よくある質問

PマークやISMSの取得には、審査基準を満たす必要があります。
審査基準を満たすには主に以下の活動および記録作成を行わなくてはいけません。
・情報の洗い出し　→　社内でどのような情報を利用、保管しているか
・情報のリスク分析　→　情報の取り扱い上、何がリスクで、どのような対策をしているか
・規程の作成　→　情報を適切に取り扱うためのルール作り
・従業員教育　→　ルールの周知、理解度確認
・内部監査　→　ルールが守られているかの確認
上記の活動（運用）を審査の時に、きちんと説明でき、審査員が認めてくれれば取得に至ります。

PマークやISMSの取得時には以下の活動および記録作成を行っています。
・情報の洗い出し　→　社内でどのような情報を利用、保管しているか
・情報のリスク分析　→　情報の取り扱い上、何がリスクで、どのような対策をしているか
・規程の作成　→　情報を適切に取り扱うためのルール作り
・従業員教育　→　ルールの周知、理解度確認
・内部監査　→　ルールが守られているかの確認
取得後、上記は1年に最低1回は、見直し、再実施が必要で、その記録を残す必要があります。
これが一言で言うと、「運用」となります。
更新審査では審査員が記録を確認し、正しく運用されていることを認めてくれれば更新に至ります。
詳しくは、ISMSの解説ページ／Pマークの解説ページをご覧ください。

何も知識のない方が、自力で進めていくには、かなりの時間と手間がかかります。
学校や資格に合格するためには、書店で多くの参考書や過去問がありますので、独学でもできますが、PマークやISMSに関しては、制度や基準に関しての書籍はありますが、取得するための具体的なネタは無いと思ってください。
自社で推進しようとすると、制度や基準の理解を行う段階でも多くの時間がかかってしまい、仮にできたとしても、最終的な文書審査・現地審査の時点で多くの指摘を受け、その是正・改善策を検討・報告するのに、また時間がかかってしまうことが予想されます。
コンサル費用は抑えられたとしても、担当者が抱える時間が膨大なため、全体のコストとしては割高になることが予想され、経済的にも労力的にも効率が悪いと言えるでしょう。
詳しくは、ISMSの解説ページ／Pマークの解説ページをご覧ください。

Pマークの取得やISMSの取得は、会社で何回も行うものではないので、ほとんどの担当者様は「初めての経験」となります。※前職で担当した方もいらっしゃいますが、稀なケースです
したがって、全く知識が無いのはいたって普通です。
弊社のご支援で取得できなかったお客様はおりません。ご安心いただければと思います。

問題ございません。
ただ、テレワークを行う際に考えられるリスクを洗い出し、情報を適切に取り扱うことができる体制、ルールを作っていく必要があります。

レンタルオフィスという理由で、審査において不適合を受けることはありません。
ただ、個室でないオープンスペースの環境ですと取得はできないと思ってください。
なお、取得できる方法もございますので、ご相談いただければと思います。

必須ではありません。審査基準としてそのような設備を求めている訳ではありません。
自社でリスクが非常に高いという判断であれば、導入を検討してください。

過去事例では、専任者を設置されたお客様はおりません。
皆さま現業の合間に推進活動を行っています。
詳しくは、ISMSの解説ページ／Pマークの解説ページをご覧ください。

（これは弊社が決めることではありませんが……経験からあえて申し上げるとしたら）
Pマークは、社内全体を見渡せて、日頃書類管理を行っている総務系の方。
ISMSは基準がIT関連がほとんどなので、いわゆる情報システム担当の方。
PマークもISMSも、計画に沿って運用の旗振りをしなければいけないので、営業系というより、管理系の方が向いていると思ってください。

PマークやISMSの推進では、業務における情報の取り扱いやルールを書類に落とし込まなければいけません。
そういった意味では、一人の担当者だけではできないことが多く、担当者を中心に、各業務担当者を含め、推進チームを発足することとなります。
なお、取得後の維持、更新の準備にも各業務担当者は関係していきます。

まずは、顧客や取引先とやり取りで、何の情報が多いのか、何が重要な情報なのか、何を期待されているのか、という観点で考えてください。
PマークとISMSの比較については、次のリンクをご覧ください。PマークとISMSの比較を見る
詳しくは、ISMSの解説ページ／Pマークの解説ページをご覧ください。

PマークやISMSの同時取得は可能です。
ただ、現実論としては、同時ではなく、時期をずらした方が良いと思います。
と申しますのは、PマークとISMSは似て非なる物ですので、同時期に2つの推進を行うと、お客様側で混乱が起きてしまう可能性があるからです。
例えば、日本史と世界史を同時に勉強したとして、●●●●年に起きたのは、んっ？どれだったか？というようなことが起きると思いますが、そのような混乱があり得ると言うことです。

理論上は可能です。
しかし現実的にはお勧めできません。
と申しますのは、PマークとISMSは似て非なる物なので、それぞれの要求事項を統合したマニュアルを作ると、逆に、どの条項がどちらで要求している事項なのかが、分かりにくくなります。
また、PマークとISMSどちらも精通している審査員はほぼ居ませんので、スムーズな審査を考えると、切り離して管理した方が得策かと思います。

決してそうではありません。
IT業界や日頃ITの運用をされている会社であれば、PマークよりISO27001(ISMS)の方が簡単です。
と申しますのは、Pマークに比べISMSの審査基準は圧倒的にIT関連が多く、IT業界や日頃ITの運用をされている会社にとっては、違和感なく推進できるからです。
費用も20名程の会社様であれば、Pマークと同等、10名程の会社であれば、ISMSの方がPマークより安くなります。

同じと思ってください。
「ISMS」とは Information Security Management System （情報セキュリティマネジメントシステム）の略語です。
つまり、情報資産をきちんと管理、運用する仕組みの名称です。
「ISMS」とはISMSを構築、運用するために基準となる認証規格です。

ISMSは適用範囲を決められるので、可能です。
ただ無条件に適用範囲が決められるかと言うとそうでもありません。
例えば、事業活動は、営業、業務、経理といったプロセスがありますが、その一部（一部の部門）だけで取得することは、不適当であると判断されることがあるからです。
※一部の部門にした場合、客観的な合理性があれば問題はございません

Pマークと異なり、ISMSの審査機関は数多くあります。
取得後お客様が名刺や資料に印刷するISMS認証マークは審査機関のマークも並べて利用することが多いです。
よって、審査会社の選定は慎重に行う必要があります。
お客様が構築したISMSを、取得後さらに効果的に運用できるようなアドバイスも行ってくれるような審査機関を選定することが重要です。
たいがいはコンサル会社が推奨する審査機関がありますので、自社で探した審査機関と比較してみることも良いと思います。

審査する審査機関で同席可否のポリシーがあります。
ただ、同席可であっても、コンサルタントの発言を認めない審査機関もございます。
また、コンサルタントの発言を許可している審査機関でも、発言は審査員に対してでなく、受審会社側となります。
そういった意味では、同席可の審査機関でも、当日のことを考えますとコンサル会社への過度な期待はされない方が良いと思います。

ISMSは組織の活動となりますが、この活動には基準があります。
基準として、国際標準化機構（ISO）、国際電気標準会議（IEC）、日本産業規格（JIS）の3つの規格があり、それぞれISMS、IEC27001、JIS Q 27001と呼ばれます。
ISO/IEC27001という表記がありますが、これはISOとIECが共同で行っている基準だからです。
さらにJIS Q 27001は、ISO/IEC27001を日本語訳したもので、ISO/IEC27001と同じ内容です。
なお、基準を満たして認証を受けた組織は、認証マークを使用することが認められています。
なお、最新版は2022年に改訂されたISO/IEC 27001:2022です。旧版（2013年版）からの移行期限は、2025年10月31日でした。

ISMSとは、Information Security Management Systemの頭文字を取ったもので、日本語では「情報セキュリティマネジメントシステム」となります。
マネジメントとは「管理」、システムは「仕組み」となりますので、「情報セキュリティを管理するための仕組み」と言うことになります。
ISMSでは、情報セキュリティを構成する3つの要素（機密性、可用性、完全性）があり、機密性は「必要のない者にアクセスを許可しない」、可用性は「必要な時にデータが利用できる」、完全性は「データがいつも正しい」といったことです。
セキュリティと聞くと、とかく保護の観点ばかり思いつきますが、ISMSでは、この3つをバランス良く運用することが重要とされています。