逆算してスケジュールを作成します。
主な流れは次の通りです。
- 認証を取得する目的を確認する
- ISMSの適用範囲を決める
- 責任者と事務局を決める
- 情報資産とリスクを洗い出す
- 方針や社内ルールを整備する
- 管理策を選び、適用宣言書を作成する
- ルールを運用して記録を残す
- 内部監査を実施する
- マネジメントレビューを行う
- 認証審査を受ける
取得までに必要な期間は、企業規模や準備状況、適用範囲によって異なります。一般的には、着手から認証取得まで6～12カ月程度かかるとされています。
審査を受ける認証機関も選定します。費用や対応地域、業界の審査実績、審査員との連絡体制などを確認し、複数社から見積もりを取るとよいでしょう。
審査で必要な文書化情報を整理する
ISMS認証では、ルールを決めているだけでなく、実際に運用した証拠を示す必要があります。
審査で確認される主な文書や記録には、次のようなものがあります。
- ISMSの適用範囲
- 情報セキュリティ方針
- 情報資産台帳
- リスクアセスメントの結果
- リスク対応計画
- 適用宣言書
- 教育や研修の記録
- インシデントの対応記録
- 内部監査の計画と結果
- マネジメントレビューの記録
- 不適合と是正処置の記録
これらを審査の直前にまとめて作成しようとすると、担当者の負担が大きくなります。また、実際の運用と一致しない文書が生まれる原因にもなります。
申請や承認、教育、点検など、日常業務を行う中で自然に記録が残る仕組みにしておきましょう。
内部監査で適合性と有効性を確認する
認証審査を受ける前には、内部監査を実施する必要があります。
内部監査では、主に次の二つの観点からISMSを確認します。
- 適合性：規格や自社のルールに沿って運用されているか
- 有効性：実施している対策がリスク低減に役立っているか
書類がそろっているかを確認するだけではなく、現場への聞き取りや記録の確認を通じて、ルールが実際に機能しているかを調べます。
監査の客観性を保つため、監査担当者は自分が直接担当している業務を監査しないようにします。人員が限られる場合は、部署間で相互に監査する方法や、外部の支援を利用する方法もあります。
指摘を隠すのではなく、改善の機会として受け止めることが重要です。
マネジメントレビューで改善を決定する
内部監査や運用状況の結果は、経営者へ報告します。この見直しの場がマネジメントレビューです。
経営者は、次のような情報を確認します。
- 内部監査の結果
- 情報セキュリティ目的の達成状況
- インシデントや不適合の発生状況
- 利害関係者からの要望
- リスクや外部環境の変化
- 是正処置の進捗
- 人員や予算などの資源
その上で、ルールの変更や追加対策、予算・人員の配分などを決定します。
会議を開くだけで終わらせず、経営者が何を判断し、どのような改善を指示したのかを記録に残しましょう。
ISMS要件を実務に落とし込み情報漏洩リスクを減らす
ISMSの要件は、規格を読み、文書をそろえるだけで満たせるものではありません。
自社が扱う情報やリスクを把握し、必要なルールと対策を決め、実際に運用した記録を残す必要があります。さらに、監査や見直しを通じて改善を続けることが重要です。
ISMSの実効性を支えるのは、ルールやシステムだけではありません。従業員一人一人が目的を理解し、日常業務で実行できる環境を整えることが重要です。
Watchy編集部
従業員が安心して働ける環境を提供するための、IT資産管理、情報漏洩対策、労務管理に関するコンテンツを発信しています。
Watchyは、株式会社スタメンが運営するクラウドサービスです。企業のIT情報統制の課題やバックオフィスの課題を、情報システム担当者が手薄な状況でも、Watchyが解決。設定・運用の手間を最小化しながら、押さえるべきポイントを確実に押さえた企業統制の実現を支援します。
【株式会社スタメンについて】 東京証券取引所グロース市場上場。Watchy、TUNAGなど、人と組織の課題解決を実現するSaaSを展開。情報セキュリティマネジメントシステム（ISMS）及びプライバシーマークを取得。