ISO 27001（ISMS）とは｜情報セキュリティ認証の取得と運用

「取引先からISMS認証を求められた」「クラウド活用が進み、情報漏えいのリスクが心配」——業種を問わず、情報セキュリティは経営に直結するテーマになっています。その取り組みを体系化し、第三者に示せる形にする国際規格がISO 27001です。

本記事では、製造業・建設業・福祉をはじめとするあらゆる業種の担当者・経営者に向けて、ISO 27001とは何かをわかりやすく解説します。情報セキュリティマネジメントシステム（ISMS）の意味、情報資産のリスクアセスメント、機密性・完全性・可用性（CIA）、附属書Aの管理策、2022年改訂の要点、Pマークとの違い、そして認証取得の流れと中小企業がつまずきやすいポイントまで整理します。規格を問わない取得の流れや費用は「ISO認証の取得方法｜費用・期間・流れ」もあわせてご覧ください。

ISO 27001とは——情報セキュリティマネジメントの国際規格

ISO 27001とは、組織が情報を安全に管理するための「情報セキュリティマネジメントシステム（ISMS：Information Security Management System）」の国際規格です。正式には国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で発行しており、ISO/IEC 27001と表記されます。最新版は2022年に発行された2022年版です。

ポイントは、ISO 27001が特定のツールやセキュリティ製品を導入すれば済むものではなく、「情報資産のリスクを評価し、組織のルールと運用として守り続ける仕組み」を求める規格だという点です。組織が守るべき情報資産を洗い出し、リスクを評価して対策し、その結果を点検・見直して改善する——というPDCAサイクルを根づかせます。第三者機関の審査に合格するとISMS認証を取得でき、取引先や顧客に対して情報管理体制を客観的に示せます。

なぜ今、あらゆる業種に情報セキュリティマネジメントが必要か

製造業の技術図面、建設業の施工データ、福祉事業の利用者情報など、どの業種も守るべき重要な情報を抱えています。情報セキュリティマネジメントが求められる背景には、次のような事情があります。

• サイバー攻撃の増加：ランサムウェアや標的型攻撃は中小企業も例外なく狙われ、事業停止に直結する
• クラウド・テレワークの浸透：社外からの情報アクセスが増え、従来の「社内だけ守る」発想では守りきれない
• 取引・入札での要求：大手企業や官公庁がサプライヤーにISMS認証を求めるケースが増えている
• 情報漏えいの経営インパクト：漏えいは損害賠償・信用失墜・取引停止につながる

担当者の「気をつける」だけに頼った情報管理には限界があります。ISO 27001は、情報セキュリティを個人の注意力ではなく、組織の仕組みとして回す枠組みを提供します。人の入れ替わりが多い現場や、複数拠点・協力会社を抱える組織ほど、仕組み化の価値が高いといえます。

ISO 27001の要求事項のポイント

ISO 27001が求める内容のうち、はじめて取り組む企業がとくに押さえておきたいポイントを整理します。

情報資産のリスクアセスメント

ISO 27001の中核が、情報資産のリスクアセスメントです。組織が持つ情報資産（顧客データ、技術情報、契約書、システムなど）を洗い出し、それぞれについて「どんな脅威があり」「どこに弱点があり」「漏えいや停止が起きたらどれだけ影響が大きいか」を評価して、対策の優先順位を決めます。すべてを一律に守るのではなく、重要度に応じてメリハリをつけるのが基本的な考え方です。

機密性・完全性・可用性（CIAの3要素）

ISO 27001が守ろうとするのは、情報セキュリティの3要素（CIA）です。機密性（Confidentiality）は許可された人だけが情報にアクセスできる状態、完全性（Integrity）は情報が正確で改ざんされていない状態、可用性（Availability）は必要なときに情報やシステムを使える状態を指します。この3つのバランスを保ちながら情報資産を守ることが求められます。

附属書A（Annex A）の管理策

リスクアセスメントの結果に応じて、具体的な対策を選んで適用します。その参照リストが附属書A（Annex A）の管理策です。2022年版では、組織的・人的・物理的・技術的の4つのカテゴリーに整理された93項目の管理策が示されています。アクセス制御、暗号化、入退室管理、従業員教育、供給者管理などが含まれ、自組織のリスクに必要なものを選択して運用します。

リーダーシップとPDCAによる継続的改善

ISO 27001では、経営層のリーダーシップが重視されます。トップが情報セキュリティ方針を示し、責任と資源を割り当てることが求められます。そのうえで、目標を立てて実行し、点検・監視し、見直すPDCAサイクルを回し、内部監査やマネジメントレビューを通じて仕組みそのものを改善していきます。

ISO 27001:2022改訂のポイント

ISO/IEC 27001は2022年に改訂され、附属書Aの管理策が大きく見直されました。従来（2013年版）の14分野114項目から、4カテゴリー93項目へ再編され、より現在の脅威環境に即した内容になっています。

• 4カテゴリーへの再編：管理策が「組織的・人的・物理的・技術的」に整理され、全体像を把握しやすくなった
• 新しい管理策の追加：クラウドサービスの利用、脅威インテリジェンス、データ漏えい防止、構成管理など、近年重要性が増した項目が加わった
• 移行期限：2013年版から2022年版への移行期限は2025年10月末とされていました。これから取得する場合は当然2022年版が対象です

ISO 27001とPマーク・ISO 27002の違い

混同されやすい関連制度・規格との違いを整理しておきます。

• Pマーク（プライバシーマーク）との違い：PマークはJIS Q 15001に基づく個人情報保護に特化した国内制度で、事業者単位で認定される。ISO 27001は個人情報に限らず情報資産全般を対象とする国際規格で、適用範囲を部門やサービス単位で柔軟に設定できる
• ISO 27002との違い：ISO 27002は附属書Aの管理策を実践するためのガイドライン（実践規範）。認証の対象となるのはISO 27001であり、27002は運用の手引きとして参照する

ISO 27001（ISMS認証）取得の流れ

ISO 27001の取得の流れは、他のISO規格と基本的に共通しています。おおまかには、適用範囲の決定 → 情報資産の洗い出しとリスクアセスメント → 方針・規程・記録の整備（管理策の選択を含む）→ 運用と記録 → 内部監査・マネジメントレビュー → 認証審査（第一段階・第二段階）→ 取得後の維持・更新という流れです。準備開始から取得まではおおむね半年〜1年程度が目安とされます。

費用の内訳（審査費用・コンサル費用・維持費用）や期間短縮のポイント、認証機関の選び方といった取得実務の詳細は、「ISO認証の取得方法｜費用・期間・流れを解説」で規格横断的にまとめています。あわせてご覧ください。

中小企業がISO 27001でつまずきやすいポイント

• リスクアセスメントが形式的になる：情報資産の洗い出しが実態と合わず、対策の優先順位づけにつながらない
• 規程だけが立派で運用が伴わない：分厚い規程を作ったものの、現場が実行できず記録も残らない
• アクセス権限の管理が属人化する：誰が何にアクセスできるかが整理されず、退職者のアカウントが残る
• 記録が紙やファイルに散らばる：教育・点検・インシデント対応の記録が分散し、審査のたびに探し回る
• 取得が目的化する：認証取得自体がゴールになり、情報を守るという本来の目的につながらない

これらの多くは、「自社のリスクに即した無理のない仕組みづくり」と「規程・アクセス権限・教育記録を一元的に管理する体制」があれば避けられます。とくに、誰が何にアクセスできるかを可視化し、教育やインシデント対応の記録を継続的に蓄積・共有できる状態にしておくと、運用と審査の負担を大きく減らせます。

まとめ：ISO 27001は情報を「仕組み」で守る

ISO 27001は、業種を問わず、組織が情報資産を守り、その取り組みを継続的な仕組みとして回していくための国際規格です。要点を整理します。

• ISO 27001（ISO/IEC 27001）は情報セキュリティマネジメントシステム（ISMS）の国際規格
• 要求事項の核は「情報資産のリスクアセスメント」「機密性・完全性・可用性の確保」「附属書Aの管理策」「リーダーシップとPDCA」
• 2022年版で管理策が4カテゴリー93項目に再編され、クラウド等の新しい脅威に対応
• Pマーク（個人情報特化）とは対象範囲が異なり、情報資産全般を柔軟な範囲で守れる
• 規程・アクセス権限・教育記録を一元管理できる体制が、運用と審査の負担を左右する

株式会社Sei San SeiのMINORI Cloudは、生成AI × RPA × 業種特化型の次世代型ERPとして、製造・建設・福祉に最適化された業界別統合マネジメントシステムを提供しています。情報セキュリティに関わる規程・アクセス権限・教育やインシデント対応の記録を一元管理し、ISO 27001の運用や内部監査・審査の準備をデジタルで支援します。「ISMS認証を取りたい」「記録が散らばって審査のたびに苦労している」という企業の皆さまは、お気軽にご相談ください。