情報セキュリティの国際基準であるISO/IEC 27001は、企業が信頼されるビジネスパートナーとして成長するために、欠かせない認証規格です。
本記事では、ISO/IEC 27001の基本的な概要から認証取得のプロセス、さらには審査機関の選び方や認証取得時のポイントまで詳しく解説します。実際に認証を取得した翻訳会社のNTCネクストの事例も交え、これから取得を目指す企業の皆さまに役立つ情報をお届けします。
情報セキュリティ体制を強化し、顧客や取引先からの信頼を高めたい方は、ぜひ参考にしてください。
ISOとは？
ISO（国際標準化機構）とは、製品やサービスの国際的な基準を策定する非政府組織であり、1974年2月23日に設立されました。その目的は、国際取引をスムーズにし、世界中で同じ品質やレベルのものを提供できるようにし、グローバルな標準化をすることです。
ISO規格には、大きく以下の2つの種類があります。
製品の具体的な仕様や性能に関する規格であり、カードのサイズ（ISO/IEC 7810）やネジの規格（ISO 261）などがあります。もし、クレジットカードのサイズが国ごとやクレジット会社ごとに大きさが違っていたら、消費者は使いづらく支障が出てしまいます。これを防止するために国際的な標準基準を作り、標準化させ、取引をスムーズにすることを目的としたものです。
組織を取り巻くさまざまなリスク（品質、環境、情報セキュリティなど）を管理するためのしくみに関する規格です。組織が目的を達成するためのルールや手順を定め、品質・環境・安全性などを向上させ、国内外での信頼性や競争力を高めることができます。代表例には以下の規格があります。
- ISO 9001: 品質マネジメントシステム
- ISO/IEC 27001: 情報セキュリティマネジメントシステム（ISMS）
- ISO 14001: 環境マネジメントシステム
これらの規格は、時代の変化や利害関係者の要請に応じて更新されます。
ISO/IEC 27001の”IEC”とは？
ISO/IEC 27001のIECは、”International Electrotechnical Commission”（国際電気標準会議）を指し、IECは、電気技術分野における国際規格を策定する機関です。
ISOとIECは、それぞれ異なる分野で標準化を行っていますが、電気技術や情報技術のように重複する分野では協力して規格を策定します。この共同作業によって生まれるのが「ISO/IEC規格」です。
ISO/IEC規格には、例えば、以下の規格があります。
- ISO/IEC 27001: 情報セキュリティマネジメントシステム（ISMS）に関する国際規格。
- ISO/IEC 17788: クラウドコンピューティングの用語に関する規格。
- ISO/IEC 17025: 試験所や校正機関の能力に関する規格。
ISOはあらゆる分野の標準化を担当し、IECは電気や電子技術分野に特化しています。このように、ISO/IEC規格は専門分野を超えた国際的な整合性を持つ仕組みとなっています。
ISO/IEC 27001の取得方法（取得までのSTEP）
ISO/IEC 27001の認証取得は、認定を受けた認証機関（審査機関）による審査に合格することで達成されます。以下はその主なステップです。
- 組織の情報セキュリティ状況を確認し、ISO/IEC 27001の基準とのギャップを特定します。
- 必要に応じて、専門コンサルタントを活用します。
- 情報セキュリティポリシーの策定、リスクアセスメントの実施、セキュリティ対策の導入を行います。
- ISO/IEC 27001に準拠した手順書や記録を整備し、運用体制を構築します。
- ISMSの運用状況を内部監査で確認し、改善点を特定します。
- 経営層によるレビューを実施し、システムの有効性を評価します。
- 認定機関（例: 一般社団法人情報マネジメントシステム認定センター〈ISMS-AC〉）が登録した認証機関に審査を依頼します。
- 審査は以下の2段階で行われます。
- 文書審査: ISMSに関する文書が規格に適合しているかを確認。
- 現地審査: 実際の運用状況が規格通りであるかを確認。
- 審査に合格すると、ISO/IEC 27001認証が発行されます。
- 認証の有効期間は通常3年で、年次の維持審査が必要です。
ISO/IEC 27001の認証に関するポイント
ISO/IEC 27001の認証を取得するためには、認定機関による受審が必要です。実際には、認定機関が認定した認証機関（審査機関）にて、受審することになります。
▶認定機関とは？
認定機関とは、 認証機関（審査機関）が適切な審査（「ISO/IEC 27001を取得したいという企業や組織がISO規格（品質マネジメントシステムなど）に沿って適切に運営されているか」の審査）を実施できる能力を持っているかを評価し、認定する機関のこと。簡単に言えば、審査機関を審査・認定する機関になります。
▶認証機関（審査機関）とは？
認証機関（審査機関）とは、「ISO/IEC 27001を取得したいという企業や組織がISO規格（品質マネジメントシステムなど）に沿って適切に運営されているか」を審査し、企業や組織に認証を発行する機関のこと。実際に審査する機関になります。
▶日本の認定機関
ISO/IEC 27001の日本の認定機関は、一般社団法人情報マネジメントシステム認定センター（ISMS-AC）です。
通常、ISO/IEC 27001の認証取得する場合、日本の認定機関であるISMS-ACが運営する「情報セキュリティマネジメントシステム（ISMS)適合性評価制度」で認証取得するのが一般的です。
このISMS-ACが認定している認証機関（審査機関）は27社登録(2025.1.17現在）されています。この認証機関（審査機関）より、審査を受審することになります。料金は、各審査機関によって違うので見積を数社取得するのがよいでしょう。
ISMS-ACが認定した認証機関（審査機関）
| 一般財団法人日本品質保証機構 | 日本検査キューエイ株式会社 | BSIグループジャパン株式会社 |
| 一般財団法人日本科学技術連盟 ISO審査登録センター | 日本規格協会ソリューションズ株式会社 | 株式会社日本環境認証機構 |
| DNV ビジネス・アシュアランス・ジャパン株式会社 | 国際マネジメントシステム認証機構株式会社 | 一般社団法人日本能率協会 |
| ペリージョンソン ホールディング 株式会社 | 一般財団法人電気通信端末機器審査協会 | テュフラインランドジャパン株式会社 |
| 株式会社マネジメントシステム評価センター | 株式会社ジェイーヴァック | ビューローベリタスジャパン株式会社 |
| 公益財団法人防衛基盤整備協会 | ＳＧＳジャパン株式会社 | 一般財団法人ベターリビング |
| 日本海事検定キューエイ株式会社 | 国際システム審査株式会社 | エイエスアール株式会社 |
| 日本化学キューエイ株式会社 | ドイツ品質システム認証株式会社 | 一般財団法人電気安全環境研究所 |
| アイエムジェー審査登録センター株式会社 | アームスタンダード株式会社 | ＩＳサーティフィケーション株式会社 |
日本の企業がISO/IEC 27001の認証を受ける場合、どうしても上記の様に、日本での認定機関を選択するのが一般的になっていると言えますが、認定機関は日本だけでなく、世界各国に存在し、必ずしも自国の認定機関の認定を受ける必要はありません。海外で認定された機関でも日本に認証機関（審査機関）が存在するので、そちらで審査を受けても認証取得できるのです。
NTCネクストが選んだISO/IEC 27001の認定機関は？
翻訳会社であるNTCネクストはISO/IEC 27001の認証を取得しています。
NTCネクストは、ISO/IEC 27001認証を取得する際に、初めはISMS-ACの認証機関（審査機関）で受審しましたが、現在は以下の理由から米国のIAS（International Accreditation Service）にて受審しています。
- 英語と日本語の認証書が発行される
翻訳会社である弊社は、海外のお客様との取引も多く、英文の認証書が必要でした。 - 審査期間が短い
国内の認定機関より、審査工数が少なく、短い期間で審査が完了する。 - コストの削減
費用比較を行った結果、ISMS-ACの認証機関よりも数十万円単位で安価でした。
具体的には、IASが認定している日本支社のある認証機関（審査機関）：GCERTI-JAPANにて、受審いたしました。
NTCネクストIASがISO/IEC 27001の認定機関であることを確認する具体的な方法については、以下の記事で詳しく解説しています。ぜひ、こちらの記事もご覧ください。
NTCネクストの情報セキュリティへの取り組み
NTCネクストは、情報セキュリティを経営上の最重要課題と位置づけ、お客様の大切な情報（資料、個人情報等）を守るため、細心の取り扱いを行い、可能な限り最大限の情報セキュリティ対策を実施しています。
具体的な取り組みとして、情報セキュリティのISO/IEC 27001の認証を取得し、情報セキュリティの国際基準を遵守し、情報セキュリティマネジメントシステム（ISMS）の構築・運用・継続的な改善に努めています。お客様の大切なデータを守るため、以下の取り組みを実施しています。
- 社内翻訳
NTCネクストの英語翻訳・中国語翻訳・韓国語翻訳は、社内の専門スタッフが直接担当し、データを外部に漏洩させません。 - 情報セキュリティポリシーの徹底
社内全体でセキュリティ意識を高め、万全の管理体制を構築。 - リスクアセスメントの定期実施
最新のセキュリティリスクを把握し、継続的に対策を強化。 - 顧客データの保護
翻訳データの機密性を確保し、不正アクセスや情報漏洩を防止。
セキュリティを重視される案件がございましたら、ぜひNTCネクストにご相談ください。
関連記事
