小規模企業にISO 27001は必要ですか？

ISO 27001は、世界で最も広く認知されているセキュリティ認証であり、小規模企業もしばしばその取得を求められます。大企業の調達フォームでその提出が求められたり、入札で必須とされたり、コンサルタントから推奨されたりします。「本当に必要なのか」という問いへの率直な答えは、「誰が求めているかによる。そして、全か無かではない」です。

取得する価値がある場合

• 顧客や入札が要求している。 大企業や公共部門の購入者がISO 27001認証を明示的に求めている場合、認証書があれば取引ごとのアンケート回答を省けますし、決定的な要因になることもあります。
• 海外で販売している。 米国外では、ISO 27001がサプライヤーのセキュリティにおける共通の通貨となっています。
• 単発のプロジェクトではなく、継続的な取り組みを望んでいる。 マネジメントシステム（リスクアセスメント、目標、内部監査、マネジメントレビュー）は、どの単一の監査よりも長く続く習慣を築きます。

他を優先すべき場合

• 米国の顧客がSOC 2を求めている。 その場合はSOC 2報告書が成果物になります。どのフレームワークから始めるかを参照してください。
• まだ誰も求めていない。 CIS ControlsのImplementation Group 1や政府のベースライン制度などの強固な技術的ベースラインは、認証を義務付けられていないマネジメントシステムよりも、時間あたりのセキュリティ効果が高くなります。
• まだ製品化前である。 すべてのフレームワークが求める共通の基盤（資産台帳、パッチ適用、MFA、バックアップ、インシデント対応）を構築し、事業上必要になった時点で認証を取得してください。

規模に見合った運用を保つ

ISO 27001は大企業のような膨大な文書を必要としません。従業員10名の企業でも、次の内容で認証を取得できます。

• 厳密なスコープ（製品と、それを開発・運用する人々）
• 実態を記述した簡潔なポリシー
• 数十件程度の、担当者を定めた実質的なリスクアセスメント
• 正直な除外事項を記載した適用宣言書（書き方を参照）
• 独立した人物による内部監査。小規模企業では、多くの場合、外部の非常勤専門家を活用することになります。

小規模企業が抱えがちな過度な負担の多くは、大企業向けに設計されたテンプレートを採用することに起因します。

小規模企業にとっての実際のコスト

外部監査の費用は、通常、コストのうち小さい部分です。実際のコストは時間です。誰かがこの取り組みの責任を負う必要があり、小規模企業では、多くの場合、創業者やエンジニアリングリーダーが6か月以上にわたり毎週一部の時間を割くことになります。その後も運用を維持するために月に数日が必要です。ツールの費用や、独立した内部監査人が社内にいない場合の外部内部監査人の費用も加わります。

見返りは取引から得られます。年に1社でも大企業の顧客がこの認証を要求するなら、通常は元が取れます。誰も要求しないのであれば、同じ時間を技術的な管理策に充てた方がより多くのセキュリティが得られます。だからこそ、判断は「誰が求めているのか」から始めるべきです。他のフレームワークに対してISO取り組みがどの程度役立つかについては、出発点の分析を参照してください。要件ごとの詳細な見方については、ISO 27001フレームワークのページをご覧ください。

要点

• 顧客や入札が要求する場合にISO 27001を取得し、それ以外の場合はまずセキュリティを構築する。
• ISMSを企業の規模に合わせる。厳密なスコープ、簡潔なポリシー、実質的なリスクアセスメント。
• 小規模企業の負担の多くは、規格そのものではなく、大企業向けテンプレートから生じる。

結論

顧客が認証を要求するなら、取得し、自社の規模に合わせて運用してください。要求されないなら、まずセキュリティを構築し、認証は費用に見合う時点で取得してください。いずれの場合も、作業は無駄になりません。ISO 27001は、小規模企業が次に対応することになる多くのフレームワークにマッピングできます。

方向	マッピング済み	緩やかに関連	マッピングなし
ISO 27001 を保有、SOC 2 が必要	61 件中 41 件 (67%)	0	20	レポート →
SOC 2 を保有、ISO 27001 が必要	123 件中 98 件 (80%)	21	4	レポート →

ISO 27001ガイドでは、認証取得までの手順を段階的に解説しています。

よくある質問

ISO 27001はスタートアップには大げさすぎますか？

必ずしもそうではありません。規模に合わせれば、つまり小さなスコープ、簡潔なポリシー、実際のリスクを反映したリスクアセスメントであれば問題ありません。大企業向けに作られたテンプレートをそのまま丸ごと採用すると、過剰になります。

顧客がISO 27001を求めていない場合、小規模企業はまず何をすべきですか？

強固な技術的ベースライン（CIS Controls IG1など）と、すべてのフレームワークが求める共通の基盤（資産台帳、パッチ適用、MFA、バックアップ、インシデント対応）を実装してください。

小規模企業はコンサルタントなしでISO 27001に合格できますか？

はい。規格自体は簡潔であり、多くの小規模企業は社内の努力と独立した内部監査人の協力によって認証を取得しています。コンサルタントは作業を加速させることができますが、いずれにせよISMSは自社のものでなければなりません。