はじめに：なぜ今ISMSが重要なのか

情報漏洩やサイバー攻撃が日常的なニュースとなった現代において、企業が情報資産を守ることは経営上の最重要課題のひとつです。2023年に発生した大手企業の個人情報漏洩事件では、被害件数が数百万件に上り、企業の信頼失墜と多額の損害賠償につながりました。

こうした背景から、ISMS（情報セキュリティマネジメントシステム） への注目が急速に高まっています。ISMSはISO/IEC 27001という国際規格に基づいた情報セキュリティの管理体制であり、日本では2024年時点で7,000社以上が認証を取得しています。

本記事では、IT監査担当者や情報セキュリティ責任者の方に向けて、ISMSの基本概念から実務的な導入ステップ、IT監査との関係まで体系的に解説します。

ISMSとは何か：基本概念の整理

ISMSの定義

ISMSとは Information Security Management System（情報セキュリティマネジメントシステム） の略称です。組織が保有する情報資産を適切に保護するための、体系的な管理の仕組みを指します。

単なるセキュリティ製品の導入や技術的対策とは異なり、ISMSは「人・プロセス・技術」の3つの側面から情報セキュリティを総合的に管理する枠組みです。

ISO/IEC 27001との関係

ISMSの国際規格が ISO/IEC 27001 です。2022年に最新版（ISO/IEC 27001:2022）が発行され、日本ではJIS Q 27001:2023として採用されています。

この規格に基づいて第三者機関の審査を受けることで、「ISMS認証（ISO 27001認証）」を取得できます。認証取得は取引先や顧客への信頼性の証明として機能します。

ISMSが守る情報資産の3要素（CIA）

ISMSは以下の3つの観点から情報資産を保護します。

要素英語内容
機密性Confidentiality権限のある者だけが情報にアクセスできる状態を確保する
完全性Integrity情報が正確で改ざんされていない状態を維持する
可用性Availability必要なときに情報にアクセスできる状態を確保する

この3要素は「CIA」とも呼ばれ、情報セキュリティの基本原則です。IT監査でアクセス制御やログ管理を評価する際も、この3要素の観点から統制の有効性を判断します。

ISMSの核心：PDCAサイクルによる継続的改善

ISMSの最大の特徴は、一度構築して終わりではなく、継続的改善（PDCAサイクル） を組み込んでいる点です。

Plan（計画）

リスクアセスメントを実施し、情報セキュリティリスクを特定・評価します。リスクへの対応方針（受容・低減・回避・移転）を決定し、情報セキュリティ目標と管理策を設定します。

実務ポイント： リスクアセスメントは「資産の洗い出し」から始まります。自社が保有するすべての情報資産（顧客データ、設計書、ソースコードなど）をリスト化し、それぞれの脅威と脆弱性を評価します。リスクの大きさは「発生可能性 × 影響度」で算出し、許容できないリスクに対して管理策を選択します。

Do（実施）

計画した管理策を実装します。従業員へのセキュリティ教育、アクセス制御の設定、インシデント対応手順の整備などが含まれます。管理策は技術的対策だけでなく、規程・手順書などの文書整備も重要です。

Check（評価）

内部監査や管理レビューを通じて、ISMSが計画通りに運用されているかを評価します。ここでIT監査が重要な役割を果たします。 内部監査では、管理策が文書通りに実施されているかを証跡（エビデンス）を確認しながら検証します。

Act（改善）

評価結果をもとに、ISMSを継続的に改善します。是正処置・予防処置を実施し、次のPDCAサイクルに反映させます。不適合が発見された場合は、その根本原因を分析して再発防止策を講じます。

ISO 27001:2022の主要な管理策

ISO/IEC 27001:2022では、附属書Aに 93の管理策 が定められています（旧版2013年版の114から統合・整理されました）。これらは4つのテーマに分類されています。

1. 組織的管理策（37項目）

情報セキュリティポリシー、役割と責任、脅威インテリジェンス、クラウドサービス利用のセキュリティなど、組織運営に関する管理策です。

2022年版で新規追加された重要管理策：

  • A.5.7 脅威インテリジェンス：最新の脅威情報を収集・分析する仕組み
  • A.5.23 クラウドサービス利用における情報セキュリティ：AWS・Azure等の利用ルール
  • A.5.30 事業継続のためのICTの準備：BCP/DRとITの統合管理

2. 人的管理策（8項目）

採用前・雇用中・雇用終了時のセキュリティ要件、リモートワークのセキュリティなどを規定します。

実務ポイント： 退職者のアカウント管理は見落とされがちです。退職日当日のアクセス権無効化を徹底するプロセスを構築することが重要です。IT監査でも退職者アカウントの残存は頻出の指摘事項です。

3. 物理的管理策（14項目）

物理的なセキュリティ境界、クリアデスク・クリアスクリーンポリシー、記憶媒体の管理などです。テレワーク環境での管理が2022年版で強化されています。

4. 技術的管理策（34項目）

アクセス制御、暗号化、ログ管理、脆弱性管理などの技術的な対策です。

2022年版で新規追加された重要管理策：

  • A.8.11 データマスキング：本番データの匿名化・仮名化
  • A.8.12 データ漏洩防止（DLP）：機密データの外部流出防止
  • A.8.16 監視活動：異常なアクティビティの検知・対応
  • A.8.23 ウェブフィルタリング：不正サイトへのアクセス制御

ISMSの導入ステップ：現場で使える実践ガイド

ステップ1：経営層のコミットメント獲得

ISMSの導入は経営層のリーダーシップなしには成功しません。まず経営層にISMS導入の必要性を理解してもらい、正式な決定と必要なリソースの確保を行います。

説明の際は以下の観点が有効です：

  • 情報漏洩が発生した場合のコスト試算（損害賠償・対応費用・風評被害）
  • ISMS認証が取引条件となっているビジネス機会の提示
  • 同業他社の認証取得状況の比較
  • 2022年の個人情報保護法改正による罰則強化

ステップ2：スコープ（適用範囲）の決定

ISMSの適用範囲を明確に定義します。全社適用か、特定の部門・システムへの限定適用かを決定します。

初回認証時のポイント： 最初から全社適用を目指すと負荷が大きくなります。まず重要な情報資産を扱う部門や主要システムに限定し、認証取得後に範囲を拡大する段階的アプローチが現実的です。スコープは審査機関に申告し、認証書に明記されます。

ステップ3：リスクアセスメントの実施

情報資産の洗い出しとリスク評価を実施します。

情報資産台帳の作成例：

資産名分類保管場所機密レベル主な脅威リスクレベル
顧客個人情報DB電子データ社内サーバー極秘不正アクセス・漏洩高
設計書・仕様書電子データクラウドストレージ社外秘誤送信・持出し中
従業員名簿電子データ人事システム社外秘内部不正中
業務PCハードウェア執務室・在宅-紛失・盗難中

リスクの評価は「脅威の発生可能性 × 影響度」で算出し、高リスクの資産から優先的に管理策を実装します。

ステップ4：情報セキュリティポリシーの策定

組織の情報セキュリティに対する基本方針を文書化します。ポリシーは以下の階層で整備するのが一般的です。

情報セキュリティポリシー（基本方針）
    ↓
各種規程（アクセス管理規程・インシデント対応規程・クラウド利用規程など）
    ↓
手順書・ガイドライン（具体的な操作手順・チェックリスト）

実務ポイント： ポリシーは「絵に描いた餅」にならないよう、現場で実際に実行可能な内容にすることが重要です。高すぎる基準は形骸化の原因になります。

ステップ5：管理策の実装

リスクアセスメント結果をもとに、必要な管理策を実装します。技術的対策と運用的対策を組み合わせます。

実装優先度の考え方：

  1. 高リスク資産への管理策を最優先
  2. 法令・規制要件（個人情報保護法等）への対応
  3. 費用対効果の高い管理策から順次実装

ステップ6：内部監査の実施

ISMSが計画通りに運用されているかを、内部監査チームが独立した立場から検証します。内部監査は認証維持の要件であり、年1回以上の実施が求められます。

内部監査チェックポイントの例：

確認項目確認方法証跡例
情報セキュリティポリシーの周知従業員へのヒアリング教育記録・確認書
アクセス権限の定期レビューシステム設定の確認レビュー議事録
インシデントの記録・報告インシデント管理台帳の確認インシデント報告書
リスクアセスメントの更新文書の日付・内容確認リスクアセスメント記録
廃棄媒体の管理廃棄手順の確認廃棄証明書

ステップ7：マネジメントレビューの実施

経営層がISMSの有効性を評価する「マネジメントレビュー」を年1回以上実施します。内部監査結果、インシデント発生状況、目標達成状況などを報告し、経営判断としての改善方針を決定します。この記録はISO 27001の審査でも必ず確認されます。

ステップ8：認証審査への対応

認証機関による第三者審査を受けます。審査は第一段階審査（文書審査）と第二段階審査（現地審査）の2段階で実施されます。

審査でよく指摘される事項：

  • リスクアセスメントの根拠が不明確
  • 内部監査の独立性が確保されていない
  • 管理策の実施記録（証跡）が不十分
  • マネジメントレビューの議事録に改善事項が記載されていない

認証取得後は3年間の認証有効期限内に年次サーベイランス審査（維持審査）を受ける必要があります。

IT監査とISMSの関係

IT監査担当者にとって、ISMSは重要な監査対象かつ監査の基準となります。

ISMSを監査基準として活用する

IT監査においてISMSの管理策を監査基準として活用することで、体系的な評価が可能になります。

活用例：

  • アクセス制御の監査 → ISO 27001の「A.8.2 特権アクセス権の管理」を基準に評価
  • ログ管理の監査 → 「A.8.15 ログ取得」の要求事項と照合
  • クラウド利用の監査 → 「A.5.23 クラウドサービス利用のセキュリティ」で評価

ISMS内部監査とIT監査の違い

観点ISMS内部監査IT監査
目的ISMSの適合性・有効性の確認ITリスクの評価・統制の有効性検証
範囲ISMS適用範囲内の管理策IT全般統制・業務処理統制
頻度年1回以上（認証要件）年次または随時
報告先経営層（マネジメントレビュー）監査委員会・取締役会
視点規格への適合性リスクベース

実務ポイント： ISMS内部監査とIT監査を連携させることで、監査工数を削減しながら網羅的な評価が可能になります。ISMS内部監査の結果をIT監査で活用する「二段階監査アプローチ」は大企業で広く採用されています。

ISMSに関するよくある質問

Q1. ISMS認証取得にはどれくらいの期間と費用がかかりますか？

A. 規模や準備状況によって異なりますが、一般的に中小企業で6ヶ月〜1年、大企業で1〜2年程度かかります。費用については以下が目安です。

項目費用の目安
認証機関への審査費用数十万〜数百万円（従業員規模による）
コンサルタント費用100〜300万円（活用する場合）
ツール・システム整備50〜200万円（規模による）
年次維持審査費用審査費用の50〜70%程度

なお、国や自治体によってはIT導入補助金やセキュリティ対策補助金の活用が可能です。

Q2. ISMSとPマーク（プライバシーマーク）はどう違いますか？

A. 両者は保護対象が異なります。

項目ISMS（ISO 27001）Pマーク（JIS Q 15001）
対象すべての情報資産個人情報のみ
規格国際規格日本独自
適用範囲組織が定める全社必須
更新3年ごと＋年次審査2年ごと

個人情報保護を中心に対応したい場合はPマーク、情報セキュリティ全体を強化したい場合はISMSが適しています。ISMSを取得していればPマーク審査で一部の項目が免除される場合もあります。

Q3. 小規模な会社でもISMSは取得できますか？

A. 従業員数に関係なく取得できます。実際に数名規模の企業でも認証を取得しているケースは多くあります。重要なのは規模ではなく「ISMSの要求事項を満たした仕組みを構築・運用できているか」です。

小規模企業の場合、以下の工夫でコストと負荷を抑えられます：

  • 適用範囲を絞り込む（特定部門・サービスのみ）
  • 業界団体が提供するテンプレートを活用する
  • クラウド型ISMSツールを活用する（月額数万円程度）
  • 外部コンサルタントを最小限に留める

まとめ：IT監査担当者がISMSを活用するポイント

ISMSは情報セキュリティを組織的・体系的に管理するための国際的な枠組みです。本記事のポイントをまとめます。

ISMSの本質：

  • CIAの3要素（機密性・完全性・可用性）を組織全体で守る仕組み
  • PDCAサイクルによる継続的改善が核心
  • 技術・人・プロセスの三位一体アプローチ

ISO 27001:2022の特徴：

  • 93の管理策を4テーマ（組織・人的・物理・技術）で整理
  • クラウド・テレワーク・脅威インテリジェンスなど現代的な管理策を追加

IT監査での活用方法：

  • ISMSの管理策を監査基準として活用し、体系的な評価を実施
  • ISMS内部監査と連携して監査工数を削減
  • リスクアセスメント結果を監査計画の優先度決定に活用

IT監査担当者はISMSの仕組みを深く理解することで、より質の高い監査が実施できます。まずは自社のISMS運用状況を確認し、内部監査チェックリストを作成するところから始めてみてください。

本記事の内容はISO/IEC 27001:2022およびJIS Q 27001:2023に基づいています。規格の詳細については最新の規格文書をご参照ください。