ISO27001（ISMS認証）とは、情報管理システムのセキュリティ強化の基準を示すISMSの国際規格です。セキュリティを強化するため、多くの組織がISO27001（ISMS認証）を取得しています。

この記事では、社内のセキュリティを強化したいと考えている情報システム部門の担当者に向けて、ISO27001（ISMS認証）の概要を解説します。取得の流れも解説するため、ぜひ参考にしてください。

ISO27001（ISMS認証）とは？

ISO27001（ISMS認証）とはどのようなものなのでしょうか。ここでは概要や特徴を解説します。

ISO27001（ISMS認証）の概要

ISO27001（ISMS認証）とは、ISMSについて定める国際規格です。ISMSは「Information Security Management System」の略であり、日本語では「情報セキュリティマネジメントシステム」と表現できます。つまり、ISMSとは情報を安全に管理する仕組みのことです。

ISO27001は、国際標準化機構（International Organization for Standardization）が定めるISO認証のひとつです。現在は、2022年に改定された最新規格「ISO/IEC 27001:2022」に基づいた運用が行われています。この改定では、クラウドサービスの利用やリモートワークの普及など、近年のサイバーセキュリティリスクの変化に対応した管理策が整理されました。

ISO27001（ISMS認証）の特徴

ISMSは、情報管理システムのセキュリティ強化の基本を表しています。ISMSは、セキュリティにおいて必要な条件を定めています。それは、機密性、完全性、可用性の3つの性質です。ISO27001では、ISMSを構築するための具体的な方法や手順を定めています。

情報セキュリティの3つの条件とは？

情報セキュリティの3つの条件は、それぞれどのようなものなのでしょうか。具体的に解説します。2022年の規格改定においても、ISMSの根幹である以下の「3つの条件」の重要性は変わりません。

機密性

機密性とは、認可を受けている人だけが情報を確認できる状態です。認可されていない相手に情報を開示せず、勝手に使用されないようにします。そのための手法として、パスワードの設定やアクセス制限などがあります。

完全性

完全性とは、情報が正しいまま維持されることです。情報の改ざんや不正な削除が行われない状態を表しています。完全性を保つには、情報の更新や上書きができる人を制限する必要があります。また、情報を最新の状態に保つことも重要です。

可用性

可用性とは、認可されている人がいつでも情報を閲覧したり編集したりできる状態です。可用性を実現するにはシステム上で対象者のアクセス権限を認めるだけでなく、トラブルの発生に備えてバックアップも取っておく必要があります。

ISO27001（ISMS認証）とP（プライバシー）マークの違い

ISO27001（ISMS認証）は、Pマークと混同されがちです。ここでは、それぞれの違いについて解説します。

Pマークとは？

Pマークとはプライバシーマークのことであり、日本工業規格に準拠していることを表しています。事業者が個人情報を保護する体制を整備している場合、Pマークが付与されます。ISO27001（ISMS認証）と比較すると、Pマークの対象は限定的です。また、適用範囲についても違いがあります。

ISO27001（ISMS認証）とPマークの特徴の比較

対象

ISO27001（ISMS認証）が対象としている情報は、ありとあらゆる情報資産です。組織が保有する個人情報だけでなく、技術情報や機密情報なども含まれています。それに対してPマークの対象は個人情報のみです。

適用範囲

ISO27001（ISMS認証）は企業全体での取得はもちろん、事業や部門ごとの取得も可能です。適用範囲は自由に設定できるため、柔軟性があります。一方、Pマークは、基本的に企業全体で取得する必要があります。

ISO27001（ISMS認証）を取得している企業数

ISO27001（ISMS認証）はすでにたくさんの企業が取得しています。大手企業や有名企業なども取得済みです。情報マネジメントシステム認定センターのWebサイトから検索すると、ISO27001（ISMS認証）を取得している企業を確認できます。2026年3月6日現在の登録数は8,435、公表数は8,181です。

ISO27001（ISMS認証）を取得すべき理由

ISO27001（ISMS認証）を取得するには、基準を満たすために組織のセキュリティを強化する必要があります。あらためて組織の体制を見直せば、実際のセキュリティ性を向上させることが可能です。

ISO27001（ISMS認証）のメリット・デメリット

ISO27001（ISMS認証）の取得にはメリットとデメリットの両方があります。ここでは、それぞれについて解説します。

メリット

ISO27001（ISMS認証）を取得すれば社内のセキュリティを高められ、情報を安全に管理するための仕組みを構築できます。人材が頻繁に入れ替わる部署においても、リスクマネジメントを強化できます。さらに、外部に対しても自社のセキュリティ性の高さを示せます。客観的な証明になるため、自社に対する信頼の強化につながります。

デメリット

ISO27001（ISMS認証）を取得するには、社内の体制をあらためて整備する必要があります。さまざまな準備が必要であるため、大きな手間がかかるでしょう。また、認証を取得するためには費用もかかります。

ISO27001（ISMS認証）を取得する流れ

ISO27001（ISMS認証）を取得するには、さまざまな準備が必要です。取得の流れを具体的に解説します。

適用範囲を検討する

まずは、どの組織で認証を取得するか決定しましょう。ISO27001（ISMS認証）は企業全体での取得も可能ですが、事業や部門ごとでも取得できます。それぞれの状況によっても、認証を取得すべきかどうかは異なります。扱っている情報資産の内容を確認した上で、最適な適用範囲を決めることが大切です。

情報セキュリティの方針を決定する

ISO27001（ISMS認証）を取得するためには、組織が保有する情報資産を保護する仕組みが必要です。実際の状況をチェックした上で、何が不足しているか確認しましょう。要求事項を満たすために必要なものを把握する必要があります。その上で、情報セキュリティの方針を決定し、実際に仕組みを構築していきましょう。

認証機関を選択する

ISO27001（ISMS認証）の認証機関は、27カ所あります（2026年2月27日時点）。費用は、認証機関によってそれぞれ定められています。依頼先によって実際にかかる費用は異なるため、事前に見積もりを取って確認しましょう。

リスクアセスメントを進める

リスクアセスメントとは、どのようなセキュリティリスクがあるか確認することです。具体的には、情報資産管理台帳を作成し、セキュリティリスクについて洗い出し、評価・分析します。その上で、リスクについてどのような対応をとるかについて計画を立てましょう。

内部監査を実施する

内部監査を実施し、情報セキュリティ強化のために準備した内容をあらためて確認します。内部監査を担当するのは社内の担当者やコンサルタントなどです。問題点がないかチェックした上で、課題があれば改善を加える必要があります。細かい部分まで確認し、着実に認証を受けられるように体制を整えることが大切です。

マネジメントレビューを行う

運用状況や内部監査の結果をまとめ、経営者へ報告します。経営者の視点から現状をさらに見直し、改善できる部分がないか検討します。認定審査を受ける前の最後の確認になるため、入念なチェックが必要です。ここで改善点が見つかった場合も、認証前に必ず改善する必要があります。

認定審査を受ける

自社が選んだ認定機関に申請を行い、認定審査を受けましょう。審査は2段階です。第1段階は文書による審査が行われ、第2段階では情報セキュリティの現状についてチェックされます。問題ない場合は認証登録が行われます。問題がある場合も、改善計画書を提出した上で改善すれば認証登録を目指すことが可能です。

なお、旧規格（2013年版）から新規格（2022年版）への移行期間は2025年10月末をもって終了しています。そのため、2026年現在は全ての組織において最新規格での審査が必須となっています。

審査結果を公開する

認証機関による認証が済むと、情報マネジメントシステム認定センター（ISMS-AC）へ報告が行われます。その後、自社がISO27001（ISMS認証）を取得した旨が公開されます。

認証には有効期限があり、取得してから3年間まで有効です。ただし、あらためて手続きを行えば認証を更新できます。

PDCAサイクルを回す

認証を取得した後も中間審査が実施されます。この中間審査はサーベイランス審査と呼ばれており、年に1回以上行われます。審査で問題点の指摘を受けないようにするには、認証の取得後もセキュリティの強化を意識すべきです。PDCAサイクルを回し、セキュリティについて適宜改善を加えるようにしましょう。

ISO27001（ISMS認証）の取得にかかる費用の目安

認証の取得にはまとまった費用がかかります。費用の目安は数十万円から数百万円となっており、幅が広いです。申請、予備審査、初回認証審査、認証書の発行についてそれぞれ料金が設定されています。予備審査が行われるのは必要な場合だけです。初回認証審査の費用は、第1段階と第2段階のそれぞれで発生します。

ほかにも、維持審査や更新審査の費用がかかります。また、認証機関と自社が離れている場合は審査員の交通費や宿泊費も必要です。コンサルタントに依頼するなら依頼料金もかかります。

まとめ

ISO27001（ISMS認証）を取得するために準備を進めれば、自社のセキュリティを適切に強化できます。認証を取得すると、社外に対しても自社のセキュリティの高さをアピールしやすくなるでしょう。

ソフトバンクのセキュリティソリューションなら、企業がITを安全に活用するためのサポートが可能です。セキュリティ対策製品やサービスのご提案から導入、さらには当社のセキュリティ専門アナリストによるセキュリティ監視、ソリューションをまたいだ相関分析、調査・解決策のご提案まで一貫してご提供しています。セキュリティ対策については、ぜひ当社へご相談ください。

関連サービス

同じカテゴリーの記事をみる