目次
はじめに
「ISO/IEC 27001って、ISMSとは何が違うの？」
「会社で認証取得を検討することになったけれど、何から準備すればいいの？」と気になっていませんか。
取引先から情報セキュリティへの対応状況を確認されたり、社内で認証取得の話が出たりしても、規格や審査、認証といった言葉が並ぶと、最初に何を確認すればよいのか迷ってしまいますよね。
この記事では、ISO/IEC 27001の基本的な意味からISMSとの違い、認証を取得するメリット、取得までの流れをわかりやすく解説します。
ISO/IEC 27001とは？
ISO/IEC 27001は、企業や組織が保有する情報を適切に管理するための仕組みについて、要求事項を定めた国際規格です。
ここでは、ISO/IEC 27001がどのような国際規格なのか、認証を取得することにどのような意味があるのかを説明します。
情報セキュリティマネジメントシステムに関する国際規格
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の構築・運用に関する国際規格です。
組織が扱う情報のリスクを確認し、漏えいや改ざん、利用不能などを防ぐために必要な対策を実施します。
また、対策が適切に機能しているかを確認し、必要に応じて改善を続けます。
ISO/IEC 27001認証を取得する意味
ISO/IEC 27001認証は、自社の情報セキュリティ管理体制が規格の要求事項を満たしていると、第三者機関の審査で認められたことを示すものです。
認証を取得することで、情報を適切に管理するための手順や体制を整え、継続して運用していることを取引先や顧客に客観的に示せます。
ISO/IEC 27001とISMSの違い
ISO/IEC 27001とISMSは情報セキュリティに関わる言葉ですが、同じ意味ではありません。
ここでは、ISMSとISO/IEC 27001それぞれの意味を整理したうえで、認証との関係を説明します。
ISMSは情報セキュリティを組織的に管理する仕組み
ISMSは、企業や組織が保有する情報のリスクを把握し、必要な対策を行うための仕組みです。
情報資産を洗い出してリスクを評価し、対策の実施状況を確認しながら、問題があれば改善します。
この流れを続けることで、情報セキュリティを担当者任せにせず、組織全体で管理できます。
ISO/IEC 27001はISMSの要求事項を定めた規格
ISO/IEC 27001は、ISMSを構築・運用するうえで、組織が満たすべき要求事項を定めた国際規格です。
リスクの評価と対応、目標の設定、運用状況の確認や改善などが定められており、企業や組織はこれらに沿ってISMSを構築・運用します。
ISMS認証とISO/IEC 27001認証の関係
ISMS認証は、組織のISMSがISO/IEC 27001の要求事項に適合しているかを、第三者の認証機関が審査する仕組みです。
審査では、規格に沿ったルールだけでなく、実際に運用されているかも確認されます。
そのため、「ISMS認証」と「ISO/IEC 27001認証」は、ISO/IEC 27001への適合性を第三者が確認する認証を指す言葉として使われています。
ISO/IEC 27001認証を取得するメリット
ISO/IEC 27001認証を取得する過程では、自社が保有する情報や想定されるリスクを洗い出し、情報を守るためのルールや管理方法を整備します。
ここでは、ISO/IEC 27001認証を取得する3つのメリットについて説明します。
情報セキュリティの管理体制を整備できる
ISO/IEC 27001認証の取得では、自社が保有する情報を洗い出してリスクを評価し、必要な管理方法や担当者を決めます。
情報の取り扱い手順や責任範囲も明確になるため、担当者ごとに異なっていた管理方法を整理し、組織として情報を管理する体制を整えられます。
顧客や取引先からの信頼につながる
ISO/IEC 27001認証を取得すると、規格に沿った情報セキュリティ管理体制を構築・運用していることを、第三者機関の認証によって示せます。
自社の説明だけでなく客観的な認証を示せるため、顧客や取引先が情報管理体制を確認する際の判断材料となり、信頼にもつながります。
情報セキュリティリスクを継続的に管理できる
ISO/IEC 27001では、情報セキュリティリスクを一度評価して終わるのではなく、運用状況に合わせて対策を見直します。
新たなリスクや問題が見つかった場合も、必要な対策を検討して改善を続けることで、情報セキュリティリスクを継続的に管理できます。
ISO/IEC 27001認証の取得を検討したい企業
ISO/IEC 27001認証は、すべての企業が必ず取得しなければならないものではありません。
ここでは、ISO/IEC 27001認証の取得を検討したい企業の特徴を3つに分けて説明します。
顧客や取引先の重要な情報を扱う企業
顧客や取引先から預かった重要な情報を扱う企業は、ISO/IEC 27001認証の取得を検討できます。
情報の保存方法やアクセスできる担当者、取り扱い手順などを明確にすることで、組織として適切に管理する体制を整えられます。
取引や入札で認証を求められる企業
取引や入札の条件としてISO/IEC 27001認証を求められる場合は、取得を検討する必要があります。
未取得では契約や入札に進めないこともあるため、取引条件や入札要件を確認し、必要であれば早めに取得の準備を進めましょう。
情報セキュリティ管理を組織的に見直したい企業
部署や担当者によって情報の保存方法やアクセス権限、管理手順が異なる企業も、ISO/IEC 27001認証の取得を検討できます。
認証取得に向けて情報資産やリスクを整理し、共通の管理ルールを定めることで、組織全体で情報を管理する体制へ見直せます。
ISO/IEC 27001認証を取得するまでの流れ
ISO/IEC 27001認証を取得するには、審査を受ける前にISMSを構築し、実際に運用できる状態まで整える必要があります。
ここでは、準備を始めてから指摘事項への対応を経て認証を取得するまでの流れを順番に説明します。
適用範囲を決めて推進体制を整える
最初に、ISO/IEC 27001認証の対象とする組織や拠点、部署、業務などの適用範囲を決めます。
あわせてISMSの責任者や担当者を決め、誰が何を行うのかを明確にすることで、その後のリスクアセスメントや規程整備を進めやすくなります。
リスクアセスメントを実施する
適用範囲で扱う情報資産を洗い出し、漏えいや改ざんなどのリスクを特定します。
発生する可能性や影響の大きさを基準に評価したうえで、対策が必要なリスクを判断し、回避・低減・移転・保有などの対応方法を決めます。
必要な規程やルールを整備する
リスクアセスメントの結果をもとに、情報を適切に管理するための規程やルールを整備します。
誰がどの情報をどのように扱うのかを明確にし、既存の規程や手順がある場合は、要求事項と照らし合わせて不足している内容を追加・修正します。
ISMSを運用して従業員教育を行う
整備した規程やルールに沿ってISMSを運用し、必要な記録を残します。
あわせて従業員へ情報セキュリティ教育を行い、守るべきルールや手順を共有しながら、実際の業務で適切に運用されているかを確認します。
内部監査とマネジメントレビューを実施する
ISMSを一定期間運用したら内部監査を行い、規格の要求事項や自社のルールに沿って運用されているかを確認します。
問題があれば必要な是正を行い、その後、経営層がマネジメントレビューを実施して運用状況や改善点を確認します。
認証機関による審査を受ける
内部監査とマネジメントレビューを終えたら、認証機関による審査を受けます。
審査では、ISO/IEC 27001に沿った仕組みや文書が整っているかに加え、記録や担当者への聞き取りなどから、実際に運用されているかも確認されます。
指摘事項に対応して認証を取得する
認証審査で不適合などを指摘された場合は、原因を確認して必要な是正処置を行います。
認証機関による確認を経て、ISO/IEC 27001の要求事項を満たしていると判断されると認証が決定し、認証書が発行されます。
ISO/IEC 27001認証の取得期間と取得後の対応
ISO/IEC 27001認証は、準備を始めてすぐに取得できるものではなく、現在の管理体制や規程の整備状況、対象とする組織の範囲によって取得までに必要な期間が変わります。
ここでは、認証取得までの期間と、取得後に必要となる対応について説明します。
認証取得までの期間は準備状況によって異なる
ISO/IEC 27001認証の取得までにかかる期間は、現在の管理体制や規程の整備状況、認証の適用範囲によって異なります。
情報資産の洗い出しやリスクアセスメントから始める場合は準備に時間がかかるため、自社の状況を確認したうえで無理のない取得時期を設定しましょう。
認証取得後も定期的な審査と改善が必要
ISO/IEC 27001認証は、取得後もISMSの運用を続け、定期的な審査を受ける必要があります。
認証の有効期間は原則3年間で、その間に維持審査を受け、3年ごとに再認証審査を受けます。
内部監査なども行いながら、リスクや運用上の問題に合わせて管理方法を見直していくことが大切です。
ISO/IEC 27001に関するよくある疑問
ISO/IEC 27001について調べていると、Pマークとの違いや認証を取得した後の有効期限について疑問を持つことがあります。
ここでは、ISO/IEC 27001とPマークの違い、認証の有効期限について説明します。
ISO/IEC 27001とPマークは何が違う？
ISO/IEC 27001は、組織が扱う情報全般を対象に、情報セキュリティを管理するための国際規格です。
一方、Pマークは個人情報を対象に、JIS Q 15001に基づいた管理体制を整えている事業者に付与されます。
主な違いは、対象となる情報の範囲や基準にあります。
ISO/IEC 27001認証に有効期限はある？
ISO/IEC 27001認証の有効期間は原則3年間です。
有効期間中も定期的な維持審査を受け、ISMSが適切に運用されているかを確認されます。
認証を継続する場合は、有効期限を迎える前に再認証審査を受ける必要があります。
まとめ
ISO/IEC 27001は、組織が情報セキュリティマネジメントシステム（ISMS）を構築・運用するための要求事項を定めた国際規格です。
ISMSが情報セキュリティを組織的に管理する仕組みそのものを指すのに対し、ISO/IEC 27001はその仕組みを構築・運用する際の基準を定めています。
認証を取得するには、適用範囲と推進体制を決め、リスクアセスメントや規程の整備、ISMSの運用、内部監査、マネジメントレビューを行ったうえで、認証機関による審査を受けます。
認証取得後もISMSの運用を続け、定期的な審査や改善を行う必要があるため、自社の情報管理体制と取得目的を確認したうえで計画的に準備を進めましょう。