ISMS認証の取得を社内で提案するとき、メリットだけを並べた資料は通りません。経営層が知りたいのは「何がどれだけ良くなるのか」と同じくらい、**「取ったあと、うちは毎年何を負担し続けることになるのか」**だからです。
ISMS（ISO/IEC 27001）は、取得した瞬間に完了する種類の取り組みではありません。毎年のサーベイランス審査があり、3年ごとに更新審査があり、その間ずっと内部監査とマネジメントレビューを回し続ける必要があります。この構造を理解せずに「取引先に言われたから」と着手すると、2年目以降に運用が止まり、認証だけが残るという状態になりがちです。
本記事では、ISMS認証のメリットとデメリットを、実際に社内稟議で問われる粒度で整理します。あわせて、取らないほうがよい場合・後回しにしてよい場合にも踏み込みます。ISMSそのものの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の取得判断はそれらに基づいて行ってください。
取得して得られるもの
ISMS認証の効果は、大きく3つに分けて考えると議論しやすくなります。「対外的な効果」「社内に対する効果」「事故が起きたときの効果」です。
1. 取引機会 ― 候補に残るための条件
最も分かりやすい効果です。医療機関・製薬企業・自治体の調達では、情報セキュリティ体制の第三者証明を求める例が増えています。医療機関側は3省2ガイドラインへの対応を求められる立場にあるため、委託先にも同等の管理水準を求める構造が働きます。
ここで注意したいのは、認証が「受注を増やす」というより 「候補から落ちないための条件」 として機能する点です。認証があるから選ばれるのではなく、ないと検討テーブルに載らない。RFPの必須要件欄に書かれてしまえば、そこで終わりです。効果を金額で測るなら、「認証がないことで失注した案件・そもそも声がかからなかった案件」を数えるほうが実態に近くなります。
調達要件としてのISMSの扱われ方は ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達 で詳しく扱っています。
2. 社内の統制 ― 属人性からルールへ
見落とされやすいのがこちらです。ISMSの構築過程では、次のような「今まで誰も決めていなかったこと」を決めることになります。
- 誰がどの情報にアクセスできるのか（そして退職時に誰が止めるのか）
- どのデータを社外に持ち出してよいのか
- 委託先を選ぶとき、何を確認したうえで契約するのか
- インシデントが起きたとき、誰に何分以内に報告するのか
- 各種ログをどれだけの期間、何のために保持するのか
これらは、認証の有無にかかわらず組織が成長すれば必ず必要になるものです。ISMSはそれを決める期限と型を外部から与えてくれる仕組みとして働きます。「セキュリティ規程を作らなければ」と3年言い続けている組織が、審査日程が決まった途端に3か月で作り切る、というのはよくある光景です。
3. インシデント時の説明力
情報セキュリティ事故は、対策の有無にかかわらず起こり得ます。事故が起きたあとに問われるのは「なぜ防げなかったのか」だけではなく、**「防ぐための体制は事前に用意されていたのか」**です。
取引先・監督官庁・報道に対して、リスクアセスメントの記録、方針、教育の受講記録、インシデント対応手順、そして直近の内部監査報告を提示できるかどうかで、事故後の交渉の立ち位置は大きく変わります。契約解除に至るか、再発防止策の合意で継続できるか。ISMSはこの説明責任のための証跡を平時から積み上げる仕組みでもあります。
| 効果の種類 | 誰に対して効くか | 効果が見える時期 |
|---|---|---|
| 取引機会 | 顧客・見込み客の調達部門 | 取得直後から（RFP対応時） |
| 社内の統制 | 自社の従業員・経営層 | 構築期間中から |
| インシデント時の説明力 | 取引先・監督官庁・利用者 | 事故が起きたとき（＝普段は見えない） |
3つ目の効果は、平時にはまったく可視化されません。稟議で「効果が測れない」と言われやすいのはこのためですが、測れないことと価値がないことは別です。
正直に見込むべき負担
次に、デメリット側を具体的に見ます。ここを曖昧にしたまま着手すると、2年目に破綻します。
初年度の社内工数
コンサルティングを使っても、社内の作業はゼロにはなりません。少なくとも次は自社でしか行えません。
- 適用範囲の決定（どの事業・どの拠点・どの情報を対象にするか）
- 情報資産の洗い出し（どこに何のデータがあるかを知っているのは自社だけ）
- リスク評価における「受容するかどうか」の意思決定
- 全従業員の教育受講
- 経営層によるマネジメントレビュー
体感として重いのは、情報資産の棚卸しと、各部門への確認作業です。部門横断の調整が発生するため、担当者に権限がないと止まります。 取得が遅れる組織の多くは、規格が難しいのではなく、社内の確認が返ってこないことで遅れます。
毎年続く費用と審査
認証は取得して終わりではありません。費用の発生は3年サイクルで続きます。
| 年次 | 発生する審査 | 主な社内作業 |
|---|---|---|
| 1年目 | 1次審査（文書審査）＋2次審査（実地審査） | 構築一式、内部監査、マネジメントレビュー |
| 2年目 | サーベイランス審査（維持審査） | リスクアセスメント更新、内部監査、レビュー |
| 3年目 | サーベイランス審査（維持審査） | 同上 |
| 4年目 | 更新審査（再認証） | 同上＋適用範囲・方針の見直し |
内部監査とマネジメントレビューは毎年必要です。 初年度に外部の支援を受けて回した組織が、2年目に自力で回そうとして形が崩れる、というのは典型的なつまずき方です。3年間の総額と、毎年誰が回すのかをセットで見積もる必要があります。費用の内訳は ISMS取得費用の全体像｜コンサル費・審査費・社内工数、維持審査の実際は サーベイランス審査（維持審査）の準備 をご覧ください。
意思決定のスピードが落ちる面
これは負担として正面から認めておくべき点です。ISMSを運用すると、次のような場面で「手続き」が挟まります。
- 新しいSaaSを導入するとき、委託先評価が必要になる
- 新規事業でデータの扱いが変わるとき、リスクアセスメントの更新が必要になる
- 権限を一時的に広げるとき、記録が必要になる
スピードを重視する組織にとっては摩擦です。ただし、その摩擦の大半は「後から誰も説明できない状態」を防ぐための対価でもあります。運用設計の段階で、承認フローを軽くする・例外手続きを定義しておく、といった工夫で摩擦は下げられます。ルールを厳しく作りすぎて守れなくなるほうが、はるかに危険です。
最大のリスクは「形骸化」
ISMSの本当のデメリットは、費用でも工数でもなく、認証はあるが実態が伴わない状態に陥ることです。この状態は、認証がない状態より悪くなり得ます。取引先に対して「体制がある」と表明しながら、実際には運用されていないことになるからです。
形骸化は、だいたい次の兆候から始まります。
| 兆候 | 何が起きているか |
|---|---|
| 審査の1か月前だけ記録をまとめて作る | 日常の運用と文書が切り離されている |
| リスクアセスメント表が初年度から更新されていない | 事業が変わってもリスク認識が更新されていない |
| 内部監査の指摘が毎年ゼロ件 | 監査が「問題なし」を確認する儀式になっている |
| 教育が動画視聴の受講記録だけ | 理解ではなく受講率だけを管理している |
| 規程に書いてあるルールを現場が知らない | 実態に合わない規程を作った結果、誰も参照していない |
形骸化を避ける考え方はシンプルで、規程を実態に合わせて書くことに尽きます。理想的な運用を書いて守れないより、現在できていることを正確に書き、リスクアセスメントで「ここは受容する」と明示するほうが、審査でも実務でも筋が通ります。規程のカスタマイズについては 規程のひな形を自社化するコツ、内部監査を機能させる方法は 内部監査の進め方｜計画・チェックリスト・報告 にまとめています。
取るべきでない場合・後回しにしてよい場合
「ISMSは取ったほうがよい」は、どの組織にも当てはまる結論ではありません。次に該当する場合は、少なくともいま着手する必要はない可能性が高いと考えられます。
1. 取引先から求められておらず、今後12か月の商談にも要件がない
ISMSの効果の中心は取引条件としての機能です。要求されていない段階で先回りして取得しても、費用と工数が先行します。まずは自社のセキュリティ実態を整えることを優先し、要求が見えた時点で着手するほうが合理的な場合があります。この判断の詳細は ISMS認証を取らない選択肢｜チェックシート対応との比較 を参照してください。
2. 求められているのが「個人情報の取扱い」の証明である
BtoCで個人情報の取扱いが中心であり、取引先や利用者が求めているのが個人情報保護の体制である場合、Pマークのほうが目的に合うことがあります。判断軸は ISMSとPマークの違い｜どちらを取るべきか で整理しています。
3. 米国企業との取引で求められているのがSOC 2である
海外SaaS事業者との取引では、ISMSではなくSOC 2レポートを求められる場合があります。両者は性質が異なる制度です。ISMSとSOC 2の違い｜海外取引・SaaS事業者の選択 をご覧ください。
4. プロダクトの方向性が半年以内に大きく変わる可能性がある
適用範囲とリスクアセスメントは事業の形に紐づきます。ピボットが見込まれる時期に範囲を固めると、取得直後に作り直しになります。ただし、方針・教育・アクセス管理といった土台の整備は事業が変わっても無駄になりません。 認証を急がず、後から範囲を載せられる形で準備を進めるのが現実的です。
5. 経営層が関与できない
規格はトップマネジメントの関与を明確に求めます。方針の承認、資源の提供、マネジメントレビューは委任できません。経営層が「担当者に任せた」以上の関与をできない状況では、構築は進んでも形骸化します。この場合は、着手のタイミングを経営層の関与が確保できる時期に合わせるほうが結果的に早く終わります。
逆に、次のいずれかに当てはまるなら、取得を前向きに検討する妥当性が高いと言えます。
- 医療機関・製薬企業・自治体との取引が事業の中核にある、または今後そうなる
- 従業員が増え、セキュリティの判断が特定の人に集中している
- 委託先・再委託先が増え、管理の実態を説明できなくなりつつある
- 資金調達やM&Aのデューデリジェンスで体制を問われる見込みがある
メリットとデメリットの対照
ここまでを1枚にまとめます。
| 観点 | メリット | デメリット・留意点 |
|---|---|---|
| 営業・調達 | 調達要件を満たし、候補に残れる | 取得しても受注が自動的に増えるわけではない |
| 社内統制 | 権限・委託・持ち出しのルールが明文化される | 手続きが増え、意思決定に摩擦が生じる |
| 人と組織 | 属人性が下がり、引き継ぎが可能になる | 運用の担い手が必要。不在だと2年目に崩れる |
| 事故対応 | 説明責任を果たす証跡が平時から揃う | 平時には効果が可視化されず、稟議で説明しにくい |
| 費用 | 初年度に集中するが、以降は逓減する傾向 | 審査費用・維持費用は毎年発生し続ける |
| 業界対応 | 3省2ガイドライン対応の土台として流用できる | ISMSだけでは業界要請を満たしきれない場合がある |
最後の行は、ヘルスケア事業者にとって重要な補足です。ISMSは汎用の枠組みであり、医療情報固有の要請をすべてカバーするわけではありません。両者の文書を統合して管理する考え方は ISMS文書と3省2ガイドライン対応文書の統合 に、医療機関側が求められている内容そのものは 3省2ガイドラインとは｜医療情報システムの安全管理 にまとめています。
まとめ
- ISMSの効果は 取引機会・社内の統制・事故時の説明力 の3つ。取引機会は「選ばれる条件」ではなく「落ちない条件」として働く
- 負担は初年度の工数だけでなく、毎年のサーベイランス審査と内部監査・マネジメントレビューとして続く。3年総額と運用の担い手をセットで見積もる
- 最大のリスクは費用ではなく形骸化。認証があるのに実態が伴わない状態は、認証がない状態より悪くなり得る
- 形骸化を避ける最善策は、理想を書かず実態に合わせて規程を書き、受容するリスクは明示すること
- 取引先の要求がない・Pマークやその他制度が目的に合う・事業の形が固まっていない・経営層が関与できない場合は、着手を遅らせる判断が合理的
- 判断は「取るか取らないか」の二択ではない。要求が来る前に土台を整え、要求が見えたら範囲を載せるという進め方が現実的
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。取得すべきかどうかの判断段階からご相談いただけますし、規程・台帳・教材のひな形と進行管理をお任せいただくことで、社内に専任者がいない状態からでも進められます。内部監査責任者・内部監査員も当社が担えます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。取得の要否も含めたご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 情報セキュリティ対策｜独立行政法人情報処理推進機構（IPA）
※規格の要求事項の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。審査の頻度・費用・運用負荷は、組織規模・適用範囲・審査機関により変動します。制度や解釈は改定により変わり得ます。