メインコンテンツへスキップ
NEWS約2.4億円の資金調達を実施（新しいタブで開きます）

ISMS

ISMSとは。ISO/IEC 27001認証の意味と、取引先の証明書の確かめ方

ISMS（情報セキュリティマネジメントシステム）の意味、ISO/IEC 27001との関係、認証で分かることと分からないことを、取引先やSaaSを選ぶ側の立場で整理します。証明書の読み方と、審査のときに追加で聞くべき質問も紹介します。

更新日：執筆・運営：

ISMSは仕組みの名前、ISO/IEC 27001はその仕組みが満たすべき要求事項を定めた規格、ISMS認証は第三者がその適合を確かめた結果です。

日本では、情報マネジメントシステム認定センター（ISMS-AC）が認定機関として制度を運営し、ISMS-ACに認定された認証機関が組織を審査します。海外の企業は、その国の認定機関のもとで認証を受けていることが多く、どちらの場合も規格は同じISO/IEC 27001です。

ISMSに関係する用語の整理
用語意味
ISMS情報セキュリティを組織として管理する仕組み
ISO/IEC 27001ISMSの要求事項を定めた国際規格。現行は2022年版
JIS Q 27001ISO/IEC 27001の日本語版の日本産業規格
ISO/IEC 27002管理策（具体的な対策）の実施の手引き
適用範囲認証の対象になっている組織・事業所・業務の範囲
適用宣言書（SoA）どの管理策を採用し、どれを除外したかを示す文書
ISMS適合性評価制度日本で、ISMS-ACが認定した認証機関が審査・認証する制度

認証は一度取れば終わりではありません。3年を1つの周期として、毎年審査を受け続けます。

取引先の証明書を見るときは、有効期限が切れていないか、最新の維持審査を受けているかを確認します。2013年版から2022年版への移行期限は2025年10月31日に終わっているため、現在有効な証明書は2022年版のはずです。

  1. 01

    初回審査

    文書の確認と、実際の運用の確認の2段階で審査を受け、適合と判断されると認証が登録されます。

  2. 02

    維持審査（1年目・2年目）

    原則として年に1回、運用が続いているかを、範囲の一部を抽出して確認されます。

  3. 03

    再認証審査（3年目）

    有効期限の前に、全体を改めて審査します。適合すれば、次の3年間の認証が継続します。

「ISMS認証取得」と書かれていても、検討しているサービスが対象に含まれているとは限りません。証明書の写しをもらい、次の点を確かめます。

  1. 01

    組織名

    契約する会社と同じか。グループ会社の認証を、別の会社の認証のように表示していないかを見ます。

  2. 02

    適用範囲

    検討しているサービスの開発・運用が範囲に含まれているか。一部の部署や事業所だけが対象の場合があります。

  3. 03

    規格の版

    ISO/IEC 27001:2022（またはJIS Q 27001:2023）になっているか。

  4. 04

    有効期限

    期限内か。再認証の時期が近い場合は、審査の予定を聞いておきます。

  5. 05

    認証機関と認定

    どの認証機関が発行し、その認証機関がどの認定機関に認定されているか。日本の制度のもとで認証されている組織は、ISMS-ACのサイトで検索できます。

ISMS認証は信頼の目安になりますが、それだけでサービスの安全性がすべて分かるわけではありません。

そのため、SaaSの審査では、ISMS認証の有無に加えて、チェックシートで個別の項目を確認するのが一般的です。AIツールの場合は、学習への利用と再委託先の確認が特に重要になります。

  • 入力したデータがAIの学習に使われるかどうか。これは規約と契約で確認します。
  • データがどの国・地域に保存されるか。
  • 自社の要件（SSO、ログの保存期間、削除の手順）に合っているか。
  • 再委託先（クラウド事業者やAIモデルの提供者）の管理の状況。
  • 認証の範囲外の機能や、新しく追加された機能の扱い。

Klangを例に、AI議事録ツールの認証情報をどこで確かめるかを示します。

Klang AI ABは、ISMS認証（ISO/IEC 27001:2022）を取得しています。認証の詳細や公開資料は、Trust Center（英語）で確認できます。

ISMS認証とは別に、お客様の会話データをAIモデルの学習に利用しないこと、すべての通信をTLS 1.2以上で、保存データをワークスペースごとの固有の鍵で暗号化していることを、セキュリティのページで公開しています。保存場所に社内規程の要件がある場合は、プライベートクラウドやオンプレミスでの導入も選べます。

Klangは、ISO/IEC 27001:2022の認証に加えて、AI学習への不使用、暗号化、削除の手順など、審査で個別に確認される項目をセキュリティページとチェックシートで公開しています。

  • ISO/IEC 27001:2022（ISMS）の認証を取得しています。
  • お客様の会話データをAIモデルの学習に利用しません。
  • チームプランでSSO、監査ログ、データ保持期間の設定に対応します。
無料で試す
ISMSとは何ですか。

情報セキュリティマネジメントシステムの略で、組織が自らリスクを評価して対策を決め、計画・実施・点検・改善の流れで継続的に運用する仕組みです。その要求事項を定めた国際規格がISO/IEC 27001です。

ISMS認証とISO 27001認証は違うものですか。

実務ではほぼ同じ意味で使われます。ISMSは仕組みの名前、ISO/IEC 27001はその要求事項を定めた規格で、ISMS認証はその規格への適合を第三者の認証機関が確かめたものです。

ISMS認証の有効期間はどれくらいですか。

3年を1つの周期とし、その間に原則として年1回の維持審査を受け、3年目に再認証審査を受けて継続します。取引先の証明書では、有効期限と最新の審査の時期を確認してください。

ISMS認証があれば、そのサービスは安全と考えてよいですか。

信頼の目安にはなりますが、それだけでは分かりません。認証の適用範囲に検討中のサービスが含まれているか、データがAIの学習に使われないか、保存場所はどこかなどは、別に確認する必要があります。

Klangはどのような認証を取得していますか。

Klang AI ABはISMS認証（ISO/IEC 27001:2022）を取得しています。認証の詳細や公開資料は、Trust Center（英語）で確認できます。

社内でAIツールを使い始めるまでの流れを、目的の整理、ルールづくり、ツールの審査、承認と定着の4段階に分けています。会議の録音・文字起こしを例にしていますが、ほかのAIツールにも使える手順です。

  1. 1. 目的を決める

  2. 2. ルールとリスク

  3. 3. ツールを審査する

  4. 4. 承認と定着

クレジットカードは不要です。数分でお使いいただけます。

無料で始めるお問い合わせ