ISMSとは——取得費用・期間・Pマークとの違い

「isms」で検索している人が知りたいのは、単語の定義だけではなく、自社で使える業務、避けるべきリスク、導入順序です。この記事では、ISMSとは——取得費用・期間・Pマークとの違いを切り口に、中小企業が実務で確認すべき判断材料を整理します。

011. ISMS取得は中小企業に必要か——3つの「取るべき」と2つの「取らない」

中小企業のISMS取得は、事業実体に応じて「取るべき」と「取らない」が明確に分かれます。取るべきシーンは、第一に取引先からの要求、第二にIPO準備または上場準備、第三に官公庁・大手企業への入札参加資格として明示される場合の3つです。逆に取らない判断が合理的なのは、第一に取引先要求がなく純粋な「セキュリティ強化目的」だけの場合、第二に社員数20名未満で運用コストが事業規模に見合わない場合の2つです。

取るべき1：取引先・顧客からの要求

中小企業がISMS取得を本格検討する最も多い動機は、取引先・顧客からの明示的要求です。大手企業との取引拡大、SIerからの再委託案件、金融機関や医療法人の業務委託——いずれもベンダー選定の最終段階で「ISMSをお持ちですか」と問われる場面が増えています。要求は契約書の前提条件として明文化されているケースと、口頭で言及されるだけのケースがありますが、後者でも次の更新時には正式条件化されることが多く、無視できない圧力です。

この場合の取得判断は経済合理性で計算しやすく、ISMS取得費用80〜200万円に対して、確保できる取引額が年間1,000万円以上であれば投資回収は3年以内で完了します。中小企業の経営層にとっては、稟議の通しやすいわかりやすい投資判断になります。

取るべき2：IPO・上場準備

IPO準備中または上場準備中の中小企業にとって、ISMS取得は監査法人・主幹事証券会社・東証から事実上の必須要件として扱われます。N-3期からN-2期にかけて取得するスケジュールが一般的で、内部統制報告制度（J-SOX）の情報セキュリティ統制とも紐付きます。

この場合の判断は経済合理性ではなく、上場プロセスの不可欠ステップとして扱われます。取得を後ろ倒しにすると上場スケジュール全体が遅延するため、N-3期の早い段階で着手するのが定石です。費用は200〜400万円帯を覚悟する必要があり、上場準備予算のなかに項目として組み込まれます。

取るべき3：官公庁・大手入札

官公庁案件、独立行政法人、大手企業のグループ会社案件への入札では、入札参加資格としてISMS認証が明示されることが増えています。経済産業省、各省庁、大手SIerの再委託案件など——年商10億円以下の中小企業でも入札参加するためにISMS取得を選ぶケースが現実的に存在します。

この場合の判断軸は、入札参加できる案件規模と落札確率の積です。年間落札期待値が500万円を超える領域で活動するなら、ISMS取得80〜200万円の投資は早期回収できます。

取らない1：純粋なセキュリティ強化目的

取引先要求もIPO準備もないのに「セキュリティ強化のため」だけでISMS取得を検討する場合、立ち止まる価値があります。IPAの「中小企業情報セキュリティ対策ガイドライン」第3.1版、SECURITY ACTIONの二つ星自己宣言、サイバーセキュリティ経営ガイドラインの活用で、実質的なセキュリティ強化は80〜90%実現できます。これらは無償または極めて低コストで導入でき、ISMS取得・維持の総額数百万円とは桁が違います。

ISMSは外部認証のための仕組みでもあり、認証取得・維持のための文書化・審査対応に相応の社内工数が発生します。外部からの圧力なく自社のセキュリティ運用だけを目的にするなら、上記の無償ガイドラインで足腰を固めるほうが合理的です。

取らない2：社員数20名未満で運用コストが事業規模に見合わない

社員数20名未満、年商3億円未満の中小企業では、ISMSの取得・維持コスト（取得80〜200万円、年次30〜50万円）が事業規模に見合わない局面があります。経営層・情シス担当者・各部門担当者の社内工数を金銭換算すると、見えない負担が大きくのしかかります。

この規模帯では、ISMSではなくPマーク（個人情報のみ守る）または無認証の「ISMS準拠運用」（認証は取らずに規格に沿った運用だけ実施）が選択肢になります。取引先要求が出てきた段階で取得する遅延戦略も有効です。

出典：情報マネジメントシステム認定センター（ISMS-AC）／IPA 中小企業の情報セキュリティ対策ガイドライン／SECURITY ACTION 制度。

022. 30名規模・予算80万円・8ヶ月の現実シミュレーション

従業員30名・拠点1ヶ所・予算80万円・期間8ヶ月という構成で、ISMS新規取得は現実的に成立します。内訳は認証審査機関への審査費用50〜60万円、コンサルティング軽量型40〜50万円、社内工数（担当者の通常業務の3割を6〜8ヶ月使う想定）。業界平均の200〜400万円との差は、コンサルを「アドバイス型」に絞り、文書整備の主体を社内に置くことで生まれます。

業界相場と30名モデルの差分

ISMS取得の業界相場は、コンサルティング費用150〜300万円・審査費用50〜100万円の合計200〜400万円とされます。これは多くのコンサル会社・認証機関が公表している水準ですが、内訳を分解すると30名規模では多くの作業が不要であることが見えてきます。

業界相場が高くなる要因は3つあります。第一にコンサルが文書作成を代行する作業代行型を選ぶこと、第二に複数拠点・複数業務範囲を全部認証対象に含めること、第三に取得スケジュールを6ヶ月以内に短縮しようとして人員集中投下することです。30名規模であれば、いずれも回避可能で、コンサルはアドバイス型・拠点はメインオフィス1ヶ所・期間は8ヶ月で組めば、80万円帯は実現可能です。

8ヶ月の月次マイルストーン

30名規模で8ヶ月の取得スケジュールは、次のように分解できます。

社内負荷が「高」に集中するのは3〜4ヶ月目の文書整備期間です。ここでコンサルが提供するテンプレートを最大限活用し、ゼロから書き起こさないことが80万円帯成立の鍵になります。文書代行を頼むと費用は跳ね上がりますが、テンプレートのカスタマイズなら社内で対応可能です。

専任にしないと8ヶ月では難しい現実

専任担当者を置ければ6〜8ヶ月、兼任なら10〜12ヶ月というのが業界平均です。30名規模で完全な専任を置くのは難しいため、特定の担当者（情シス兼任、または管理部門兼任）が通常業務の3〜4割をISMSプロジェクトに割く前提で組みます。経営層が「ISMS取得を半期の最優先プロジェクト」として明示し、他の業務調整を許容しないと8ヶ月達成は揺らぎます。

80万円帯で見落としやすい隠れコスト

予算80万円のなかに見えにくい項目があります。第一に社員教育コスト——eラーニング教材を購入する場合は年5〜10万円、自社作成なら担当者の工数。第二に内部監査員研修費用——外部研修1日5〜10万円が1〜2名分。第三に取得後のサーベイランス審査費用——次年度から発生するため初年度予算には入れにくいが、認証ロードマップとしては取得時に確保しておく必要があります。

出典：オプティマ・ソリューションズ「ISMS取得費用」／ISOプロ「ISMS認証費用解説」／マネーフォワード「ISMS認証費用」。

033. ISMS・Pマーク・SOC 2の三者比較——中小企業がまず選ぶ1枚

中小企業が情報セキュリティ認証を選ぶときの選択肢は実質3つです。ISMS（ISO/IEC 27001）は情報資産全般を対象とした国際規格、Pマークは個人情報のみを対象とした日本独自規格、SOC 2はAICPA基準で監査法人が発行する内部統制レポート。事業内容と取引先の地域・業界で選ぶべき認証は明確に分かれます。

三者の守備範囲と用途

ISMSは情報資産すべて——設計書、契約書、財務データ、人事データ、システム構成情報、顧客情報——を保護対象に含みます。一方Pマークは個人情報のみを対象とし、法人情報や技術情報は対象外です。SOC 2は米国公認会計士協会（AICPA）の基準に基づき、監査法人が発行する内部統制報告書で、認証マークではなくレポートという形式が特徴です。

中小企業の選び方フロー

事業内容と取引相手で選ぶべき認証を整理すると、次の流れになります。

第一に、海外顧客（特に米国）の比率が高いSaaS事業ならSOC 2を最優先に検討します。米国企業はISMSよりSOC 2を要求することが多く、ISMSを取っても海外取引で評価されないことがあります。ただし日本国内取引が中心ならSOC 2は不要で、ISMSを優先します。

第二に、BtoCで個人情報を大量に扱う事業（通販、人材、教育、医療補助）ならPマークを優先します。Pマークは個人情報保護法との整合性が国内取引で問われる場面で強く、ISMSより認知度が高い業界もあります。

第三に、BtoB IT・受託開発・SaaS国内事業・大手SI下請けならISMSを優先します。情報資産全般を守る規格として、業界標準として要求される頻度が最も高いです。

重ね取りの判断

ISMSとPマークの両方を取得する中小企業も存在しますが、取得・維持コストが約2倍になります。BtoB事業を主軸にしつつ個人情報を扱う一部事業を持つ場合、まずISMSを取得し、3年運用してから個人情報事業の拡大に応じてPマーク追加を検討する段階取得が現実的です。

ISMSとSOC 2の重ね取りは、海外SaaS事業者で頻繁に行われます。ISMSで国内・欧州取引を、SOC 2で米国取引をカバーする構図です。中小企業の海外展開ステージで初期はISMSのみ、米国顧客が増えた段階でSOC 2追加というロードマップが一般的です。

AI・SaaS委託先論点が一番効くのはISMS

ISMS・Pマーク・SOC 2の3つのうち、AI/SaaS委託先管理の論点が最も整合するのはISMSです。ISMS附属書A（Annex A）の8.21〜8.23では供給者関係（サプライヤー管理）が明確に規定されており、ChatGPT・Claude・Microsoft 365 Copilot・Salesforce などのSaaS型AIサービスを正式に委託先として位置付ける枠組みが提供されます。Pマークは個人情報の委託に限定され、SOC 2は内部統制報告書という性質上、AI委託先評価を統合する設計には向きません。

出典：個人情報保護委員会「改正個人情報保護法」／SOC報告書ラボ「ISMS・SOC2・Pマーク比較」。

044. 「ISMSのための文書」を作ると形骸化する——既存業務に紐付ける設計

ISMS取得後3年以内に形骸化を実感する中小企業は3〜4割と言われ、その最大の原因は「ISMSのためだけの文書・ルール」を作ることです。情報セキュリティ方針、運用手順書、適用宣言書——いずれも既存の業務マニュアル・規程・実務と切り離して新規作成すると、現場には「またISMS用の書類が増えた」と認識され、定着しません。形骸化を避ける設計は、既存業務に紐付ける一点に集約されます。

形骸化が起きる典型パターン

形骸化の起点は取得プロセスの早い段階に潜んでいます。第一に、ISMSのために新規作成された「情報資産管理台帳」が既存の資産台帳・固定資産台帳と連動していない場合。第二に、ISMS用の「アクセス権限管理表」が既存のActive Directory・Google Workspace・各SaaSの設定と切り離されている場合。第三に、ISMS用の「リスクアセスメント表」が事業計画・予算編成と連動していない場合。

これらは取得時には完成度高く見えますが、運用が進むにつれて実態との乖離が広がり、サーベイランス審査直前に慌てて整合させる「審査対策運用」に陥ります。審査さえ通れば良い文書になると、現場のセキュリティ意識は逆に低下するという逆効果さえ起こります。

既存業務に紐付ける具体的設計

形骸化を避けるには、ISMSの枠組みを既存業務の上に「重ね書き」する設計が必要です。具体的には次の3点を取得段階で意識します。

第一に、情報資産管理台帳は既存の資産台帳・PCインベントリ・SaaSライセンス管理と統合します。30名規模なら、kintoneやNotion・SmartHRなどの既存ツール上で資産情報を一元管理し、ISMSのために別ファイルを作らないことです。

第二に、アクセス権限管理は入退社プロセス・人事異動プロセスと連動させます。新規入社時のIT環境設定、退職時のアカウント停止、異動時の権限変更——いずれも人事・情シス・各部門の既存ワークフローに組み込み、ISMSのためだけの追加プロセスを作らないことです。

第三に、リスクアセスメントは年次の事業計画策定プロセスに組み込みます。新規事業立ち上げ時、新規SaaS導入時、新規取引先との契約締結時——いずれも情報セキュリティリスクを事業判断のプロセスに含め、別立てのリスクアセスメント会議を作らないことです。

経営層の関与なしに定着はない

ISMS定着の最大の前提は、経営層がISMS取得を「コンプライアンス担当の課題」ではなく「経営課題」として扱うことです。マネジメントレビュー（経営層によるISMS全体の見直し）は規格上の必須要件ですが、これを形式的に30分の会議で済ませる企業と、四半期の経営会議に組み込んで実質議論する企業では、3年後の定着度に大きな差が生まれます。

経営層の関与を担保する具体策は、年次のマネジメントレビューに加えて、四半期の経営会議でISMS主要KPI（インシデント件数、内部監査指摘件数、教育受講率、委託先評価実施率）を扱う設計です。ISMSが経営の議題に乗っている状態を維持できれば、現場の形骸化は防げます。

出典：Codebook「ISMS形骸化を防ぐポイント」／経済産業省「サイバーセキュリティ経営ガイドライン」。

055. 取得後3年の維持費——サーベイランスと更新審査で取得時の同額

ISMS取得後の維持費は、3年間で取得時とほぼ同額が発生します。1年目・2年目のサーベイランス（維持）審査が各30〜50万円、3年目の更新審査が60〜100万円、合計120〜200万円が認証機関への支払いだけで必要です。維持コンサルを外注する場合は加えて年30〜80万円が乗ります。30名規模で維持コンサルを内製化すれば、年30〜50万円の認証機関費用だけで運用できますが、内部監査員の知識保持・新規入社者教育などの社内工数は別途発生します。

維持費の内訳

更新審査は3年に1回実施され、規格要求事項全体に対する適合性が再確認されます。サーベイランス審査より審査範囲が広く、費用も取得時の6〜7割が目安です。事業規模拡大・組織変更・新規SaaS導入があった場合は審査負荷が増え、費用も上振れます。

維持コンサルを外注すべきケース・内製化すべきケース

維持コンサルを外注すべきケースは3つです。第一に、ISMS取得時の担当者が退職・異動した場合。第二に、規格改訂（ISO/IEC 27001:2022改訂のような大型変更）の年。第三に、事業拡大で適用範囲を拡張する場合。

内製化すべきケースは、取得時の担当者が継続して在籍し、現場のISMS理解が定着している場合です。30名規模であれば、3年目以降は内製化に切り替える企業が多く、認証機関費用だけの年30〜50万円帯に収まります。

維持コストを下げる現実的な手段

維持コストを下げる手段は限定的ですが、3つあります。第一に認証機関の見直し——3年契約満了時に他の認証機関に切り替えると、5〜20%の値引きが交渉できるケースがあります。第二に審査範囲の最適化——拠点・業務範囲を見直し、認証対象を絞ることで審査工数を減らせます。第三に内部監査の自社化——外部監査員を呼んでいた場合、社内で内部監査員を養成すれば数十万円の節約になります。

出典：ジーサーティ・ジャパン「ISMS更新・維持費用」／ISOトラスト「2025年最新 ISMS認証費用」。

066. AI・SaaS委託先評価をISMSに統合する2026年の追加論点

2026年現在、中小企業がISMSを取得・運用する際に避けて通れない追加論点が、AI・SaaS委託先評価のISMSへの統合です。ChatGPT、Claude、Microsoft 365 Copilot、Salesforce、HubSpot、freee——いずれも事業のなかで情報資産を扱うSaaS型サービスであり、ISMS附属書A（Annex A）の8.21〜8.23で求められる供給者関係（サプライヤー管理）の対象になります。既存ISMSにAI論点を後付けする方法と、これから取得する場合の組み込み方を整理します。

Annex A 8.21〜8.23と生成AIサービス

ISO/IEC 27001:2022改訂以降、Annex A 8.21〜8.23では情報セキュリティに関する供給者関係（Information security in supplier relationships）が独立した管理策として明示されています。8.21は供給者との関係における情報セキュリティ、8.22はサプライチェーンにおける情報セキュリティの管理、8.23は供給者のサービス提供の監視・レビュー・変更管理。

生成AIサービス（ChatGPT Business、Claude Team、Microsoft 365 Copilot Enterprise 等）は、契約形態としては「クラウドサービス利用契約」「業務委託契約」のいずれかに該当し、いずれもサプライヤー管理の対象です。中小企業が見落としやすいのは、社員が個人契約で使っているChatGPT Plusや無償版のClaudeを業務利用するケースで、これは「未承認の供給者」としてISMS違反になります。

ISMSへのAI論点組み込み——5つの実装ステップ

既存ISMSにAI委託先評価を組み込む実装手順は、次の5ステップです。

第一に、サプライヤーリストへの登録。利用中・利用予定の生成AIサービスを正式なサプライヤーとしてISMS管理対象に追加します。法人契約版のみ承認し、個人契約版は「業務利用禁止」を明文化します。

第二に、利用目的・入力データ範囲・学習利用可否の明文化。各AIサービスについて、何の業務に・どこまでのデータを・学習利用される設定で使うかを定義します。学習利用される場合は個人情報・機密情報の入力禁止を運用ルールに含めます。

第三に、DPA（データ処理契約書）・SCC（標準契約条項）の確認。OpenAI・Anthropic・Microsoft・Googleは各社DPAテンプレートを公開しており、改正個人情報保護法27条・28条の委託先要件との整合を確認します。

第四に、年次の委託先点検への追加。既存ISMSで実施しているサプライヤー評価のチェックリストにAI委託先項目を追加し、年1回の点検対象にします。

第五に、インシデント対応プロセスへの統合。AI委託先で情報漏洩・不正利用が発生した場合の連絡フロー・社内対応・本人通知を、既存のISMSインシデント対応プロセスに統合します。

AI Annex を別冊で整備する企業の増加

2025年後半以降、ISMSの既存文書とは別に「AI利用に関する情報セキュリティ規程」を別冊で整備する中小企業が増えています。これは、生成AIサービスの利用ルール・委託先評価・社員教育を一括で扱う実務文書で、ISMSの本体文書に直接組み込むよりも更新運用がしやすいメリットがあります。AI技術の進化が早く、ベンダー側の利用規約・DPAも年単位で変わるため、本体文書と切り離して機動的に運用する設計が現実的です。

詳細は中小企業のAIセキュリティ ー 技術より先に契約3点と委託先管理で線引き、改正個人情報保護法との整合は中小企業のAI個情法、生成AI業務利用の社内ガイドラインは中小企業のAI利用ガイドラインを参照してください。

ISMSが守れない領域も明確にする

ISMSがどれだけ整備されていても、社員が個人スマートフォンで個人契約版ChatGPTを使って業務データを入力する行為までは制御できません。MDM（モバイルデバイス管理）・DLP（データ漏洩防止）・SaaS可視化ツール（CASB）など、ISMSの規程だけでは塞げない領域があり、これらは技術的対策として別途検討します。中小企業の現実的構成では、Microsoft 365 E5またはGoogle Workspace Enterprise の管理機能で最小限の制御を行い、規程と教育で残りを埋める構成が一般的です。

出典：ISO/IEC 27001:2022 公式／個人情報保護委員会／経済産業省 AI 事業者ガイドライン。

077. 中小企業のISMS取得を成功させる7つの判断軸

本記事の論点を中小企業の経営判断として再整理すると、次の7点に集約されます。

1. 取得すべきかは取引先要求・IPO準備・官公庁入札の3シーンで判断する。純粋なセキュリティ強化目的だけならIPAガイドライン・SECURITY ACTIONで足腰を固めるほうが合理的。
2. 30名規模なら予算80万円・期間8ヶ月で取得可能。業界平均200〜400万円に釣られず、コンサル軽量型と社内文書化で半額帯を目指す。
3. Pマーク・SOC 2との使い分けは事業内容・取引地域で明確に分かれる。海外SaaSはSOC 2、BtoC個人情報はPマーク、BtoB IT・国内全般はISMS。
4. 取得後の形骸化を避けるには、ISMSのための文書を作らず既存業務に紐付ける設計が必須。マネジメントレビューを四半期経営会議に組み込む。
5. 3年で取得時とほぼ同額の維持費が発生する。サーベイランス審査×2回、更新審査×1回で120〜200万円を予算化する。
6. AI・SaaS委託先評価をAnnex A 8.21〜8.23に基づいてISMSに統合する。法人契約版のみ承認、個人契約版は業務利用禁止を明文化する。
7. ISMSが守れない領域（個人スマホ・個人アカウント）は別途技術的対策（M365 E5、CASB）で補完する。規程だけで全部を塞ごうとしない。

中小企業の経営層が問われているのは、ISMS取得そのものより、自社の事業実体と取引相手に対して取得が「経済合理性のある投資判断」になるかどうかです。形だけ取得しても3年で形骸化するなら、最初から取らないほうが合理的な場面もあります。逆に取引先要求・IPO準備があるなら、本記事の30名・80万円・8ヶ月モデルを参考に最小構成で確実に取得・運用する設計が、中小企業の経営判断として有効です。

FULLFACT の業務診断では、貴社のセキュリティ運用と取引先要件を定量的に棚卸しし、ISMS取得が事業判断として有効かどうか、有効な場合の最小構成と運用設計をご一緒に整理します。スコープと進め方は貴社のペースで——軽い課題なら数週間で論点が見え、構造的な再設計が必要なら腰を据えて伴走します。詳細はFULLFACT のお問い合わせからお気軽にご連絡ください。

08よくある質問

ISMSは中小企業も対象になるか？

事業内容によります。取引先から要求される、官公庁入札に参加する、IPOを準備する、海外顧客にセキュリティ要件を問われるという4つのうちひとつでも該当するなら取得を真剣に検討すべきです。これらに該当せず、社内のセキュリティ運用の足腰を固めたいだけなら、IPAの「中小企業情報セキュリティ対策ガイドライン」やSECURITY ACTIONの自己宣言で十分なケースが多く、ISMSを取らない判断も合理的です。

中小企業のISMS取得費用の最低ラインはいくらか？

従業員30名規模で予算80万円が現実的な最小構成です。内訳はコンサルティング軽量型40〜50万円、認証審査機関への審査費用50〜60万円、社内工数（担当者の0.3人月相当を内部換算）。業界平均は200〜400万円ですが、これはコンサル代行型と中規模以上の審査範囲を前提とした金額で、30名規模で文書テンプレートを活用すれば半額以下で成立します。

ISMSとPマークはどちらを優先すべきか？

事業内容で分かれます。BtoB IT・受託開発・SaaS・国際取引が中心ならISMSを先に、BtoC・人材紹介・通販・健康診断のように個人情報を大量に扱う事業ならPマークを先に取得します。両方必要な事業もありますが、取得・維持の負荷が約2倍になるため、まず一方を3年運用してから検討するのが現実的です。海外顧客の比率が高いSaaSではISMSに加えてSOC 2も視野に入ります。

ISMS取得後の年間維持費はいくらか？

サーベイランス（維持）審査が年30〜50万円、3年目の更新審査が60〜100万円、維持コンサルを外注する場合は年30〜80万円が業界相場です。30名規模なら維持コンサルを内製化し、サーベイランスと更新審査の認証機関費用だけに絞れば年30〜50万円程度に収まります。3年の運用期間で取得時とほぼ同額の維持費が発生する前提で予算計画を立ててください。

ChatGPTやClaudeなどAIサービスを使っている場合に追加で必要なことは？

ISMSの附属書A（Annex A）に基づく委託先管理の対象に、生成AIサービスを正式に位置付ける必要があります。具体的にはサプライヤーリストへの登録、利用目的・入力データ範囲・学習利用可否の明文化、契約書のDPA確認、年次の委託先点検への追加です。2026年改正の個人情報保護法とも整合させる必要があり、AI Annex を別冊として整備する企業が増えています。