今からISMS（情報セキュリティマネジメントシステム）を取得しようとするとどれくらいかかるか、というご相談を受けることがあります。
お答えとしては、体制づくりから認証取得まで6〜12ヶ月です。 認証の対象をどこまで広げるか、いまの管理の状況と規格の求めるものにどれくらい差があるか、審査の日程が取れるかで前後します。
最低半年と長く聞こえるかもしれませんが、この期間ずっと手を動かし続けるわけではありません。 審査では、規程があるかどうかだけでなく、それが決めたとおりに運用してきたか、そしてその記録が残っているかも確認されます。 記録は運用した期間の分しか溜まりませんので、後半の数ヶ月は、それが溜まるのを待つ時間になります。
つまり、貴社が動かせるのは前半の決めごとのほうです。 最初の90日で何をどこまで決めるかが、そのまま残りの期間の重さになります。
最初の30日で決める体制と範囲
この30日で決めるのは、推進体制、認証の対象とする範囲、そしてどこに審査を頼むかの3つです。
体制には、後ろ盾になる経営層を1名、実務の推進担当を1〜2名置きます。 経営層は「いい感じにやっておいて」とあまり時間を割かないことが多いですが、ISMSは経営層のコミットメントが大事ということでしっかり捕まえておきましょう。
認証の対象とする範囲（適用範囲）は、全社でとるか、特定の事業や拠点に絞るかを決めますが、基本的には全社にしましょう。 絞る場合は合理的な理由がないと審査の際に説明が難しいですし、狭く絞りすぎると、取引先が期待する範囲から認証が外れてしまいます。 先に取引先が求める範囲を確認し、そのうえで関連する業務、拠点、システムの依存関係を見て境界を引いてください。
審査をして認証を出す第三者機関（認証機関）も、この時点で当たりを付けておきます。 初回の認証審査は、文書を見る第一段階と、運用の実態を見る第二段階の2回に分けて行われます。 日程は認証機関や時期によって変わりますので、空き状況と見積もりは早めに確認しておくことをおすすめします。
30〜60日は資産の棚卸しとリスクアセスメント
守るべき情報を洗い出し、リスクを評価し、対策を決める。 ISMSの中身はこの繰り返しで、最初の一周をこの30日で回します。
棚卸しの対象になるのは、顧客情報、契約書、ソースコード、認証情報などの守るべき情報と、それを扱う仕組みです。 全部を並べようとするとたいてい途中で止まりますので、重要なものを先に確定させて、あとから足していく形で構いません。 ISMSの審査でも最初から完全に洗い出すことは求められません。
リスクアセスメントでは、まず資産の価値を3つの観点で評価します。 漏れては困る度合い（機密性）、書き換えられては困る度合い（完全性）、使えなくなっては困る度合い（可用性）の3つです。 そのうえで、そこで起こりうる事象（脅威）と、それを起きやすくしている弱さ（ぜい弱性）を見ます。 資産の価値、脅威、ぜい弱性の3つを掛け合わせたものが、リスクの大きさです。 洗い出したリスクごとにリスク所有者、つまりそのリスクの扱いを判断する責任者を決めることも要求事項です。 同じ資産でもリスクが違えば所有者は変わりますので、資産単位ではなくリスク単位で決めてください。
ここで順序を間違えやすいのが、管理策（リスクを下げるために実施する具体的な対策）です。 規格の附属書Aにはこの管理策が93個並んでいますので、一覧を上から埋めていけばよさそうに見えます。 実際は逆で、リスクへの対応に必要な管理策を先に決め、そのうえで附属書Aと突き合わせて見落としがないかを検証する、という順序になります。 附属書Aはチェックリストではなく、漏れを確認するための参照先だと考えてください。
突き合わせてみると、すでにやれていることも多いはずです。 この工程は日頃の情報管理の実態がそのまま出ますので、アカウント台帳や端末台帳が整っている会社は速く進みますし、整っていない会社は、そこから始めることになります。
60〜90日で文書と記録の骨格をつくる
ここまでで決めたことを、文書の形にしていきます。 先に着手したいのは、ISMSの適用範囲、情報セキュリティ方針、リスクアセスメントの手順、そして適用宣言書です。
適用宣言書は中身の指定が細かいので、そこだけ気をつけてください。 必要と判断した管理策ごとに、採用した理由と実施状況を書きます。 附属書Aから除外した管理策についても、除外の理由を残します。 規程のテンプレートを土台にするのは構いませんが、自社でやっていない手順がそのまま残らないよう、実態に合わせて書き換えてください。
規格が文書化を求めているものは、ほかにもあります。 この時期に関係するのは、情報セキュリティ上の目標、リスクの評価と対策の結果、そして点検の記録あたりです。 点検には、自社で自社のISMSを点検する内部監査と、経営層がISMSの状況を確認して評価するマネジメントレビューの2種類があります。 ただしこれらの多くは規程ではなく記録です。 90日の時点で書き上げるものではなく、この先の運用の中で溜まっていくものだと考えてください。
その記録が溜まる仕組みも、この時期に用意しておきます。 アクセス権の申請記録、教育の実施記録、インシデント対応の記録。 審査で見られるのは文書だけでなく運用の事実ですから、あとからまとめて作れるものではありません。 とはいえ、新しい仕組みを入れる必要はありません。 申請をチャットで受けているなら、申請者、承認者、対象の権限、実施結果が後から追える形にしておけば、審査で示せる記録になります。 退職時のアカウント処理は、記録を求められる代表例です。 具体的な手順はオフボーディング設計の記事にまとめています。
教育と点検の日程も、この時点で押さえておきます。 全員向けのセキュリティ教育、内部監査、マネジメントレビューの3つは、いずれも審査までに実施した記録が要ります。 冒頭で書いた「記録が溜まるのを待つ時間」の中身が、これに当たります。 審査日から逆算して枠を取っておいてください。
失敗パターンから逆算する
ご相談の中で見てきた、避けたいパターンを3つ挙げます。
文書一式を買って終わりにしてしまうパターン。 自社の実態と乖離した規程は、審査で指摘される前に現場で守られなくなりますし、「書いてあるのにやっていない」状態も、審査で指摘されやすくなります。
担当者ひとりの孤軍奮闘になるパターン。 教育も点検も記録も全部署に関わりますので、一人で回しきれる量ではありません。 経営層が「取引に必要な投資」として号令をかけるかどうかで、協力の得やすさは大きく変わります。
そして、認証取得がゴールになるパターン。 認証の有効期間は3年で、その間は年1回（組織によっては半年ごと）、運用が続いているかを見るサーベイランス審査があり、3年目には認証を続けるための更新審査を受けます。 初年度に無理な仕組みを作り込むと、2年目以降に運用を続けられません。 回し続けられる最小限から始めるほうが、結果として早く落ち着きます。
ISMS認証とSCS評価制度の関係
最初の30日で取引先が求める範囲を確認する、と書きました。 そのときに、求められているのが本当にISMS認証なのかも、あわせて確かめてください。
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の状況を共通の基準で評価し、★の段階で示す国の制度です。 経済産業省と内閣官房が制度構築方針を定め、IPA（情報処理推進機構）が運営します。 ★3・★4の要求事項と評価基準は2026年3月に公表済みで、申請受付は2027年1〜3月頃に始まる予定です（2026年8月時点の公表情報）。
ISMSの置き換えではありません。 経済産業省は、SCS評価制度とISMS認証を相互に補完し合う関係と説明しています。 ただし、要求事項の立て付けは別です。 ISMSで整備した規程や記録がそのまま通るわけではありませんので、SCSの要求事項ごとに、何を再利用できて何が足りないかを照らし合わせることになります。
なお制度は任意で、取得しないことで商取引が規制されるものではないと経済産業省は説明しています。 「取得しないと取引できなくなる」という触れ込みの勧誘については、経済産業省と内閣官房が2026年4月に注意喚起を公表しました。 取引先からの要請があるかどうかを確認したうえで、要否から検討することをおすすめします。
90日目に何が残っているか
90日が過ぎた時点で、次の4つが埋まっていれば予定どおりです。 推進体制と後ろ盾になる経営層、承認された適用範囲、優先順位を付けたリスクと対応方針、そして内部監査の実施日。
このうち適用範囲の承認と内部監査の日程が決まっていないなら、審査の申し込み時期を見直すことをおすすめします。 範囲が動けばリスクアセスメントからやり直しになりますし、内部監査の日程が決まらなければ、審査までに記録を揃えられる見通しが立たないからです。
逆に、この4つが埋まっていれば、残りは決めたとおりに回すだけです。 既にある台帳やルールを流用できるほど、その期間は軽くなります。
土台になるアカウントと端末の台帳整備については、ひとり情シスの台帳の記事で書いています。 SCS評価制度への対応を検討しているなら、SCS評価制度対応支援に制度の概要と支援の内容をまとめました。 体制づくりや台帳の整備から相談したいときは、情シス伴走支援をご覧ください。