連載「ISMS審査員・監査への道」第2回
「ISMS認証を取得しています」。企業のサイトや入札の資料で、この一文を見かけます。
あの認証は、誰が出しているのでしょうか。そして、出している機関のほうは信用できるのでしょうか。
正直に書くと、私はここを長いあいだ分かっていませんでした。認証という言葉を、なんとなく「第三者のお墨付き」として受け取っていただけです。
前回はISO/IEC 27001という規格そのものの構造を見ました。第2回は、その規格を使って誰がどう審査をしているのか、制度の側を追いかけます。
第1回：ISO/IEC 27001の全体像｜規格を知らないと、ベンダーとの会議で何も言えなくなる
- 認定機関・認証機関・認証取得組織という三層の関係
- 日本で取った認証が、海外の取引先にも通じる理由
- ISMS審査員の資格を、どこが認めているのか
- 初回審査から更新審査までの周期
- 認証取得組織の情報が公開されていること、そこで何が読めるか
- 発注側から見たとき、認証の確認がどこで止まりやすいか
ISMS認証とは——審査する側も、別の機関から審査されている
ISMS認証は、組織が自分で「うちは安全です」と名乗る仕組みではありません。第三者が規格どおりに運用されているかを確かめ、その結果として出るものです。
面白いのは、確かめる側もまた確かめられている点です。審査をする機関が、別の機関から「審査をする資格があるか」を審査されています。この二段構えが、制度の骨格になっています。
なぜそこまでするのか。理由は単純で、審査の甘い機関が一つでも出ると、認証そのものの値打ちが落ちるからです。「どこで取ったかによって重みが違う」となった時点で、お墨付きは機能しなくなります。
誰が誰を認めているのか——三層の関係
登場するのは三者です。まず全体像を並べます。
| 役割 | 誰か | 何をするか |
|---|---|---|
| 認定機関 | 一般社団法人情報マネジメントシステム認定センター（ISMS-AC） | 認証機関に審査の資格があるかを確かめ、認定する |
| 認証機関（審査登録機関） | ISMS-ACの認定を受けた民間の審査機関 | 組織を審査し、認証を発行する |
| 認証取得組織 | 企業・自治体・団体 | 審査を受ける側 |
日本の認定機関はISMS-ACです。2018年4月2日に設立された組織で、それ以前はJIPDEC（一般財団法人日本情報経済社会推進協会）が認定機関を務めていました。認定業務の独立性をはっきりさせるために、法人を分けたという経緯です。
現在のISMS-ACは、ISMSだけを扱っているわけではありません。ITサービスマネジメント（ITSMS）、事業継続（BCMS）、プライバシー情報（PIMS）、そしてAIマネジメント（AIMS）の認証機関も認定しています。マネジメントシステムという枠組みが、対象を広げながら増えていることが分かります。
認証機関を認定するときの基準になるのは、二つの規格です。ISMS-ACが公開している認定の手順では、JIS Q 17021-1（2015年）とJIS Q 27006（2018年）が引用規格として挙げられています。前者がマネジメントシステム認証機関全般への要求事項、後者がISMS認証機関に固有の要求事項、という役割分担です。
規格が規格を支えている構造だと言えます。27001を審査する機関が、別の規格に照らして審査されている。この入れ子は、慣れるまで少し混乱します。
そして、これは書類上の建前ではありません。認証機関もまた、定期的なサーベイランスを受けます。ISMS-ACのFAQには、時期が近づいたら案内を出す旨が書かれています。認証を取った組織が定期的に見られるのと同じように、審査する側も見られ続けているわけです。
まもる日本で取った認証が、海外の取引先にも通じる理由
認定機関どうしは、国際的な相互承認の枠組みを結んでいます。IAF（国際認定機関フォーラム）やAPACといった組織のもとで、MLA（多国間相互承認取決め）が交わされています。ISMS-ACもこの署名機関です。
つまり、ISMS-ACが認定した認証機関の出す認証は、海外の取引先から見ても同等のものとして扱われます。日本で審査を受けたから日本国内でしか通じない、ということにはなりません。
この土台があるから、入札仕様書やクラウド調達の要件に「ISO/IEC 27001の認証を有すること」と書けます。国が違えば審査の中身も違う、という状態では、そもそも要件として使えないからです。
調達の文書に規格名を一行書くという行為の裏側に、これだけの仕掛けがあった。私はそこを知らずに、あの一行を読み流していました。
審査員は誰が認めているのか
組織を審査するのは、最終的には人です。ですから、その人の資格を確かめる機関もまた別にあります。
日本ではJRCA（日本要員認証協会）が、ISMS審査員の評価と登録を行っています。日本規格協会の中に置かれた組織で、JIS Q 17024という要員認証機関向けの規格に基づいて認定を受けています。
審査員には段階があります。JRCAが登録するISMS審査員の区分は、審査員補、審査員、主任審査員、エキスパート審査員の四つです。上に行くほど求められる審査の実績が増えます。研修コースの修了と実務経験の両方が要件になる仕組みです。
なお、2022年版への移行申請の受付は2025年10月31日で締め切られたとされています。制度の側も版の切り替えを進めてきたことが分かります。
この連載を始めた動機のひとつが、ここです。定年後の働き方として審査員という道があると知り、では何が必要なのかを調べ始めました。区分ごとの要件は、第4期の審査編でもう一度詳しく扱う予定です。
審査はどう進み、どの周期で回るのか
一度取ったら終わり、ではありません。認証には有効期間があり、その間も定期的に見られます。
| 審査の種類 | 時期 | 主に見られるもの |
|---|---|---|
| 第一段階審査 | 初回 | 文書化した情報、適用宣言書、審査を受ける準備が整っているか |
| 第二段階審査 | 初回（第一段階の後） | 実際に運用されているか。記録と現場の確認 |
| 維持審査（サーベイランス） | 初回認証の後、年1回以上 | 1年分の運用記録。仕組みが回り続けているか |
| 更新審査 | 3年ごと | 3年分の運用記録。全体を通しての有効性 |
有効期間は3年です。初回の認証審査に通ると認証登録され、その後は年に1回以上の維持審査を受けます。そして3年ごとに更新審査です。
初回の審査が二段階に分かれているのは、紙の上の整備と実際の運用がずれる組織が現実に多いからでしょう。文書だけ立派に作っても、第二段階で運用の実態を見られます。
指摘には重みの区分があります。一般には重大な不適合と軽微な不適合を分け、それとは別に改善の機会（観察事項）が示されます。ただし呼び方には揺れがあるようです。私はまだ審査を受ける側に立ったことがないので、ここは断定を避けておきます。
3年で一周する、という周期は覚えておく価値があります。組織の人の入れ替わりより、周期のほうが長いことがあるからです。この点は後半でもう一度触れます。
認証があっても保証されないこと
ここは正直に書いておきます。認証は、事故が起きないことの保証ではありません。
確かめられているのは、決められた適用範囲の中で仕組みが動いていることです。認証を持つ組織から情報漏えいが起きた例は、現実にあります。仕組みがあることと、その仕組みが常にすべてを防ぐことは、別の話です。
もう一つ見落とされやすいのが、その適用範囲です。認証書には、対象となる事業所や事業が明記されています。全社で取っているのか、特定の一部門だけなのか。ここを読まずに「認証あり」とだけ確認すると、肝心の委託業務が範囲外だった、ということが起こり得ます。
認証を要件にする側にとっては、ここが一番の勘所だと思います。持っているかどうかではなく、どこまでを対象に持っているか。
認証を取ると、その事実は公開される
見落とされがちな話をもう一つ。初回の審査に通った組織は認証登録され、その情報がISMS-ACのサイトで公開されます。
公開されている項目を並べます。
| 公開項目 | 発注側にとっての意味 |
|---|---|
| 組織名称／組織部門名称／所在地 | どの法人の、どの部門が対象か |
| 認証基準 | 2013年版か2022年版か |
| 認証登録番号 | 提出された認証書との照合に使える |
| 登録範囲 | 委託しようとしている業務が対象内か |
| 初回登録日／有効期限 | 失効していないか、取ったばかりか |
| 認証機関（認定番号） | どこが審査したか |
つまり、相手から紙をもらわなくても、こちらから確認できます。しかも認証書に書かれているのとほぼ同じ内容が読めます。
逆に、消えることもあります。認証機関が組織の認証を一時停止または取り消した場合、その情報はISMS-ACに報告され、ホームページ上の登録組織の表示が削除されます。つまり、一覧に載っているという事実そのものが、いま有効かどうかの手がかりになります。
一つ注意点があります。ここで検索できるのは、ISMS-ACが認定した認証機関による認証です。海外の認定機関のもとで認証を受けている組織は、この一覧には出てきません。国際的に相互承認されているとはいえ、日本の一覧に載るかどうかは別の話になります。
現場では、認証書を誰が見ているのか
そう書いておきながら、自分の足元を確かめたら手が止まりました。
私は自治体の情報システム部門に20年以上常駐しています。入札の仕様書にISO27001の認証を求める記載が入ることは知っています。しかし、ベンダーから提出された認証書を実際に誰が確認しているのか、私は知りません。おそらく調達手続を所管する別の課だろう、という程度です。
情報部門の技術担当のところに、あの紙は回ってきません。
奇妙なのは、その要件を仕様書に書き込むのは情報部門のはずだ、という点です。どういう水準のベンダーに来てほしいかを考えて、要件を起こす側にはいます。ところが、返ってきた答えを受け取る側にはいない。行きは技術部門、帰りは事務手続き。要件が一方通行になっています。
これは私の職場だけの話ではないと考えています。認証の確認は調達の手続きの中で完結し、書類が揃っているかという形式の確認で終わりやすい。適用範囲の欄を読んで、委託しようとしている業務が本当に対象内かを見る作業は、技術を分かる人間でないと難しいはずです。ところが、その技術を分かる人間の手元に書類が届かない。
前回の記事で、ISMAPの議論を隣で聞いていて何も分からなかった話を書きました。構図は同じだと思います。発注側に物差しがないと、指摘すらできません。今回はもう一段ひどくて、物差しを当てる機会そのものが手元にない状態です。
ただ、これを書きながら気づいたことがあります。紙が回ってこないのなら、公開されているほうを見ればいいのです。前述の認証取得組織の検索を使えば、登録範囲も有効期限も自分で確認できます。誰かが回してくれるのを待つ必要はありませんでした。
しろ審査を受ける側の経験についても書いておきます。私はまだ、外部の第三者から自分の担当領域について聞き取りを受ける立場に立ったことがありません。近くその機会が来る見込みなので、経験したら別途書きます。この連載を「学習者の記録」と言っているのは、こういう部分が正直にあるからです。
審査で突かれやすいのは、人が代わったあと
現場の実感として一番書きたいのは、ここです。
自治体には定期的な人事異動があります。引き継ぎは引継書という形で残ります。ただ、その引継書が形式だけで終わることが少なくありません。何をやっているかは書いてあっても、なぜそうしているかが書かれていない。結果として、異動してきた人が苦労します。
ISMSの審査に照らすと、これはかなり危うい状態です。
規格は、担当者に必要な力量があることを求めています（箇条7.2）。さらに、その人が自分の役割と方針を理解していることも求めます（箇条7.3 認識）。審査で見られるのは、引継書が存在するかどうかではありません。引き継いだ人が、聞かれたときに自分の言葉で答えられるかどうかです。
まもる先ほど、認証の周期は3年だと書きました。異動の周期のほうが短い組織では、更新審査までに担当者が二度替わることもあり得ます。前任者が作った手順書の意図を、誰も説明できない。そういう状態で審査の日を迎えるわけです。
| ありがちな状態 | 審査で問われること | 関係する箇条 |
|---|---|---|
| 引継書はあるが手順の羅列で、理由が書かれていない | 担当者が判断の根拠を説明できるか | 7.2 力量／7.3 認識 |
| 台帳の様式は残っているが、更新が止まっている | 文書化した情報が最新かつ利用可能か | 7.5 文書化した情報 |
| 前任者しか経緯を知らない例外運用がある | リスク対応としてなぜその判断をしたか | 6.1.3 リスク対応 |
ここに挙げた条番号は、第2期以降の記事でそれぞれ詳しく扱います。いまの段階では、審査が「書類の有無」ではなく「人が説明できるか」を見にくる、という感覚をつかんでおけば十分です。
引継書を厚くすれば解決する、という話でもありません。厚い引継書は読まれないからです。このあたりは文書化した情報の回で、もう少し掘り下げます。
まとめ
第2回の内容を整理します。
- ISMS認証は二段構えの制度。認証機関が組織を審査し、認定機関ISMS-ACが認証機関を審査する
- ISMS-ACは2018年4月2日設立。それ以前はJIPDECが認定機関だった
- 審査員の登録はJRCAが行う。審査員補からエキスパート審査員まで4区分
- 審査は初回の二段階、年1回以上の維持審査、3年ごとの更新審査で回る
- 認証は事故ゼロの保証ではない。確認すべきは有無ではなく適用範囲
- 認証取得組織はISMS-ACのサイトで公開される。取り消されれば表示は消える
- 調達では、要件を書く側と認証書を確認する側が分かれていることがある
- 人が入れ替わる組織では、引き継いだ人が説明できるかが審査の焦点になる
制度の枠組みが見えてくると、認証という言葉の解像度が上がります。ただ、ここまでの2回で専門用語がかなり出てきました。適用宣言書、力量、認識、文書化した情報。どれも日常の日本語とは少し意味がずれています。
次回は用語集を作ります。この連載を通して参照できるハブとして置き、以降の記事の初出用語からここへリンクを張っていく予定です。
しろこの記事で参照した資料
制度の名称や日付は、記憶で書かず一次資料に当たっています。確認に使ったものを挙げておきます。
- センター概要（情報マネジメントシステム認定センター）——設立年月日、JIPDECからの独立
- 認定制度の概要（同上）——認定とは何か、認定の対象
- 基準・ガイド（同上）——認定基準と引用規格
- FAQ 認証機関認定（同上）——認証機関へのサーベイランス、一時停止・取消時の扱い
- ISMS認証取得組織検索（同上）——公開されている項目
- ISMS認証機関一覧（同上）
- ISMS審査員（日本要員認証協会）——審査員の資格区分
審査の周期については、学習教材として使っている『ISO27001:2022の規格と審査がしっかりわかる教科書』（岡田敏靖 著）と突き合わせています。指摘の区分の呼び方など、確定できなかった箇所は本文中でその旨を書きました。
連載「ISMS審査員・監査への道」
- 第1回：ISO/IEC 27001の全体像｜規格を知らないと、ベンダーとの会議で何も言えなくなる
- 第2回：ISMS認証制度と審査の仕組み（この記事）
- 第3回：ISMS用語集（準備中）
連載の記事はISO27001・ISMSカテゴリにまとめています。