【図解】ISMS認証取得ロードマップ：初めての挑戦で失敗しないための手順解説

実施のポイント

• エクセル形式のサンプル活動計画表（簡易版）などのテンプレートを利用すると計画しやすい。
• 認証機関の選択も併せて行い、審査費用や審査スケジュールなども確認しましょう。

実施のポイント

• リーダーは、ISMS運用開始後、管理責任者として、ISMS運用を行う実質の責任者となります。
• グループメンバーは、運営をスムーズに行うために、関連部門の代表者が良いでしょう。

実施のポイント

• 「情報セキュリティ基本方針（見本）」を参考に作ると効率的に作成できます。

実施のポイント

• 「内外の課題及び利害関係者のニーズ」は、適用範囲の決定（ステップ1：⑥）やリスクアセスメント（ステップ4）にも関連します。
• 確認ができるような文書（「組織状況管理表」など）を作成すると、運用がしやすくなります。

実施のポイント

• 「組織の内部及び外部の課題と利害関係者のニーズ」を踏まえ、どの範囲にするかを決定します。
• サンプル文書が用意する「適用範囲関連資料（見本）」を参考にするとスムーズに作成できます。

💡 自力取得のための体制構築 Q&A

当社のサポート窓口には、自力での取得を目指す担当者様から切実な相談が寄せられます。取得後にも関わってくる体制の質問も紹介します。

• Q. 「ISMS推進体制図」の作成はISOの必須要求事項？

  A. 規格（ISO/IEC 27001）自体に「体制図という形式で残せ」という直接的な明記はありません。しかし、要求事項にある「役割、責任及び権限の割り当て」を審査員に証明し、社内に周知するためには、体制図として視覚化しておくのが最も確実かつスマートです。

• Q. インシデント管理体制の「情報セキュリティ推進責任者」とは？

  A. 全社を統括する「管理責任者」とは別に、各部門（現場）でインシデントの一次対応や報告を迅速に行うためのリーダーです。自力取得の際は、各部署の長などを任命することで、現場へのルール浸透がスムーズになります。

• Q. 緊急連絡網兼体制図はポータルサイト等への掲載は必須？

  A. 作成するだけでなく「スタッフがいつでも見られる状態（周知）」にすることが規格上重要です。社内ポータルへの掲載や、共有サーバーへの常時配置など、自社の規模に合わせた最適な方法で共有してください。

実施のポイント

• 教育テキストを利用した勉強会のほか、書籍やインターネット、セミナーなどによる知識収録の方法があります。

実施のポイント

• ISMSの認証範囲に含まれる全ての従業員を対象に、情報セキュリティ教育を実施します。
• 集合研修やeラーニングなどを活用し、組織全体のリテラシーを底上げします。
• カスタマイズ可能な教育テキストなどを利用すると、自社の規定に即した教育を実施できます。
• 理解度テストをセットで行うと良いでしょう。

実施のポイント

• 内部監査員は、社内認定で構いません。
• 社内で教育テキストなどを利用して、内部監査員を認定します。
• 社内認定の場合、力量評価基準（社内テストの結果や教育記録など）を客観的に示せるようにしておく必要があります。

💡 自力取得のための教育・監査員育成 Q&A

コストをかけずとも、内部監査員の育成、教育の実施は可能です。独自の教材を一から作ると時間がかかりすぎるため、専門の教育用テキストやテスト問題を活用し、配布・回収の仕組みを先に整えるのがコツです。

• Q. 内部監査員は外部研修の受講が必須？

  A. 必須ではありません。自社内での教育・認定でも十分に審査を通せます。ただし、審査員に対して「なぜこの人を監査員として認めたのか」の力量評価基準（社内テストの結果や教育記録など）を客観的に示せるようにしておく必要があります。

• Q. 市販や当店の「社員教育テキスト」を社内e-ラーニング等に転載していい？

  A. 当店のテキストは、購入された組織内（グループ内）での利用であれば、e-ラーニングシステムへの転載やPDF配布、独自のテスト集計に自由にご活用いただけます。自社に合わせた柔軟な運用が、自力取得のコストを抑える鍵です。

実施のポイント

• 一から作成するよりは、信頼できるサンプル文書（雛形）をベースに自社の実態に合わせるのが効率的です。

実施のポイント

• 実際の業務フローに沿って洗い出すことで、抜け漏れを最小限に抑えることができます。
• 「情報資産管理台帳」へと集約し、機密性・完全性・可用性の3つの観点から、それぞれの重要度を格付け（分類）します。
• 「情報資産の特定手順」が記された支援ガイドがあると、迷わずに作業を進められます。

実施のポイント

• 実際の業務フローに沿って洗い出すことで、抜け漏れを最小限に抑えることができます。
• 「情報資産管理台帳」をもとに、脅威と脆弱性の2つの要素から情報資産に対するリスク値を算定（分析・評価）します。
• リスク値に応じた対策を決定します。

💡 リスクアセスメントを挫折せずに完遂するコツ Q&A

ISMS認証の取得及び運用において、最も重要なプロセスが「リスクアセスメント」です。そのやり方は、ISMS規格では「組織が自由に決めてよい」とされているため、複雑になりすぎず、しかも簡略化しすぎて意味のないプロセスにならないよう気を付ける必要があります。

• Q. 少人数のISMS構築、リスクアセスメントを簡略化できない？

  A. 可能です。すべてのPCや棚を1台ずつ愚直に洗い出す必要はありません。「開発用PC一式」「総務部キャビネット」のように共通する資産をまとめることで、少人数でも短期間で評価を終えることができます。

• Q. 資産の「グループ化」と「平準化」はどこまで行うべき？

  A. 「同じセキュリティリスクを持ち、同じ対策をとるもの」を1つのグループにします。例えば、全社員に支給している同スペックのノートPCは「社員用PC」として1行に平準化して構いません。

• Q. 「ギャップ分析対策表（シート）」は必須？

  A. 規格で「ギャップ分析表を作れ」と指定されているわけではありません。しかし、ISO27001規格の附属書A（管理策）と、自社の現状のルールにどれだけ差（ギャップ）があるかを整理するツール（シート）を使うことで、結果的に「適用宣言書」の作成が劇的に楽になります。当店のサンプル文書集には、このギャップ分析をスムーズに行うためのシートも同梱されています。

実施のポイント

• 当初は、記録漏れなどがあるため、例えば週末ごとに確認するとよいでしょう。
• ISMSは認証取得後も運用が続きます。運用上、不具合が生じる場合は、積極的に改善しましょう。

実施のポイント

• 内部監査用チェックリスト（サンプル）を活用することで、客観的な視点での評価が可能になります。
• 内部監査員は、自身の所属部署や担当業務に関する監査は避けるなど、公平な立場で監査を行います。

実施のポイント

• 不適合を発見した又は指摘を受けた担当者は、定めた規定に従い、是正処置を実施します。
• 不適合は「悪いこと」ではなく、「改善のチャンス」と捉えましょう。

💡 審査をクリアする内部監査運用のポイント Q&A

ISMS審査をクリアするための内部監査運用の最大のポイントは、「ルール（規定）が実態に合っているか」と「それが現場で実際に守られ、記録に残っているか」の2点を確認することです。これらを担保するためには、適切な監査員の「役割」と網羅的な「計画」が欠かせません。

• Q. 内部監査委員会の『監査責任者』の役割とは？

  A. 内部監査全体の計画（プログラム）を立て、監査員を指揮し、最終的な監査報告書をまとめて代表者（トップ）に報告する重要な役割を担います。規程通りに監査が実施されたか、独立性が保たれているかを管理します。

• Q. 個別内部監査プログラムで「各部署ごとに監査する規格番号を設定する」基準は？

  A. その部署が「実際に行っている業務」に関連する管理策（規格番号）を割り当てます。例えば、人事部であれば「人的資源のセキュリティ（教育や雇用）」、システム開発部であれば「開発・保守やアクセス制御」といった具合に、部署の特性（プロセス）に直結する規格番号を選択するのが正しいアプローチです。

実施のポイント

• 原則、年1回、トップが実施し、記録を残す必要があります。
• 関係者との会議形式や、資料の提出による書面形式、管理責任者との打合せ形式などがあります。

実施のポイント

• 現地審査での「指摘事項（不適合）」は、どんなに準備しても数件は出るのが普通です。
• 期日までに的確な改善報告書を提出できるかどうかが、取得までのスピードを左右します。

実施のポイント

• 重大な不適合（大きな欠陥があると判断）と指摘された場合、審査を続けるのが難しいと判断され、一時中断となる場合もあります。
• なお、重大な不適合と判断されても取得不可ではなく、再審査をおこない要求事項を満たせば認証を得られます。

審査員は「文書通りに動いているか」を確認します。現場の負担を無視した理想的なルールは形骸化の元です。「今の業務フロー」を尊重しつつ、セキュリティ要件を満たす工夫が必要です。

• 記録（証跡）の重要性
  ルールを作っても、実施記録（チェックリスト、承認印、ログなど）が残っていなければ「未実施」とみなされます。文書を作成する段階で「このルールは、現場が日々の業務の中で無理なく記録を残せるか？」を必ずシミュレーションしてください。
• 改善の余地
  現場の作業負担が過大になるルールは、いずれ形骸化します。「実務を変える」のではなく、「現場の現状を反映したルールを明文化する」ことが、審査合格への近道です。

資産を一つずつ細かく管理しようとすると運用がパンクします。「共通のセキュリティ要件を持つ資産」をグルーピングして評価することで、管理負荷を大幅に削減できます。

• グルーピングの活用
  共通のセキュリティ要件を持つ資産は「グループ化」して評価しましょう。例えば、部署内のPCを個別に管理するのではなく「部署用PC群」として一括で評価する、といった工夫です。
• 評価のメリハリ
  全てのリスクを同等に評価しようとせず、ビジネスへの影響度が大きい資産を優先して特定してください。網羅性よりも「自社にとって守るべき優先順位」を明確にする方が、リスク対応の有効性は高まります。

自部署を自分たちでチェックするのではなく、独立性を保った監査を行いましょう。「ルール通りか」だけでなく「今の業務の目的に合っているか」という改善の視点を持つことで、審査員からの評価も高まります。

• 独立性の確保
  内部監査員は「自分が関与していないプロセス」を監査するのが原則です。自分たちの部署のルールを自分でチェックしては、客観的な不適合（指摘事項）を見つけることができません。
• プロセス評価の視点
  「ルール通りやっていますか？」という確認だけでなく、「そのルールは現在の業務目的を達成するために適切に機能しているか？」という視点で質問を投げかけることで、審査前の最終調整として極めて高い効果を発揮します。指摘を「悪いこと」と捉えず、継続的改善の機会として活用する姿勢が、審査員からの評価にもつながります。