医療機関・製薬企業・自治体との取引で、「ISMS認証を持っていますか」と聞かれる場面が増えています。PHR、SaMD、治験システム、病院向けSaaS——扱う情報の機微性が高いヘルスケア領域では、情報セキュリティ体制を第三者に証明できることが取引の前提条件になりつつあります。
一方で、はじめて取得を検討する側から見ると、規格の要求は抽象的です。何をどこまで作ればよいのか、いくらかかるのか、どのくらいの期間が必要なのか。判断に必要な材料がまとまっていないまま、見積りだけが手元にあるという状態になりがちです。
本記事は、ヘルスケア企業がISMS取得を判断するために必要な情報を1本に整理したものです。個別の論点は各記事に分けていますので、必要な箇所から深掘りしてください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の取得判断はそれらに基づいて行ってください。
ISMS（ISO/IEC 27001）とは
ISMS（Information Security Management System／情報セキュリティマネジメントシステム） は、組織が情報資産を適切に管理し、機密性・完全性・可用性を継続的に維持するための仕組みです。その国際規格が ISO/IEC 27001。日本語版は JIS Q 27001 として発行されています。
押さえるべきなのは、ISMSが「技術的なセキュリティ製品を導入すること」ではないという点です。規格が求めるのはマネジメントシステム、つまり次のサイクルを組織として回し続ける仕組みです。
- 自組織にとっての情報セキュリティリスクを洗い出す
- どのリスクにどう対応するかを決める
- 決めたことを実行する
- 実行できているかを点検する
- 点検結果をもとに改善する
ファイアウォールを入れたかどうかではなく、「自社にとって何がリスクで、それにどう対応すると決めたのか、決めたとおりに運用できているか」を説明できる状態をつくることが目的です。認証は、この仕組みが確立されていることを第三者の審査機関が確認したという証明になります。
なぜヘルスケア企業に求められるのか
ヘルスケア領域でISMSが求められる理由は、大きく4つあります。
1. 取引条件としての要請
医療機関・製薬企業・自治体の調達では、情報セキュリティ体制の証明を求める例が増えています。とくに医療機関側は3省2ガイドラインへの対応義務を負っているため、委託先にも同等の管理水準を求めざるを得ない構造があります。認証がないという理由で候補から外れるケースは実際に起きます。
2. 扱う情報の機微性
患者データ、臨床情報、PHR、治験データ。いずれも漏えい時の影響が大きく、当事者に回復不能な不利益をもたらし得る情報です。体制の証明が、そのまま信頼の前提になります。
3. 属人的な運用からの脱却
スタートアップの初期は、セキュリティが特定の人の判断で回っていることが少なくありません。その人が抜けた瞬間に運用が止まる構造は、事業のスケールとともにリスクになります。ISMSはこれを**ルールに基づく継続的改善（PDCA）**に移行させる枠組みです。
4. 業界ガイドラインとの接続
3省2ガイドラインが求める内容の多くは、ISMSで整備する文書と重なります。リスクアセスメント、責任分界、委託先管理、インシデント対応——ISMS文書を起点にすれば、業界固有の要請にも効率よく対応できます。詳しくは ISMS文書と3省2ガイドライン対応文書の統合 をご覧ください。
規格の構造を理解する
ISO/IEC 27001 は大きく2つの部分に分かれます。ここを最初に理解しておくと、以降の作業の見通しが立ちます。
本文（箇条4〜10）— マネジメントシステムの要求事項
「認証を取るために必ず満たさなければならない」要求です。箇条1〜3は適用範囲・引用規格・用語の定義なので、実務で作り込むのは箇条4から10になります。
| 箇条 | 内容 | 実務で作るもの |
|---|---|---|
| 4 組織の状況 | 内外の課題、利害関係者、ISMSの適用範囲 | 適用範囲の定義 |
| 5 リーダーシップ | 経営層のコミットメント、方針、役割と責任 | 情報セキュリティ方針、体制図 |
| 6 計画 | リスクアセスメント、リスク対応、目的 | リスクアセスメント表、適用宣言書、目的管理表 |
| 7 支援 | 資源、力量、認識、コミュニケーション、文書管理 | 教育計画・記録、文書管理規程 |
| 8 運用 | 計画したことの実行 | 各種運用ルールと記録 |
| 9 パフォーマンス評価 | 監視・測定、内部監査、マネジメントレビュー | 内部監査報告、レビュー議事録 |
| 10 改善 | 不適合と是正処置、継続的改善 | 是正処置報告書 |
各箇条の詳細は ISO/IEC 27001 箇条4｜組織の状況 から順に解説しています。
附属書A — 93の管理策
本文の箇条6でリスク対応を決める際に参照する「管理策のカタログ」です。2022年版では 93の管理策が4つのテーマに整理されました。
| テーマ | 管理策数 | 例 |
|---|---|---|
| 組織的管理策（A.5） | 37 | 方針、役割と責任、委託先管理、インシデント管理 |
| 人的管理策（A.6） | 8 | 雇用前の確認、教育、懲戒、雇用終了後の責任 |
| 物理的管理策（A.7） | 14 | 物理的入退管理、装置の保護、クリアデスク |
| 技術的管理策（A.8） | 34 | アクセス制御、暗号、ログ、脆弱性管理、セキュアな開発 |
ここで重要なのは、93すべてを実施する義務はないという点です。自社のリスクアセスメントの結果に基づき、採用する管理策と採用しない管理策を決め、その理由を 適用宣言書（SoA） に記載します。「うちには該当しない」ことを説明できれば、それでよいのです。
管理策の読み方は 附属書A 2022年版｜93管理策と4テーマの全体像 にまとめています。
なお、旧版（2013年版）は14分類114管理策でした。移行期限は2025年10月31日で既に経過しているため、これから新規取得する場合は2022年版が対象になります。
取得までの流れと期間
標準的には着手から6か月程度で新規認証取得を目指します（組織規模や現状の整備状況により前後します）。
| 段階 | 期間の目安 | 主な作業 |
|---|---|---|
| ① 目的の整理・計画 | 約2週間 | 適用範囲・体制・年間計画の決定、審査機関の選定着手 |
| ② リスク分析 | 約1か月 | 情報資産の洗い出し、リスクアセスメント、対応方針の決定 |
| ③ ルール整備 | 約4か月 | 方針・目標、各種規程、適用宣言書、インシデント報告フロー |
| ④ 対策実施・社員教育 | ③と並行 | 技術的・運用的対策の実施、教材配信と受講 |
| ⑤ 内部監査・是正 | 約2週間 | 内部監査、不適合の是正、マネジメントレビュー |
| ⑥ 審査（1次・2次） | 約1か月 | 1次審査（1〜2日）→ 2次審査（2〜3日）→ 認証取得 |
見落とされやすいのが⑤です。 認証を受けるには、内部監査とマネジメントレビューを実際に1周実施した記録が必要になります。文書だけ揃えて審査に臨むことはできません。ここを逆算していないと、審査日程が後ろにずれます。
各段階の詳細は ISMS取得にかかる期間｜6か月スケジュールの実際 をご覧ください。
費用の構造
ISMS取得の費用は、性質の異なる3つで構成されます。見積りを比較するときは、どれが含まれているかを必ず確認してください。
| 費目 | 内容 | 相場の考え方 |
|---|---|---|
| 審査費用 | 審査機関へ支払う。1次・2次審査の人日で決まる | 組織の人数と適用範囲の広さに比例。数名規模で60万円前後、100名規模で100万円前後という解説がある（要一次確認） |
| コンサル費用 | 文書整備・進行管理・教育・内部監査の支援 | 支援範囲によって大きく変動。「文書ひな形のみ」と「内部監査まで代行」では別物 |
| 社内工数 | 担当者の稼働 | 最も見落とされやすい。専任者を置けない組織では、ここが取得可否を分ける |
さらに、認証は取って終わりではありません。毎年のサーベイランス審査（維持審査）と3年ごとの更新審査が続きます。初年度だけでなく3年間の総額で見るのが正しい比較の仕方です。
内訳の詳細は ISMS取得費用の全体像、維持のコストは サーベイランス審査の準備 をご覧ください。
他の認証との使い分け
「ISMSを取るべきか、それとも別の認証か」は最初に整理すべき論点です。
| 認証 | 守る対象 | 向くケース |
|---|---|---|
| ISMS（ISO/IEC 27001） | 情報資産全般 | 取引先から情報セキュリティ体制の証明を求められる。BtoBのヘルスケア事業者の標準解 |
| Pマーク | 個人情報 | BtoCで個人情報の取扱いが中心。国内向けの認知度が高い |
| SOC 2 | サービス提供組織の内部統制 | 米国企業との取引、海外SaaS展開 |
| ISO 27017 / 27018 | クラウドサービス固有の論点 | ISMSに追加する形で取得。クラウド事業者としての証明 |
| ISO 27701 | プライバシー情報 | ISMSの拡張。GDPR等への対応を示したい場合 |
ヘルスケアのBtoB事業者であれば、まずISMSが基本線になります。取引条件として指定されるのが最も多く、他の認証はISMSを土台に積み上げる構造になっているためです。
判断の詳細は ISMSとPマークの違い、ISMSとSOC 2の違い をご覧ください。取らない選択肢も含めた検討は ISMS認証を取らない選択肢 で扱っています。
「専任者が置けない」をどう乗り越えるか
スタートアップ・中小規模のヘルスケア企業でISMS取得が止まる最大の理由は、規格の難しさではありません。通常業務と並行して進める人がいないことです。
規格が社内で選任を求める役割と、外部が代替できる範囲を整理すると次のようになります。
| 役割 | 主な責任 | 外部委託の可否 |
|---|---|---|
| トップマネジメント | ISMSの組織への統合、リソース確保、リスク所有 | 不可（経営層が担う） |
| ISMS責任者 | 構築・運用全般の統括 | 不可（社内で選任） |
| ISMS担当者 | 各部門での運用支援 | 不可（社内で選任） |
| 内部監査責任者 | 内部監査の計画・改善、結果の文書化 | 可 |
| 内部監査員 | 内部監査の実施 | 可 |
内部監査は「自らの業務を自分で監査しない」ことが求められるため、小規模組織ほど社内だけで成立させにくい領域です。ここを外部に出せると、社内に必要な体制はぐっと軽くなります。
ヘルスケア固有の論点
一般的なIT企業のISMSと違い、ヘルスケア企業には固有の検討事項があります。
- 適用範囲に医療情報の取扱いをどう含めるか（ヘルスケア企業のISMS適用範囲設計）
- PHR事業者は個人情報保護法との関係整理が先に必要（PHR事業者のISMS）
- SaMDはQMS（ISO 13485）との二重運用になる（SaMDとISMS・QMSの関係）
- 治験システムはER/ES指針との整合が問われる（治験・臨床研究システムのISMS）
- 医療SaaSはマルチテナントのリスク評価が論点になる（医療SaaSのISMS）
医療機関側がどういう目線で委託先を見ているかを知っておくことも有効です。責任分界点の決め方 と ベンダーへのセキュリティチェックシート は、発注側の視点で書いています。
まとめ
ISMS取得を判断するうえで押さえるべき点は次のとおりです。
- ISMSは製品導入ではなく、リスクを決めて運用し点検する仕組みをつくること
- 規格は**本文（箇条4〜10）と附属書A（93管理策）**の二層構造。93すべての実施義務はなく、採否を適用宣言書で説明する
- 標準的な期間は約6か月。内部監査とマネジメントレビューを1周実施した記録が必要
- 費用は審査費用・コンサル費用・社内工数の3つ。3年間の総額で比較する
- ヘルスケアのBtoB事業者なら、まずISMSが基本線。Pマーク・SOC 2・27017は用途が違う
- 取得が止まる最大の理由は専任者不足。内部監査は外部に出せる
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。規程・台帳・教材のひな形を提供し、進行管理と審査機関とのやり取りを主導するため、御社には「決めること」に集中していただけます。内部監査責任者・内部監査員も当社が担えます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISMS適合性評価制度 ISO/IEC 27001:2022への対応について｜ISMS-AC
- ISO/IEC 27001 Information security management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。費用の相場は組織規模・適用範囲・審査機関により大きく変動します。