ISMSの解説は、多くが数百人規模の組織を前提に書かれています。部門があり、情報システム部があり、監査室がある——そういう組織像です。
しかしヘルスケアのスタートアップや中小規模の事業者では、全社で20名、エンジニアが8名、バックオフィスが2名といった構成が普通です。この規模で規格の要求を読むと、「職務を分離せよ」「監査の独立性を確保せよ」といった記述が、そもそも物理的に成立しないように見えます。
結論から言えば、少人数組織でもISMSは取れます。規格は組織規模を問わないからです。ただし、大組織と同じやり方をなぞると詰まります。本記事では、少人数であることの有利・不利を切り分け、兼務をどう説明するか、どの役割を外部に出せるかを整理します。ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。兼務体制の妥当性は最終的に審査機関の判断によります。
少人数であることの有利
まず、規模が小さいことは不利ばかりではありません。大組織が最も苦労する部分が、そもそも存在しないという利点があります。
1. 適用範囲が自然に狭い
拠点が1つ、事業が1つであれば、適用範囲の線引きで議論になりません。大組織では「どの部門を含めるか」「海外拠点をどうするか」で数か月を要することがあります。適用範囲の設計は ISMS適用範囲の決め方 を参照してください。
2. 情報資産の把握が現実的
数百人規模では、誰がどのSaaSを使っているかを網羅するだけで大仕事です。20名なら、全員に聞いて回れます。台帳の作り方は 情報資産の洗い出しと台帳の作り方 で扱っています。
3. 合意形成が速い
経営層との距離が近く、方針や目的の決定が1回のミーティングで終わります。大組織では稟議と部門調整だけで数週間かかる決定が、その場で決まります。
4. 例外運用が少ない
長年の慣行として残っている例外的な運用が少なく、ルールを新しく定義しやすい状態にあります。
この4点により、実作業量は組織規模におおむね比例します。 審査費用も人日で決まるため、少人数であれば審査そのものは短くなります。費用の構造は ISMS取得費用の全体像 をご覧ください。
少人数であることの不利 — 2つの壁
一方で、少人数特有の壁が2つあります。ここが取得可否を実質的に決めます。
| 壁 | 何が問題か | 大組織との違い |
|---|---|---|
| 職務分離が作れない | 申請する人と承認する人、開発する人と本番に反映する人が同一になる | 大組織では部門が分かれているため自然に分離される |
| 内部監査の独立性が確保できない | 自らの業務を自分で監査することになり、監査として成立しない | 大組織では監査室や他部門の要員を充てられる |
1つ目の職務分離は、たとえば次のような場面で現れます。
- 本番環境へのデプロイを、コードを書いた本人が実行している
- アカウント発行の申請と承認を、同じ管理者が行っている
- バックアップの取得と、その正常性確認を同じ人がしている
規格が求めているのは「人数を増やすこと」ではなく、単独の人物が不正または誤りを起こしたときに検知できない状態を放置しないことです。したがって、代替となる補完的な措置を設計し、説明できればよいことになります。
2つ目の内部監査の独立性は、より厳密です。自分が構築し運用している仕組みを、自分で監査して「問題なし」と報告しても、監査の意味をなしません。ここは少人数組織で最も詰まりやすい箇所です。内部監査の進め方は 内部監査の進め方｜計画・チェックリスト・報告 で扱っています。
兼務をどう文書で説明するか
審査で問われるのは「兼務しているか」ではなく、**「兼務によって生じるリスクをどう認識し、どう補っているか」**です。ここを文書で説明できれば、兼務そのものは否定されません。
説明の骨格は次の3点です。
- 誰がどの役割を兼ねているかを明示する（体制図・職務分掌表）
- その兼務によって生じる具体的なリスクを特定する（リスクアセスメントに記載）
- 補完する措置を定め、記録を残す（規程と運用記録）
補完的な措置の例を挙げます。
| 分離できない場面 | 補完的な措置の例 |
|---|---|
| 開発者が本番デプロイも行う | プルリクエストの他者レビューを必須化、デプロイログの自動記録、月次で経営層または第三者がログを点検 |
| 管理者がアカウント発行の申請と承認を兼ねる | 発行・削除の全件を台帳に記録し、四半期ごとに棚卸しして別の者が突合 |
| バックアップ取得と確認が同一人物 | リストア試験を定期実施し、結果を経営層に報告。実施日と結果を記録 |
| 情報セキュリティ責任者が実務も担う | マネジメントレビューで経営層が独立して有効性を評価し、議事録に残す |
共通しているのは「記録を残し、別の目で見る機会を作る」という構造です。 リアルタイムに分離できなくても、事後に点検する仕組みがあれば、単独での不正・誤りが放置される状態は避けられます。
そして記録が残っていないと、この説明は成立しません。「実際にはレビューしています」では審査で通りません。運用の記録が証跡になります。リスクアセスメントへの記載方法は リスクアセスメントの進め方｜評価基準の設計 と リスク対応計画とリスク受容の判断 を、規程への落とし込みは 規程のひな形を自社化するコツ をご覧ください。
技術面でどう補うかは、医療システムのセキュリティ・バイ・デザイン も参考になります。
外部に出せる役割、出せない役割
少人数組織が現実的に取得するための鍵は、社内に必須で残る役割を正しく見極めることです。
| 役割 | 主な責任 | 外部委託 |
|---|---|---|
| トップマネジメント | ISMSの組織への統合、リソース確保、リスク所有、マネジメントレビュー | 不可（経営層が担う） |
| ISMS責任者 | 構築・運用全般の統括 | 不可（社内で選任） |
| ISMS担当者 | 各部門・領域での運用支援 | 不可（社内で選任） |
| 内部監査責任者 | 内部監査の計画・改善、結果の文書化 | 可 |
| 内部監査員 | 内部監査の実施 | 可 |
内部監査を外部に出せることが、少人数組織にとって決定的です。 前述した「独立性の壁」がここで解消されるためです。社内に残るのは、経営層と、ISMS責任者・担当者の選任だけになります。
もう1つの現実的な調整が適用範囲の絞り込みです。全社・全サービスを対象にせず、取引先が求める範囲に限定すれば、資産も文書も少なくなります。ただし、認証書に記載される適用範囲は取引先が読むため、要求をカバーしているかの確認が前提です。この論点は ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達 で詳しく扱っています。
なお、そもそも取得するかどうかを先に検討したい場合は、ISMS認証を取らない選択肢｜チェックシート対応との比較 をご覧ください。少人数組織では、文書整備だけ先行させる進め方が合理的な場合もあります。
まとめ
- 規格は組織規模を問わない。少人数でも取得できるが、大組織と同じやり方はなぞらない
- 有利なのは適用範囲の狭さ・資産把握の現実性・合意の速さ・例外の少なさ。作業量は規模に比例する
- 不利は2つ。職務分離が作れないことと内部監査の独立性が確保できないこと
- 兼務は否定されない。問われるのは兼務によるリスクの認識と、補完する措置と、その記録
- 補完措置の型は「記録を残し、別の目で見る機会を作る」。事後の点検で代替する
- 内部監査は外部に出せる。社内に必須で残るのは経営層・ISMS責任者・ISMS担当者のみ
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。新規取得支援は最大50名規模・当社提供のひな形どおりの文書での実施を想定しており、まさに本記事の対象となる規模の組織を前提に設計しています。内部監査責任者・内部監査員も当社が担えるため、社内に必要な体制は経営層とISMS責任者・担当者の選任に絞れます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- 中小企業の情報セキュリティ対策ガイドライン｜IPA
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。兼務体制の妥当性は個別の審査における判断によります。