解決したい課題 認証取得・運用の負担を軽減したい

認証取得・運用にかかる担当者の工数

情報セキュリティ認証取得・運用において、ISMS運用担当者（以下、事務局）は具体的にどのような対応が必要になってくるのでしょうか。
ISMS/ISO27001認証取得に必要な対応をもとに見ていきましょう。

ISMS/ISO27001認証取得に必要な対応

このように事務局には、さまざまな対応が求められます。また、これらの取り組みは一度対応すれば終わりではなく、毎年状況を見直してより良くアップデートし続けていく必要があります。

適用範囲によっては全社を横断したプロジェクトとなるため、それだけ作成すべき台帳の量が増えたり、コミュニケーションを取るべき対象が増えたりと、負担が大きくなってしまいます。

工数軽減手段とメリット・デメリット

ISMSなどの認証取得・運用には多様な対応が求められるため、自社だけで対応するのではなく、コンサルティング会社などの支援を受けるケースがほとんどです。
認証取得・運用の支援としては例えば次のようなものが挙げられます。

コンサルティング会社

認証取得・運用に関する相談対応が可能です。コンサルティング会社によって支援内容は様々で、フォーマット提供や一部業務を代行してくれるケースもあり、料金についても数十万円から数百万円など幅があります。また、取り組みをリードしてくれる・豊富な知見をもとに体制構築できるなどのメリットがあります。

場合によっては一方的にやり方を押し付けられてしまうこともあります。

ツール提供会社

ツールの案内をもとに自社で認証取得・運用が可能です。自社での対応リソースを十分に確保できる場合は、イニシャルコストを比較的安く抑えることができます。

自社のセキュリティ運用がそのツールに依存してしまう、ランニングコストがかさんでしまう恐れがあります。

BPO/代行会社

認証取得・運用に関わる業務を総合的に代行してくれるため、事務局の負担を大きく軽減できます。セキュリティ知識が豊富で、現場をきちんと理解してくれる代行会社であれば、組織のセキュリティ向上を効率的におこなうことが可能です。

他サービスと比較して費用が高い傾向があります。また、自社のセキュリティが代行企業に依存してしまう恐れがあります。さらに場合によっては、あくまで認証の取得・維持を目的とした対応により、自社の業務実態に即さない実効性の低いルールを無駄に運用し続けなければならない恐れがあります。

いずれも一長一短ありますが、せっかく認証を取得するのであれば、自社の実態に即した意味のある体制構築を目指すことをおすすめします。
そのためには信頼できる支援会社を見極めることが重要です。審査に通るためだけの仕組み構築となってしまわないか、やり方を一方的に押し付けられてしまわないか、自社のセキュリティ運用が支援会社に依存しすぎてしまわないかなどを吟味しましょう。