ISMS認証を取らない選択肢｜チェックシート対応との比較

ISMS認証の記事は、たいてい「取るべき理由」から始まります。しかし実務では、取らないという判断が合理的な場合も確かにあります。

取引先から送られてくるセキュリティチェックシートに、その都度回答していく。証跡を求められたら個別に出す。この運用でも取引は成立します。問題は、それがいつまで成立するのか、そしてどこで認証を取ったほうが安くなるのかです。

本記事は、認証取得を「やるかやらないか」で判断するための材料を整理したものです。チェックシート対応の実コスト、認証運用の実コスト、逆転の分岐点、そして認証がないと通らない場面の見分け方を扱います。ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。

免責：本記事は一般的な情報提供です。費用の考え方は組織規模・適用範囲・審査機関により大きく変動します。実際の判断は個別の見積りと取引先の要求内容に基づいて行ってください。

チェックシート対応の実コストを見える化する

「認証は高い、チェックシートはタダ」という比較は、実態を捉えていません。チェックシート対応にも明確なコストがあり、しかもその多くが目に見えない形で発生します。

1件のチェックシート対応で発生する作業を分解すると、次のようになります。

問題は3点あります。

1. 回答者が固定される。 設問に答えられるのは、実装と運用を知っている人です。つまり最も動かしたくない人の時間が削られます。

2. 回答内容の一貫性が保てない。 取引先Aへの回答と取引先Bへの回答が、担当者や時期によってずれます。あとから照合されると説明が難しくなります。

3. 蓄積しない。 個別回答は資産になりません。人が辞めると、また同じ調査からやり直しになります。

逆に、チェックシート対応が軽く済む条件もあります。 取引先が1〜2社で、設問が年1回の更新のみ、扱う情報の機微性が低い場合です。この条件下で認証を取るのは過剰投資になり得ます。

チェックシートを送る側の設計思想を知ると、回答の負荷も下がります。ベンダーへのセキュリティチェックシート は発注側の視点で書いています。

認証運用の実コストと、蓄積される資産

一方、ISMS認証のコストは初年度に集中し、その後は維持費として続きます。単年度ではなく3年で見るのが正しい比較の仕方です。

ポテックの料金で言えば、新規取得支援が 120万円/年〜、2年目以降の運用支援が 80万円/年〜 です（いずれも税抜、最大50名規模・当社提供のひな形どおりの文書での実施を想定。審査機関への支払いは別）。審査費用の一般的な相場については、数名規模で60万円前後、100名規模で100万円前後という解説がありますが、これは要一次確認です。内訳の考え方は ISMS取得費用の全体像 をご覧ください。

金額だけ見ると重く見えますが、チェックシート対応と決定的に違うのは「蓄積する」点です。

• リスクアセスメント表と情報資産台帳があれば、「どの情報をどこに置いているか」の質問に即答できる
• 規程と適用宣言書があれば、「そのルールは文書化されているか」に証跡付きで答えられる
• 内部監査報告があれば、「運用されているか」の裏付けになる

つまり 認証取得の過程で作った文書が、そのままチェックシートの回答原本になります。 これが実務上いちばん大きい効果で、認証を取った企業がチェックシート対応を「以前より軽くなった」と感じる理由です。

作る文書の範囲は ISMS文書体系｜何をどこまで作るか、期間の見通しは ISMS取得にかかる期間｜6か月スケジュールの実際 を参照してください。

分岐点の考え方

「何件からISMSのほうが安いか」という問いには、一律の答えはありません。ただし自社で計算するための式は立てられます。

考え方はこうです。

チェックシート運用の年間コスト
  = 年間の回答件数 × 1件あたりの所要時間 × 関与者の時間単価
  + 追加質問対応・往復の時間
  + 回答の不一致・遅延による機会損失（数字にしにくいが実在する）

認証運用の年間コスト
  = 支援費用 + 審査費用 + 社内工数
  − チェックシート対応が軽くなる分（証跡の再利用）

ここで重要なのは、右辺の最後の項です。認証を取ってもチェックシートはなくなりません。取引先は独自の設問を送り続けます。ただし回答に要する時間が大幅に減るため、件数が多いほどこの差が効きます。

分岐の目安を、状況別に整理すると次のようになります。

中間の行がいちばん多い状況です。 ここで有効なのは「認証を取るか取らないか」の二択にしないことです。リスクアセスメントと情報資産台帳、主要な規程を先に整備しておけば、チェックシート対応は軽くなり、認証に進む判断が出たときの追加作業も減ります。文書整備は認証の前段階として単独で価値があります。

情報資産台帳の作り方は 情報資産の洗い出しと台帳の作り方、リスクアセスメントは リスクアセスメントの進め方｜評価基準の設計 で扱っています。

認証がないと通らない場面

コスト比較の前に確認すべきなのが、そもそも代替が効かない場面かどうかです。ここを見誤ると、計算そのものが無意味になります。

認証がないと通らない可能性が高い場面

• 調達仕様書・入札要件に「ISO/IEC 27001認証を有すること」と明記されている場合。これは回答内容では代替できません。加点要件なのか必須要件なのかで扱いは変わりますが、必須なら応札できません
• 医療機関が3省2ガイドラインへの対応を求めており、委託先に同等水準の証明を要求している場合。医療機関側が義務を負っているため、担当者の裁量で外せないことがあります
• 親会社・グループ会社の調達基準で、一定規模以上の委託先に認証を求めている場合

認証がなくても通ることが多い場面

• 取引先が個別のチェックシートで判断しており、認証の有無が加点にとどまる場合
• 扱う情報に個人情報・医療情報が含まれず、リスクが限定的な場合
• 既存の継続取引で、実績と運用実態が評価されている場合

判断のために最初にやるべきことは、取引先に「認証は必須要件か、加点要件か」を直接確認することです。 調達仕様書の書かれ方には差があり、読み方を誤ると過剰投資にも機会損失にもなります。この論点は ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達 で詳しく扱っています。

医療機関側がなぜそう求めるのかという背景は、3省2ガイドラインとは｜医療情報システムの安全管理 をご覧ください。

まとめ

1. チェックシート対応は無料ではない。最も動かしたくない人の時間を継続的に消費し、蓄積しない
2. 認証のコストは初年度に集中する。3年の総額で比較する
3. 認証を取ってもチェックシートはなくならない。効くのは回答に要する時間が減ること
4. 分岐点は件数だけでは決まらない。回答者の時間単価と往復の回数を含めて自社で試算する
5. 二択にしない。文書整備を先に進めると、どちらに転んでも無駄にならない
6. コスト計算の前に、必須要件か加点要件かを取引先に確認する。必須なら計算の余地はない

ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。「まず文書を整えたい」「取引先の要求が出てから取得に進みたい」といった段階的な進め方のご相談も承ります。規程・台帳・教材のひな形を提供し、進行管理と審査機関とのやり取りを主導します。

支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。

参考・出典

• 情報マネジメントシステム認定センター（ISMS-AC）
• ISO/IEC 27001 Information security management systems｜ISO
• 医療情報システムの安全管理に関するガイドライン｜厚生労働省
• 中小企業の情報セキュリティ対策ガイドライン｜IPA

※費用は組織規模・適用範囲・審査機関により大きく変動します。ポテックの料金は ISMS認証取得支援サービス の記載をご確認ください。審査費用の相場に関する記述は一般的な解説によるもので、実額は必ず相見積でご確認ください。