目次
はじめに：ISMS監査は「怖いもの」ではない#
「来月、ISO 27001の審査があるんです…」
IT部門やセキュリティ担当者からこんな声を聞くと、その表情には少なからず緊張が見て取れます。ISMS（Information Security Management System：情報セキュリティマネジメントシステム）の外部審査は、多くの組織にとって年に一度の「大イベント」であり、準備不足で臨めば指摘事項の山を積み上げる結果になりかねません。
しかし、結論から言えば、ISMS監査は正しく準備すれば確実に乗り切れるものです。本記事では、10年以上にわたりISMS審査対応や内部監査に携わってきた経験をもとに、ISO 27001審査を成功させるための実務的なポイントを徹底解説します。
初めて審査を受ける担当者の方も、何度か経験があるけれど毎回バタバタしてしまう方も、この記事を読めば「審査当日に何が起こるか」「どう準備すべきか」が明確になるはずです。
背景・概要：ISO 27001とISMS監査の基本を押さえる#
ISO 27001とは何か#
ISO 27001は、国際標準化機構（ISO）が定めた情報セキュリティマネジメントシステムの国際規格です。組織が情報資産を適切に保護するための「仕組み」を構築・運用・維持・改善するためのフレームワークを提供しています。
2022年に大幅改訂が行われ、現在の最新版は「ISO/IEC 27001:2022」です。従来の2013年版から附属書Aの管理策が114項目から93項目に再編成され、クラウドセキュリティや脅威インテリジェンスなど現代的な要素が追加されました。
ISMS認証取得のメリット#
ISMS認証を取得することで、組織は以下のようなメリットを得られます。
- 取引先からの信頼獲得：特に大企業や官公庁との取引では、ISMS認証が入札条件になるケースが増加
- セキュリティインシデントの予防：体系的な管理により、情報漏洩リスクを大幅に低減
- 従業員のセキュリティ意識向上：教育・訓練を通じた組織全体のリテラシー底上げ
- 法令遵守の証明：個人情報保護法やGDPRなど各種規制への対応を客観的に示せる
実際、JIPDEC（日本情報経済社会推進協会）の統計によると、2024年時点で日本国内のISMS認証取得組織数は約7,500件を超え、年々増加傾向にあります。
審査の種類と頻度#
ISMS認証に関連する審査は、大きく以下の3種類に分かれます。
| 審査の種類 | 頻度 | 目的 |
|---|---|---|
| 初回審査（ステージ1・2） | 新規取得時 | 認証取得の可否判断 |
| サーベイランス審査 | 年1回 | 継続的な適合性確認 |
| 再認証審査 | 3年ごと | 認証更新の可否判断 |
ステージ1審査は文書審査が中心で、ステージ2審査で本格的な現場確認が行われます。サーベイランス審査は認証維持のための定期点検であり、再認証審査は初回審査に近い本格的な審査となります。
ISMS監査を成功させる8つの実務ポイント#
ポイント1：適用範囲と適用宣言書（SoA）の整合性を確認する#
ISMS監査で最初にチェックされるのが「適用範囲」と「適用宣言書（Statement of Applicability：SoA）」です。
適用範囲とは、ISMSが適用される組織・拠点・業務の境界を定義したものです。例えば「本社のシステム開発部門が行うWebアプリケーション開発業務」のように、物理的・組織的・技術的な範囲を明確にします。
適用宣言書は、ISO 27001附属書Aの管理策（93項目）それぞれについて、「適用する/適用しない」と「その理由」を記載した文書です。
審査員は必ず「なぜこの管理策を適用除外としたのか」を確認します。例えば、「A.7.7 クリアデスク・クリアスクリーン」を適用除外とした場合、「当社は完全リモートワークで物理オフィスを持たないため」といった合理的な理由が必要です。
実務チェックリスト：
- 適用範囲に変更がないか確認（組織変更・拠点移転など）
- SoAの各管理策について、適用/除外の理由が現状と一致しているか
- 適用除外とした管理策のリスクアセスメントが適切か
ポイント2：リスクアセスメントとリスク対応計画を最新化する#
ISMSの心臓部ともいえるのが「リスクアセスメント」です。ISO 27001では、情報資産に対するリスクを特定・分析・評価し、適切な対応を計画・実施することを求めています。
リスクアセスメントの基本プロセス：
- 情報資産の特定：保護すべき情報資産をリストアップ
- 脅威と脆弱性の特定：各資産に対する脅威（外部攻撃、内部不正など）と脆弱性（パッチ未適用、教育不足など）を洗い出す
- リスク値の算出：発生可能性×影響度でリスクレベルを数値化
- リスク対応の決定：低減・回避・移転・受容のいずれかを選択
審査では「リスクアセスメントの結果」と「実際の管理策」の紐づけを確認されます。例えば、「ランサムウェア攻撃のリスクが高い」と評価しているのに、バックアップ体制が不十分であれば不適合となります。
よくある指摘事項：
- リスクアセスメントが1年以上更新されていない
- 新規導入したシステムがリスクアセスメント対象に含まれていない
- リスク対応計画の進捗管理がされていない
実務TIPS： リスクアセスメントは少なくとも年1回、または重大な変更（新システム導入、組織改編、重大インシデント発生）時には見直しを行いましょう。
ポイント3：文書体系と記録管理を整備する#
ISMS監査は「証跡（エビデンス）勝負」といっても過言ではありません。審査員は「言っていること」ではなく「記録として残っていること」を確認します。
必須文書の例：
| 文書名 | 内容 | ISO 27001要求事項 |
|---|---|---|
| 情報セキュリティ方針 | 経営層のコミットメントを示す最上位文書 | 5.2 |
| リスクアセスメント手順 | リスク評価の方法論を定義 | 6.1.2 |
| 適用宣言書（SoA） | 管理策の適用/除外を宣言 | 6.1.3 d) |
| リスク対応計画 | リスク対応の具体的施策と期限 | 6.1.3 |
| 内部監査手順 | 内部監査の実施方法を規定 | 9.2 |
必須記録の例：
- 教育訓練の実施記録と参加者リスト
- アクセス権付与・削除の申請・承認記録
- インシデント対応記録
- 内部監査報告書
- マネジメントレビュー議事録
実務TIPS： 記録は「いつ」「誰が」「何を」「どのように」が明確に分かる形式で保管しましょう。Excelでの管理も問題ありませんが、更新履歴（バージョン管理）は必須です。
ポイント4：内部監査を確実に実施し、是正処置を完了させる#
ISO 27001では、組織が自らISMSの有効性を検証する「内部監査」の実施を求めています。外部審査の前に内部監査を実施し、発見された問題を是正しておくことが極めて重要です。
内部監査のポイント：
- 監査員の独立性確保：自分の担当業務を自分で監査してはいけない
- 監査計画の策定：年間計画を立て、全プロセス・全部門をカバー
- 監査チェックリストの活用：漏れなく確認するための準備
- 不適合の明確化：観察事項と不適合を区別して記録
- 是正処置の実施確認：根本原因の分析と再発防止策の有効性検証
内部監査と外部審査のタイミング：
外部審査の2〜3ヶ月前には内部監査を完了し、発見された不適合の是正処置を完了させておくのが理想です。是正処置が間に合わない場合でも、「是正処置計画」を立てて進捗を示せるようにしておきましょう。
よくある失敗例：
- 内部監査員が自部門を監査してしまった
- 内部監査報告書が形式的で、具体的な発見事項がない
- 是正処置の「原因分析」が浅い（「確認不足」で終わっている）
ポイント5：マネジメントレビューを形式で終わらせない#
マネジメントレビューは、経営層がISMSの状況を把握し、改善の方向性を決定する重要なプロセスです。ISO 27001では、最低年1回のマネジメントレビュー実施を求めています。
マネジメントレビューのインプット項目（ISO 27001:2022 9.3.2）：
- 前回のマネジメントレビューの処置状況
- ISMSに関連する外部・内部の課題の変化
- セキュリティパフォーマンス（不適合、インシデント、監視・測定結果など）
- 利害関係者からのフィードバック
- リスクアセスメントの結果とリスク対応計画の状況
- 継続的改善の機会
マネジメントレビューのアウトプット（ISO 27001:2022 9.3.3）：
- 継続的改善の機会に関する決定
- ISMSの変更の必要性
- 資源の必要性
実務TIPS： マネジメントレビューは「議事録に残す」ことが重要です。経営層の発言を記録し、決定事項を明確にしましょう。審査員は「トップマネジメントのコミットメント」を確認するため、社長や役員が実際に参加していたかを質問します。
ポイント6：従業員教育の記録を整備する#
ISMSでは、情報セキュリティに関わる業務を行う人員に対し、適切な力量を持たせることを求めています。これは「教育・訓練」と「その記録」によって証明します。
教育プログラムの例：
| 対象 | 内容 | 頻度 |
|---|---|---|
| 全従業員 | 情報セキュリティ基礎研修 | 年1回 |
| 新入社員 | 入社時セキュリティオリエンテーション | 入社時 |
| 開発者 | セキュアコーディング研修 | 年1回 |
| 管理職 | インシデント対応訓練 | 年1回 |
| ISMS推進担当 | ISO 27001内部監査員研修 | 必要時 |
記録として残すべき項目：
- 実施日時
- 研修テーマ・内容
- 講師名
- 参加者リスト（署名または電子記録）
- 理解度テストの結果（実施した場合）
よくある指摘事項：
- 教育計画はあるが、実施記録がない
- 新入社員への初期教育が漏れている
- 中途採用者への教育タイミングが遅い（入社後数ヶ月経過）
ポイント7：変更管理とインシデント対応の記録を準備する#
審査員は「日常運用が適切に行われているか」を記録から確認します。特に重視されるのが「変更管理」と「インシデント対応」です。
変更管理で確認されるポイント：
- システム変更時の承認プロセスは機能しているか
- 変更によるセキュリティ影響の評価は行われているか
- 本番環境への変更前にテストが実施されているか
- 変更記録は適切に保管されているか
インシデント対応で確認されるポイント：
- インシデント報告のルートが確立されているか
- 報告されたインシデントの記録は残っているか
- 根本原因分析と再発防止策は実施されているか
- インシデントの傾向分析は行われているか
実務TIPS： 「インシデントがゼロ」と報告する組織もありますが、審査員はむしろ「本当に検知できているのか」を疑います。軽微なインシデント（フィッシングメールの受信、マルウェア検知など）も記録し、対応を示すことで、仕組みが機能している証拠になります。
ポイント8：審査当日の対応を事前にシミュレーションする#
審査当日のスムーズな対応は、良好な印象を与えるだけでなく、限られた時間を有効に使うためにも重要です。
事前準備チェックリスト：
- 審査スケジュールの確認と関係者への周知
- 審査対象部門の担当者アサイン
- 必要な文書・記録の事前準備（電子データの場合は検索しやすく整理）
- 会議室の確保とプロジェクターなどの機材準備
- 現場確認が想定される場所の整理（サーバールームなど）
審査当日の対応ポイント：
- 質問には簡潔に答える：聞かれていないことまで話さない
- 分からないことは正直に「確認します」と答える：推測で答えない
- 記録を示して説明する：口頭だけでなくエビデンスを見せる
- 不適合を指摘されたら反論せず受け止める：是正の意思を示す
- 審査員の質問の意図を確認する：理解できない場合は聞き返してOK
よくあるトラブルと対策：
| トラブル | 対策 |
|---|---|
| 担当者が不在 | 代理対応者を事前にアサイン |
| 記録が見つからない | 事前にファイル整理、検索テスト |
| 質問の意図が分からない | 「〇〇についてのご質問でしょうか」と確認 |
| 時間が足りない | 優先順位の高い項目から説明、詳細は後日提出を提案 |
よくある質問（FAQ）#
Q1：不適合を指摘されたら認証は取り消されますか？#
A1：いいえ、すぐに取り消されることはありません。
不適合には「重大な不適合」と「軽微な不適合」の2種類があります。
- 重大な不適合：ISMSの重要な要素が欠如している、またはシステムの有効性に重大な影響を与える状態
- 軽微な不適合：単発的な逸脱や、システムの有効性に大きな影響を与えない状態
軽微な不適合であれば、次回審査までに是正すれば問題ありません。重大な不適合の場合でも、通常は90日程度の是正期間が与えられ、是正完了後に追加審査（フォローアップ審査）で確認されます。
ただし、是正を怠ったり、是正が完了しなかったりした場合は、認証の一時停止や取り消しにつながる可能性があります。
Q2：審査員に見せたくない機密情報がある場合はどうすればいいですか？#
A2：審査員には守秘義務があり、また、確認方法を工夫することも可能です。
認定された審査機関の審査員は、厳格な守秘義務契約の下で業務を行っています。基本的には、ISMSの有効性確認に必要な情報は開示する必要があります。
ただし、以下のような対応は可能です：
- 機密度の高い情報：詳細ではなく概要を説明し、管理プロセスが存在することを証明
- 顧客情報：マスキングした状態で記録を提示
- 契約上の制限：事前に審査機関と相談し、確認方法を調整
事前に審査機関と「審査で確認が必要な範囲」について擦り合わせを行い、どのような形で証拠を提示できるか協議しておくことをお勧めします。
Q3：ISO 27001:2022への移行はいつまでに完了すべきですか？#
A3：2025年10月31日までに移行を完了する必要があります。
ISO 27001は2022年10月に改訂版が発行されました。旧版（2013年版）からの移行期間は3年間と定められており、2025年10月31日が移行期限です。
この期限を過ぎると、2013年版での認証は無効となります。現在2013年版で認証を受けている組織は、計画的に移行審査を受ける必要があります。
移行のポイント：
- 附属書Aの管理策が114項目から93項目に再編成（新規11項目追加）
- 新しい管理策：脅威インテリジェンス、クラウドサービス利用のセキュリティ、データマスキングなど
- 本文（箇条4〜10）の構造は大きく変わっていないが、用語の整理あり
移行審査は、通常のサーベイランス審査または再認証審査と組み合わせて実施することが多いです。審査機関と早めに日程調整を行いましょう。
まとめ：日常運用の積み重ねが審査成功の鍵#
ISMS監査を乗り切るための8つのポイントを振り返りましょう。
- 適用範囲とSoAの整合性確認：適用除外の理由を明確に
- リスクアセスメントの最新化：年1回以上の見直しを
- 文書体系と記録管理の整備：「エビデンス」で語る準備を
- 内部監査と是正処置の完了：外部審査2〜3ヶ月前に完了
- マネジメントレビューの実質化：経営層のコミットメントを記録
- 従業員教育の記録整備：全員の教育履歴を管理
- 変更管理とインシデント対応記録：日常運用の証拠を残す
- 審査当日のシミュレーション：事前準備で当日を乗り切る
最も重要なのは、審査のためだけにISMSを運用しないことです。
ISMS監査は「審査員を満足させるイベント」ではなく、「組織の情報セキュリティが適切に機能しているかを第三者に確認してもらう機会」です。日常的にPDCAサイクルを回し、継続的改善に取り組んでいれば、審査対応で慌てることはありません。
逆に、審査前だけ帳尻合わせをしている組織は、毎回の審査がストレスとなり、ISMSの本来の価値を享受できません。
本記事で紹介した実務ポイントを参考に、ぜひ「審査が怖くないISMS運用」を実現してください。そして、ISMSを通じて組織の情報セキュリティレベルを向上させ、ビジネスの信頼性を高めていただければ幸いです。
関連キーワード： ISMS監査、ISO 27001、審査対応、内部監査、情報セキュリティマネジメントシステム、リスクアセスメント、適用宣言書、SoA、マネジメントレビュー、継続的改善、ISO 27001:2022、認証取得、サーベイランス審査
IT監査 セキュリティ