チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
セキュリティの現場で、用語の整理に迷った経験はありませんか。
結論から言うと、ISMSは情報を守る「仕組み」そのもので、ISO27001はその仕組みの要求事項を定めた「規格」です。
比べる対象ではなく、上下の関係です。
どちらか一方を選ぶ話ではないと分かるだけで、頭の中がすっきりします。
このメディアは、セキュリティ人材のフリーランス（案件参画）を支援しているスプラッシュエンジニアリングが運営しています。
この記事でわかることは次のとおりです。
読み終えるころには、用語の混乱が解けて、規格知識を案件単価につなげる道筋まで見えてきます。
チップスボス、ISMSとISO27001、オイラずっと同じものだと思ってたでしゅ…違うんでしゅか？
ボスふふふ、そこが最初のつまずきどころだな。仕組みと、そのものさし。まずはこの関係を、この記事で叩き込んでやる。
※記事の内容をサクッと確認したい方は、以下のスライドでご確認いただけます。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
用語の違いは、比較ではなく「どちらが上位か」で捉えると一気に整理できます。
ISMS（Information Security Management System／情報セキュリティマネジメントシステム）は、組織が情報資産を守るために回す仕組みそのものです。
特定の書類や認証ラベルではありません。
リスクを見極めて対策を決め、運用し、改善するという一連のサイクルが実体です。
このサイクルはPDCA（計画・実行・評価・改善）で回します。
主な流れは次のとおりです。
見落としがちなのは、認証を取っていなくてもISMSは存在しうるという点です。
自社ルールで情報を守る運用を回していれば、それは広い意味でのISMSです。
第三者のお墨付きが付くかどうかは、次に説明するISO27001の話になります。
ISO/IEC 27001は、ISMSを構築・運用するための要求事項を定めた国際規格です。
いわば、良いISMSかどうかを測るためのものさしにあたります。
規格そのものは仕組みではなく、仕組みが満たすべき条件を並べた基準集だと考えるとわかりやすいです。
実務では「ISMS認証」と「ISO27001認証」はほぼ同じ対象を指します。
どちらも、組織のISMSがISO/IEC 27001の要求事項に適合しているかを第三者が審査し、登録する制度を意味します。
国内では、この国際規格に対応する日本産業規格としてJIS Q 27001が定められています。
要点を整理します。
つまりISO27001は「基準」、ISMSは「その基準に沿って動く仕組み」という関係です。
チップスじゃあ、ISMSっていう仕組みを作って、それをISO27001っていうものさしで測ってもらう、って感じでしゅか？
ボス飲み込みが早いじゃないか。仕組みが主役、規格は審判だ。そこを逆に考えるやつが、提案書で恥をかく。
混同の正体は、規格名・制度名・仕組みが別々の言葉なのに一緒くたにされることです。
用語が混ざる一番の原因は、規格・制度・認定という3つの階層が別物だからです。
まず、審査の基準となる規格の名称がISO/IEC 27001です。
そして、日本でその適合性を評価・認証する枠組みの名称がISMS適合性評価制度です。
この制度には、役割の異なる機関があります。
ISMS-AC（情報マネジメントシステム認定センター）は「審査機関を審査する機関」で、組織を直接審査するわけではありません（ISMS適合性評価制度の概要・ISMS-AC）。
組織が実際にやり取りする相手は、認定を受けた認証機関です。
この階層を押さえると、「ISO27001を取る＝ISMS適合性評価制度で認証される」という関係がすっきり見えてきます。
3つの言葉を自分で説明できるようにするには、対象・役割・実体の有無で並べるのが近道です。
下の表のように整理すると、どれが基準でどれが仕組みかが一目で分かります。
| 用語 | 役割 | 実体の有無 |
|---|---|---|
| ISMS | 情報資産を守る仕組み | 運用として存在する |
| ISO/IEC 27001 | 仕組みが満たす要求事項 | 文書としての基準 |
| ISMS適合性評価制度 | 適合を審査・認証する枠組み | 制度として存在する |
会話や提案書でこの3語を無意識に入れ替えると、相手を混乱させます。
「仕組みを整えたい」のか「認証を取りたい」のかで、必要な打ち手はまるで違います。
適用宣言書のように、選んだ管理策を明示する文書もISMS運用の一部です。
用語の軸を持っておくと、こうした書類の位置づけも迷わず説明できます。
チップスオイラ、お客さんに「ISO取りたい」って言われて「ISMSですか？」って聞き返して、微妙な空気にしたことがありましゅ…。
ボスその聞き返し自体は間違っちゃいない。ただ、相手が同じものだと思っている前提で、噛み砕いて返すのがプロだ。
どれを取ればいいか迷ったら、守る対象と単独で取れるかで見分けると判断が早いです。
ISMS（ISO27001）とプライバシーマーク（Pマーク）は、よく比較されますが守る対象が違います。
Pマークは個人情報の保護に特化した国内の制度で、基準はJIS Q 15001です。
一方のISMSは、個人情報に限らず組織が扱うすべての情報資産を対象にした国際規格がベースになります。
両者の違いを3つの軸で並べます。
| 軸 | Pマーク | ISMS（ISO27001） |
|---|---|---|
| 守る対象 | 個人情報 | 全情報資産 |
| 範囲 | 事業者全体 | 部門や事業単位でも取得可能 |
| 認知 | 国内中心 | 国際的に通用 |
どちらが優れているという話ではなく、要件次第で選ぶものです。
BtoCで個人情報を大量に扱うならPマーク、取引先からISO27001を求められるならISMS、という使い分けが基本になります。
両方を取得している組織も珍しくありません。
ISO27017はISO27001を土台にして追加で取得する規格で、ISO27701はISO27001を前提とせず単独でも取得できる独立した規格です。
単独では成立せず、ISO27001の取得または同時取得が前提になります。
ISO27017は守りたい領域を上乗せするための拡張と考えると、整理しやすいです。
それぞれの位置づけは次のとおりです。
たとえばクラウド事業者が顧客に安心材料を示したいならISO27017、個人情報の管理体制まで示したいならISO27701が候補になります。
いずれもISO27001というベースがあって初めて機能します。
土台を固めずにアドオンだけ、という進め方はできません。
チップス規格がいっぱいあって、全部取らなきゃいけないのかとパニックになりそうでしゅ…！
ボス落ち着け。全部盛りにする必要はない。守りたいものは何か、それを先に決めろ。規格はそのあとだ。
114管理策の知識で止まっていると、今の現場の会話についていけない場面が出てきます。
ISO/IEC 27001は2022年に改訂され、附属書Aの管理策が大きく再編されました。
従来の114の管理策が93に整理され、分類も4つのカテゴリにまとめ直されています（ISO/IEC 27001・ISO公式）。
新しい4カテゴリの内訳は次のとおりです。
ここで誤解しやすいのが、数が減った＝やることが減った、という受け止めです。
実際には、重複していた管理策を統合して数が圧縮されただけで、対応すべき範囲はむしろ広がっています。
新しい脅威に対応する管理策が加わっているためです。
古い114という数字のまま知識を止めておくと、移行審査や提案の場面で足をすくわれます。
今のベースは93、4カテゴリ。
この前提で押さえ直しておくのが安全です。
2022年改訂では、11の管理策が新しく加わりました。
これらは、いま現場で問われるスキル領域をそのまま映しています。
どれもクラウド化と攻撃の高度化を背景にした、実務直結のテーマです。
新設された管理策は次のとおりです。
脅威インテリジェンスやDLP（データ漏えい防止）は、そのまま求人票のスキル要件に並ぶ言葉です。
この11項目は、後半で触れるキャリアの武器そのものになります。
チップスオイラ、114個で必死に覚えたのに…また覚え直しでしゅか、つらいでしゅ。
ボス数を丸暗記するな。なぜその管理策が要るのかを追え。93になっても、守る理由は変わらん。
取るべきか迷う段階では、まず期間と費用の全体像をつかむと判断しやすくなります。
ISMS（ISO27001）認証の取得には、一般的に準備から審査まで6か月から1年ほどかかります。
組織の規模や、既存の運用がどこまで整っているかで前後します。
認証取得の具体的な手順は、JIPDECの認証を取得するにはガイドで公開されています。
やみくもに走るより、フェーズごとの目安を持っておくと計画が立てやすいです。
一般的に言われる所要期間の目安は次のとおりです。
審査は一度きりではありません。
認証後も毎年の維持審査（サーベイランス）があり、通常3年ごとに更新審査を受けます（認証の信頼性確保・適合性評価制度・JIPDEC）。
つまり取って終わりではなく、運用を回し続ける前提の仕組みです。
この継続性が、次の費用構造にも直結してきます。
費用は組織の規模・拠点数・従業員数で大きく変わるため、一律の金額では語れません。
把握のコツは、初期費用と維持費用を分けて捉えることです。
この2つを混ぜると、予算の見通しが立てにくくなります。
費用は大きく次の2種類に分かれます。
金額はレンジで捉えるのが現実的で、規模が大きいほど審査工数も増えて費用は上がります。
自社の人員だけで文書化や運用を回せるかどうかでも、コンサル費用は変わります。
見落としやすいのは、認証取得そのものより運用の継続にコストの重心があるという点です。
初期費用だけを見て判断すると、取得後の負担を読み違えてしまいます。
チップス取ったら終わりだと思ってましたけど、毎年審査があるんでしゅか…！お財布が心配でしゅ。
ボスそうだ、維持審査がある。だからこそ、運用を回せる人材の価値が上がる。ここが次の話の入り口だ。
規格知識は資格勉強で終わらせず、市場で評価される武器として捉え直すのが得策です。
ISMSの構築・運用・審査対応の経験は、そのままキャリア資産になります。
背景にあるのは、国内で深刻化するセキュリティ人材の不足です。
経済産業省の検討会でも、人材の確保と育成が重点課題として取り上げられています（サイバーセキュリティ人材の育成促進に向けた検討会 最終取りまとめ・経済産業省）。
評価されやすいのは、知識よりも動かせる経験です。
具体的には次のような経験が問われます。
規格を知っているだけの人は多くても、審査を通せる人は多くありません。
この希少性が、GRC（ガバナンス・リスク・コンプライアンス）領域での高い評価につながります。
実際に、認証取得プロジェクトを横断管理するPMO案件も公開されています（ISO27001認証取得を担うセキュリティPMO案件）。
ISMSの知識は、関連資格と組み合わせることで市場価値がさらに上がります。
なかでも情報処理安全確保支援士は、サイバーセキュリティ分野で唯一の国家資格です（情報処理安全確保支援士（登録セキスペ）制度・IPA）。
IPAによると、2024年4月時点の登録者は2万人を超えています（登録者について（2024年4月1日時点）・IPA）。
ISMS運用と相性の良い資格には、次のようなものがあります。
資格は取って終わりではなく、案件でどう評価されるかまで見るのが大切です。
支援士の登録者が増えている分、「資格＋運用実績」の掛け算で差がつきます。
ISMSを回した経験に国家資格が加わると、審査対応やコンサル案件での説得力が一段上がります。
チップス資格を取れば安泰…じゃないんでしゅね。オイラ、取っただけで満足しちゃいそうでしゅ。
ボス資格は入場券だ。使って初めて価値が出る。ISMSを回した経験と組み合わせろ。そこで市場が振り向く。
自分の市場価値がいくらか、という問いには自社の公開案件データで具体的に答えられます。
ISMS関連のフリーランス案件では、規格を運用に落とし込める実務力が求められます。
単なる知識ではなく、現場を動かして審査を通す力が評価の中心です。
2022年改訂で新設された管理策への対応力も、需要として立ち上がっています。
代表的な案件で求められるスキルは次のとおりです。
たとえばセキュリティガバナンス推進の案件では、ISO27001準拠のアドバイザリが業務に含まれます（セキュリティガバナンス推進のフリーランス案件例）。
脅威インテリジェンスやDLPといった新しい管理策の知見があると、任される幅がさらに広がります。
フリーランスの単価は、当社が公開しているセキュリティ案件の集計が具体的な目安になります。
月額単価は中央値90万円、レンジは50万〜180万円が目安です。
職種によって水準は変わります。
主な職種別の月額単価は次のとおりです（当社公開案件の集計）。
ISMS関連で関わることの多い要件定義やPMOは、上振れしやすい傾向が読み取れます。
自分の経験がどのレンジに当てはまるかは、公開中のセキュリティフリーランス案件で確かめられます。
気になる案件があれば、登録して条件を見比べてみてください。
チップス中央値90万円…！オイラの想像よりずっと高いでしゅ。ISMSの経験って、そんなに効くんでしゅか？
ボス効くとも。特に要件定義やPMOは上振れしやすい。運用を回せる証拠を持っているやつが、単価交渉で強い。
チップス中小企業だとISMSなんて関係ないと思ってましたけど、そんなことないんでしゅね。
ボスむしろ逆だ。人が足りない現場ほど、外の専門家を頼る。お前の経験が、そこで武器になる。
ISMSとISO27001の違いは、仕組みと規格という関係で捉えれば迷いません。
要点を振り返ります。
規格の知識を、資格勉強で終わらせるのはもったいないです。
運用を回せる経験は、そのまま市場で評価される武器になります。
自分の市場価値を確かめる第一歩として、セキュリティプロ・フリーランスで公開案件をチェックし、登録してみてください。
ボス用語の整理はゴールじゃない、スタートだ。仕組みを理解したなら、次は現場で回して稼げ。お前の経験は、思っているより高く売れる。ふふふ。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
