東京・名古屋・大阪・福岡でISMS(情報セキュリティマネジメントシステム)取得なら【ユーピーエフ】

ISO27001(ISMS)とは

ISMS ＝ Information Security Management System
（情報セキュリティマネジメントシステム）

①どのように「構築」し、②どのように「運用」すれば、認証を取得することができるのかを定めた「要求事項＝審査の基準」の国際規格です。
日本では、ISO27001が正式発行される前に、「ISMS適合性評価制度」として認証 制度が運用されていたため、ISO27001＝ISMSという認識が根付いています。本来は、ISO27001が「規格名称」、ISMSは「仕組み」の名称です。

ISO27001でいう情報セキュリティとは、上記のような特性を保護することであり、
規格要求上では最低限　
①機密性　②完全性　③可用性　の保護が必要です。

情報セキュリティのCIA
Ｃ　機密性（confidentiality）

許可されていない個人、エンティティ（個人以外の団体・組織等）又はプロセス（活動そのもの）に対して、情報を使用させず、また、開示しない特性
⇒誤った相手にメールを送ってしまったりすると・・・
Ｉ　完全性（integrity）

正確さ及び完全さの特性
⇒ホームページやデータベースが改ざんされたり、誤入力したりしてしまうと・・・
Ａ　可用性（availability）

認可されたエンティティが要求したときに、アクセス及び使用が可能である特性
⇒どこに必要な情報があるか分からない、保存先は分かっているけどアクセスできないと・・・
情報セキュリティの最適化とは
本人A:「大事な顧客情報だから、ファイルにパスワードをかけてサーバに保存しておこう」

同僚B:「今日この情報が必要なのに、本人Aが休んでどこにファイルがあるか分からない・・・」
同僚B:「本人Aしかパスワードが分からないのに、急に休んでしまってファイルが開かない・・・」
同僚B:「本人Aが退職してしまって保存場所も分からないし、見つかってもファイルが開かない・・・」
セキュリティの語源は、ラテン語の「気配り」と言われています。情報セキュリティとは、まさに「情報への気配り」です。上記のように本人Aにより機密性は保護されても可用性が損なわれてしまうケースは、最適な気配りがされているとは言えないかもしれません。
行き詰ったら視野を拡げて何のための情報セキュリティなのかをもう一度考えてみましょう。

上図のような「継続的な改善」を実現するＰＤＣＡサイクルを回し続けることで、最適化を図っていくことになりますが、プロジェクトの導入時は「C」から開始する組織もあります。
（現状のルールが妥当なのか？それをどの程度運用できているのか？のチェックから始めるということです）

取り組みの結果、期待できること（例）

【業務効率の改善】
組織内にどのような情報がどこに存在するのか把握すること。
また、書類やデータを探す時間を短縮することができるため、これによっても業務効率が改善されます。

【適切なリスク対応の実現】
例えば、上記の裏返しで、情報を共有することによるリスクを把握することができ、適切なアクセスコントロール（共有する必要が無い人員にはアクセス権を与えない）を実現することで情報漏えいリスク等を低減することができます。

【事業継続性の向上】
訴訟やトラブル対応の際に、記録等により組織が適切な対応をしていたことを証明し易くなり、事業継続性が向上します。

※特定された課題や、利害関係者のニーズと整合しない適用範囲の設定は、不適合となります。

【参考】 文書（規定や記録）化対応

規格では、一部文書化を要求していますが、全てのルールを文書化する必要はありません。極論すれば、大半のルールが明文化されていなくとも、全ての要員が正しく行動できるのであれば、ルールの明文化は不要です。通常はこれが難しいため、明文化することになります。

• 既存規定類、記録様式類の把握
• 規格要求とのGAP把握
• テーマ毎に文書化の要否判断
• 文章体系設計
• 規定、記録様式類の作成

【新規取得後の審査サイクル】

【審査と審査の間の活動】

運用計画の策定、運用計画に則った活動、変化に応じた対応
※運用負荷を下げるためのヒントは規格にあります。規格要求の解釈が進めば進むほど、「やらなくてもよいこと」「どの程度実施すれば適合するのか」が見えてきて運用負荷の低減につながります。

費用１：審査費用
審査費用を決める主な要素

（１）適用範囲
①対象業務の内容
②対象人数
③対象サイト数（拠点数）
（２）他のISO認証取得状況（同時審査等が可能かどうか）
（３）審査機関の選択（審査機関は任意で選択可能です）

審査費用の種類

費用２：セキュリティレベルを上げるための投資
審査を通過するだけであれば、過剰な投資は必要ありません。運用負荷の低減やリスクマネジメントの実現と、審査通過可否は別問題とお考えください。

費用３：外部からの支援費用

【金額を決める主な要素】

１、規格要求事項の意図を理解する
意図を理解することで「最低限やらなくてはいけないこと＝やらなくてもいいこと」が見えてきて、運用の効率化につながります。したがいまして、規格要求を理解せずにＩＳＭＳの最適化は有り得ません。
２、バランス感覚を失わない
認証取得・維持活動を続けていると、規格要求事項しか見えなくなり、本来であれば有り得ない思考に陥ることがあります。結果として、認証を取得するためだけの活動となってしまい、業務効率等を必要以上に損なってしまうことがあります。そんなときは何のためにこの活動を行うのか認識することが重要です。ときには、まわり（例えば事務局以外の従業者）の意見に耳を傾けてみましょう。

ユーピーエフは、認証取得後に「ただ認証を維持するためだけの支援」が不要となるよう、皆様の自立運用成立のご支援をします。

お客様のご要望や事業規模などで、認証取得を目指す速度や情報セキュリティマネジメントシステムの内容が異なってまいります。 ５つの基本プランをカスタマイズして、お客様に最適なコンサルティングプランをご提案致します。

なるべく苦労なく取得

ISO27001認証取得には苦労が伴うものです。ご担当者様には必要最低限のことを行って頂き、それ以外のことはコンサルタントが代行します。お忙しい方におすすめのプランです。

なるべく早く取得

認証取得が案件受注の条件であるなど、認証取得を急ぎたい方のプランです。コンサルタントと協力をして、迅速な認証取得を目指します。

認証を維持・更新

認証を取得した後も、認証を維持・更新する必要があります。更新時期が迫って慌てる前に、コンサルタントが更新のアドバイスをします。

業務改善の相談

自社の規模やリスクに応じた情報資産の管理体制強化などISMS構築が主で、併せてISO27001を取得したいというお客様のための、業務改善コンサルティングサービスです。

スマート化・実効性強化

構築した情報セキュリティマネジメントシステムの見直しをするプランです。文書の簡素化、規程の見直し、情報保護の手順・基準の見直しを行い、お客様にとって最適なシステムを再構築します。

コンサルティング内容の基本パターンとカスタマイズ

Q. プロジェクトメンバーには、どのような人材が適任ですか？
組織の状況にもよりますが、プロジェクトリーダーには、金銭や業務効率、営業などとのバランスを取って判断ができる方で、良い意味でも妥協ができる方が適任です。

Q. ISO27001の認証取得には、どれぐらいの期間が必要ですか？
「取組目的」「対象組織の規模」「取組体制」「現在の統制状況」等の要素によって変動しますが、一般的には、10ヶ月～12ヶ月を目安にお考えください。

Q. ISO27001の取得までにどれぐらいの費用がかかりますか？
ISO27001を取得するための費用には、(1)審査費用、(2)支援費用（コンサルティング費用）、(3)設備投資費用の３種類がかかります。それぞれ、内容によって異なりますので、ご相談ください。

Q. ISO27001を取得するメリットは何ですか？
セキュリティパフォーマンスの向上により、損害の予防・発生時の損害抑制に繋がりますので、セキュリティの事故を無くしたり、減らすことが可能となります。
また、情報の管理をすることで業務の効率を上げ、「誰がどの情報をどこに持っているのか」という状況を把握して、適切な共有をすることが業務の冗長性向上へと繋がります。

Q. プライバシーマークとの違いは何ですか？
プライバシーマークが個人情報の保護をテーマとしているのに対して、ISO27001は、リスクに応じた情報資産の管理をテーマとしております。また、ISO27001で言う情報資産は、個人情報を含んだ情報全般を対象としています。

Q. ISMSとISO27001は何が違うのですか？
ISO27001は規格要求、ISMSは「仕組み」です。どのようにISMSを構築して運用するのかを、規格として定めたものがISO27001なので、そもそも比較すべきものではありません。
ちなみに、ISO27001が発行される前、日本では「ISMS適合性評価制度」という名称の制度が運用されていました。その名残がISMS＝ISO27001という認識であろうかと思われます。

Q. ISO27017とは何ですか？
ISO27017は、クラウドサービスを提供、利用する組織向けの情報セキュリティガイドラインです。あくまでもガイドラインであり、認証規格ではないのでご注意ください。なお、日本ではクラウドセキュリティ認証としてJIPDECがISO27017に準拠した認証制度を運用していますので、よろしければJIPDECのサイトをご覧になってください。

【参考】JIPDECホームページ：https://www.isms.jipdec.or.jp/isms-cls/isms-cls-publish.html

また、弊社でもクラウドセキュリティ認証の支援をご提供しておりますので、併せてご覧になってください。
⇒ISMSクラウドセキュリティ認証について

Q.今までの実績で、ISO27001認証取得支援をした企業で、どの程度の事業規模のお客様が多いですか？
従業員３名の会社のお客様を支援させて頂いたこともございます。大企業としては、東証一部上場企業のお客様も何社か支援をさせて頂きました。数としては社員数15～50名の中小企業のお客様が多いです。

Q. 認証取得のために、どの程度のセキュリティレベルが要求されますか？
ISO27001の審査には、セキュリティレベルについて絶対的な基準がありません。簡単に申し上げると、リスク評価の結果に応じたリスク対応がなされていることが求められます。

ISO27001はプライバシーマークと異なり、情報全般のセキュリティが求められます。セキュリティの語源は「気配り」だと言われています。情報への気配りとは、情報の機密性を担保するだけでなく、正確でタイムリーに情報を提供することも含まれます。ユーピーエフでは、情報への気配りを大切にしながら、お客様の情報セキュリティマネジメントシステム（ISMS）の構築をご支援いたします。

ISO27001取得になるべく手間を省きたいとお考えのお客様や、とにかく迅速に取得したいとお考えの企業様、ISO27001の維持や更新をお考えのお客様、認証取得を通じて社内の仕事の管理体制を整えたいとお考えのお客様まで、さまざまなご要望にお応えできるコンサルティングなら、ユーピーエフにお任せください。

ご質問内容に合わせて、弊社スタッフから当日中に返信させて頂きます。

【個人情報の取り扱い】
個人情報保護管理者兼お問い合わせ窓口 ： 岡本友輝（本社）　TEL：03-6240-9470
利用目的 ： 本個人情報のご入力はあくまでお問合せお見積りにお応えするためのみにご利用させて頂きます。
不必要な案内行為や利用目的以外には一切使用いたしません。
任意性：個人情報をご提示（ご記載）頂きますが、必須事項のご記入がない場合は利用目的（お問合せへの回答）を達成することが出来ないことがあります。

株式会社ユーピーエフ個人情報保護方針に則り、一般社団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク制度の認定を受けております。 みなさまからお預かりする大切な個人情報を安全に管理し、且つ当お問い合わせのご対応のみに使用いたします。