ISO 27001認証の取得方法
Paul Gillet 別 · 更新日 2026-10-17
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。組織がどのセキュリティリスクを重視するかを決め、それらに対処し、継続的に改善していく仕組みを定めます。SOC 2と異なり、認定認証機関が発行する認証書で完了し、有効期間は3年間です。その間にはサーベイランス監査が実施されます。
規格が求める事項
- 箇条4〜10は必須です。内容は、組織の状況と適用範囲（4）、リーダーシップと方針（5）、リスクアセスメント、リスク対応および目標（6）、資源、力量、認識、コミュニケーションおよび文書化した情報（7）、計画の運用（8）、監視、内部監査およびマネジメントレビュー（9）、是正処置と改善（10）です。
- 附属書Aには、組織的、人的、物理的、技術的の4つのテーマにわたる93の管理策が掲載されています。これらは参照用の管理策群であり、チェックリストではありません。リスク対応を通じて管理策を選定し、採用・不採用の理由をすべて適用宣言書（SoA）に記載します。
現行版はISO/IEC 27001:2022です（2024年の追補により、組織の状況に関する箇条に気候変動が追加されています）。2013年版からの移行期間は2025年10月31日に終了したため、有効な認証はすべて2022年版に基づくものとなります。
手順
- 適用範囲を定める（4.3）：組織のどの部門、どの拠点、どのサービスを対象とするかを決めます。顧客は認証書に記載された適用範囲を確認するため、顧客が購入する内容が含まれていることを確認してください。
- 経営層のコミットメントを得る（5）：情報セキュリティ方針を策定し、役割と責任を割り当て、資源を確保します。
- リスクアセスメントの方法を定めて実施する（6.1.2）：機密性、完全性、可用性に対するリスクを、リスク所有者、発生可能性、影響とともに特定します。
- リスクに対処する（6.1.3）：管理策を選定し、附属書Aと照合したうえで、SoAと、リスク所有者の承認を得たリスク対応計画を作成します。
- 測定可能なセキュリティ目標を設定する（6.2）：目標の達成方法を計画します。
- 実装し、運用する（7〜8）：方針、手順、教育・啓発、管理策を実施し、それらが機能していることを示す文書化されたエビデンスを残します。
- 測定し、レビューする（9）：ISMSを監視し、監査対象の業務から独立した担当者による内部監査を実施し、マネジメントレビューを行います。
- 検出された事項を是正する（10）：不適合と是正処置を記録します。
- 第1段階監査：認証機関が文書化の状況と準備状況を審査します。
- 第2段階監査：認証機関が、ISMSが実際に機能しているかを検証します。重大な不適合は、認証書の発行前に是正を完了している必要があります。
認証機関の選定
International Accreditation Forumに加盟する国の認定機関（例：UKAS、ANAB、DAkkS、JAS-ANZ）から、ISO/IEC 27001の認定を受けた機関を選び、その認定が自社の適用範囲を対象としていることを確認してください。認定を受けていない機関が発行した認証書は費用が安いことがありますが、顧客に受け入れられないことが多くあります。
一般的なスケジュール
中小規模から中規模の組織の多くは、開始から認証取得まで6〜12か月かかります。第2段階監査の前に、ISMSが実際の記録を残せるだけの期間運用されている必要があります。少なくとも、内部監査1回、マネジメントレビュー1回、管理策が運用されていることを示すエビデンスが必要です。認証取得後は、1年目と2年目にサーベイランス監査、3年目に再認証監査が行われると想定してください。
監査人が確認するエビデンス
- 適用範囲、セキュリティ方針、目標、およびその測定結果;
- リスクアセスメントの方法、リスク登録簿、リスク対応計画;
- 適用宣言書および、その理由の記載;
- 力量および教育の記録;
- 内部監査報告書およびマネジメントレビューの議事録;
- 不適合および是正処置の記録;
- 選定した管理策の運用記録：アクセスレビュー、変更記録、サプライヤー評価、インシデントログ、バックアップ。
見落としやすい点
- テンプレートのままのリスクアセスメント：監査人は、リスクがどのように特定され、なぜ各管理策が選ばれたのかを確認します。所有者が記載されていない汎用的なリストでは、この審査に通りません。
- 根拠のないSoAの除外：管理策を除外する場合は、自社のリスクまたは適用範囲に関連した理由が必要です。
- 内部監査の独立性：ISMSを構築した本人が、自身の作業を監査してはいけません。
- 適用範囲が狭すぎて役に立たない：1つの事業所だけを対象とした認証書では、クラウドサービスを購入する顧客の要求を満たせません。
当サイトの活用方法
ControlMappingでは、附属書Aのすべての管理策とISMSの箇条を、他の10のフレームワークにおける対応項目とともに掲載しています。附属書AとNIST CSF 2.0およびSP 800-53との関連は、公開されている対応表に基づいています。管理策の本文はISOの著作物であるため、当サイトではタイトルのみを掲載しています。SOC 2、NIST、NIS2にすでに対応している場合は、下の表とギャップ分析で、引き継げる内容を確認できます。箇条4〜10のマネジメントシステムは、通常、最も大きな新規作業となります。
別のフレームワークもお持ちですか？
すでに従っている可能性のあるフレームワークの要求事項が、ISO 27001 の要求事項にいくつ対応するかを示しています。要求事項ごとの一覧は、ギャップレポートを開いてご確認ください。
| 既に保有している場合 | ISO 27001 要件を対応付け済み | 緩やかな関連のみ | マッピングなし | |
|---|---|---|---|---|
| 800-53 | 123 件中 121 件 | 1 | 1 | ギャップレポート → · 比較 |
| NIS2 | 123 件中 104 件 | 13 | 6 | ギャップレポート → · 比較 |
| SOC 2 | 123 件中 98 件 | 21 | 4 | ギャップレポート → · 比較 |
| NIST CSF 2.0 | 123 件中 79 件 | 34 | 10 | ギャップレポート → · 比較 |
| PCI DSS | 123 件中 76 件 | 37 | 10 | ギャップレポート → · 比較 |
| DORA | 123 件中 70 件 | 36 | 17 | ギャップレポート → |
| CMMC | 123 件中 65 件 | 41 | 17 | ギャップレポート → |
| HIPAA | 123 件中 58 件 | 46 | 19 | ギャップレポート → · 比較 |
| CIS v8.1 | 123 件中 53 件 | 38 | 32 | ギャップレポート → · 比較 |
| GDPR | 123 件中 47 件 | 47 | 29 | ギャップレポート → · 比較 |
| CPS 234 | 123 件中 35 件 | 40 | 48 | ギャップレポート → |
| Essential Eight | 123 件中 23 件 | 39 | 61 | ギャップレポート → · 比較 |
| Cyber Essentials | 123 件中 20 件 | 19 | 84 | ギャップレポート → |
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 件数は ギャップ分析 と同じデータに基づきます。マッピングとは関連する要求事項があることを意味し、一方が他方を満たしていることを証明するものではありません。
よくある質問
ISO 27001認証書の有効期間はどのくらいですか？
3年間です。ただし、毎年のサーベイランス監査に合格していることが条件です。期限が切れる前に再認証監査を受ける必要があります。
附属書Aの93の管理策すべてを実装する必要がありますか？
いいえ。リスク対応を通じて管理策を選定し、採用・不採用のそれぞれについて適用宣言書に理由を記載します。
ISO 27001とSOC 2のどちらが優れていますか？
どちらが優れているということはありません。顧客が求めるものが異なるためです。ISO 27001は国際的に認められた認証です。SOC 2は米国型の保証報告書です。ISO 27001とSOC 2の比較をご覧ください。
法律または準拠に関する助言ではありません。利用に先立ち、正式な原文と、監査人、評価者、規制当局にご確認ください。