1. 意思決定の背景と実務上の重要課題
大手エンタープライズ企業との取引基本契約の締結、官公庁入札への参加資格取得、あるいは急成長SaaSプロダクトのセキュリティ信頼性担保において、ISMS（ISO/IEC 27001）認証の取得は事実上の参入障壁として機能している。近年はISO/IEC 27001:2022への改訂に伴い、クラウドセキュリティ管理策（附属書A 5.23、5.32、8.12など）の厳格化が進み、審査基準は年々高度化している。
この認証取得に直面した経営陣および現場責任者が必ず突き当たるのが、「コンサルティング会社へ外注すべきか、規程ひな形を購入して自社内製で突破すべきか」という調達方針の対立である。
- コンサルティング起用派の論拠： 「審査落ちによる取引機会損失リスクをゼロにし、最短期間（6ヶ月前後）で確実に認証を取得したい」
- 内製化推進派の論拠： 「100万〜250万円に及ぶコンサル費用を削減し、自社業務にフィットした生きた規程を定着させたい」
両者の主張はいずれも一理あるが、実務上の意思決定において致命的なのは「コンサル費用という見えやすいキャッシュアウト」のみに目を奪われ、「社内リソースの拘束に伴う見えない人件費（不可視コスト）」および「審査手戻りや期間遅延による機会損失（ビジネスリスク）」を数理的に算定していない点にある。
ISMS審査は、第一段階審査（文書審査）と第二段階審査（現地・実地審査）の二段構えで行われ、不適合（重大・軽微）が検出された場合は是正処置要求（CAR）への対応が完了するまで認証が発行されない。本稿では、一般財団法人日本情報経済社会推進協会（JIPDEC）が公開する適合性評価制度データ、および主要審査機関（BSI、JQA、ビューローベリタス、SGS等）の標準審査工数（Man-Day算定テーブル）に基づき、自社取得と外部委託の経済的・工数的境界線を冷徹に解き明かす。
2. 【条件別】損得分岐マトリクス（早見表）
企業の体制、保有スキル、取得期日、対象スコープ（従業員規模）の掛け合わせによって、どちらの選択肢が総コスト・リスク両面で優位に立つかは決定的に異なる。以下に、意思決定の拠り所となる損得分岐マトリクスを示す。
表1：ISMS新規取得におけるアプローチ別・損得分岐マトリクス
| 組織の現行体制・制約条件 | 取得目標期間 | 推奨アプローチ | 想定初期キャッシュアウト（審査費＋外部費） | 推定社内拘束工数（総人月） | 総合判定と経済合理性の根拠 |
|---|---|---|---|---|---|
| 専任情シス・有資格者在籍 （情報処理安全確保支援士、CISA等） 従業員50名未満 | 12〜18ヶ月 （期日に余裕あり） | 完全内製 （公開資料＋市販規程ひな形） | 80万〜120万円 （審査費用のみ） | 3.5〜5.0人月 （約180万〜260万円相当） | 内製推奨（費用対効果：最高） コンサル費150万円を純粋に浮かせられる。自社エンジニアのセキュリティ理解が進み、運用定着率も極めて高い。 |
| 専任情シス在籍 従業員50〜150名未満 | 6〜9ヶ月 （年度内必須） | ハイブリッド型 （ISMS運用SaaS＋スポット助言） | 180万〜260万円 （審査費＋ツール＋スポット費） | 2.0〜3.0人月 （約110万〜160万円相当） | ハイブリッド推奨 規程策定とタスク管理をツールで自動化しつつ、リスクアセスメントの妥当性評価のみプロのレビューを受ける。 |
| 兼務情シス／総務兼任 （専任セキュリティ担当不在） 従業員30〜100名 | 6〜8ヶ月 （大型商談・入札条件） | 完全伴走コンサル （専任コンサルタント常駐/定期） | 250万〜380万円 （審査費＋フルコンサル費） | 1.0〜1.5人月 （約60万〜90万円相当） | コンサル推奨（リスク回避最優先） 兼務者が内製を試みると日常業務が破綻し、期間内に取得できない確率が跳ね上がる。遅延による商談失注損失がコンサル費用を上回る。 |
| 兼務情シス／創業初期 従業員20名未満・スタートアップ | 4〜6ヶ月 （最短取得が至上命題） | ISMS認証特化型SaaS （テンプレート＋審査直結プラン） | 160万〜230万円 （審査費＋SaaS利用料） | 0.8〜1.2人月 （約45万〜70万円相当） | 特化SaaS推奨 AWS/GCP等のクラウド連携によるエビデンス自動収集を活用し、ドキュメント作成負荷を最小化してスピード取得を狙う。 |
| 全社取得（複数拠点） 従業員150名以上・工場/支店あり | 12ヶ月前後 | 大手コンサルティング （個別設計・現地監査対応） | 450万〜700万円 （審査費＋個別構築コンサル） | 4.0〜6.0人月 （約240万〜360万円相当） | コンサル推奨（内部摩擦回避） 拠点ごとの物理的セキュリティ確認や業務プロセスの標準化は内製では政治的・実務的調整がつかず破綻するため。 |
※社内工数の金額換算レートは、情シス・セキュリティ担当者の標準人件費（単価50万円〜60万円/人月：額面＋法定福利費・間接費込み）として算出。
3. 【徹底対比】主要選択肢の構造・スペック・料金比較
ISMS取得における「完全内製」「伴走型コンサルティング」「ISMS特化型SaaS（運用クラウド）」の3つの選択肢について、構造、業務分担、責任範囲、納品物の精度を機能単位で分解・対比する。
表2：ISMS新規取得手法のスペック・機能・責任分解対比表
| 比較項目 | ① 完全内製型（自社リソース＋ひな形） | ② 伴走型コンサルティング（人的役務） | ③ ISMS特化型SaaS（運用クラウド伴走） |
|---|---|---|---|
| 初期キャッシュアウト（税別） | 80万〜130万円 ・審査機関費用：80万〜120万円 ・規程ひな形・参考書籍代：約10万円 | 230万〜400万円 ・審査機関費用：80万〜150万円 ・コンサルティング料：150万〜250万円 | 180万〜280万円 ・審査機関費用：80万〜130万円 ・SaaS年間利用料＋伴走：100万〜150万円 |
| 標準取得期間 | 10〜14ヶ月（手戻りリスクあり） | 5〜7ヶ月（工程管理が厳格） | 4〜6ヶ月（テンプレート適合型） |
| 適用規格バージョン | ISO/IEC 27001:2022（自力差分適用） | ISO/IEC 27001:2022（最新基準対応） | ISO/IEC 27001:2022（システム側で自動対応） |
| 適用範囲（スコープ）策定 | 社内協議のみで決定（過大設定の危険あり） | 最小限かつビジネス要件を満たす範囲を設計 | 画面上の質問に回答することで半自動決定 |
| 規程・マニュアル類作成 | 市販ひな形を基に自社向けに全面書換 | 自社ヒアリングを基にコンサルが代行作成 | クラウド上のテンプレートを微修正して出力 |
| 情報資産棚卸・リスク特定 | Excel等を用いゼロから設計・評価 | 標準アセスメントシートを用い助言・レビュー | クラウド連携で資産自動検出＋定型リスク割当 |
| 附属書A 管理策の選定 | 93項目の管理策を自力で妥当性検証 | 必須/除外の理由書をコンサルが作成支援 | 画面上のオン/オフで適用宣言書（SoA）自動出力 |
| 従業員セキュリティ教育 | 教育資料の自作、受講ログの手動集計 | 提供資料による講習実施、またはeラーニング | クラウド標準搭載のミニテスト・受講ログ自動集計 |
| 内部監査の実施 | 自社で有資格者を育成または他部署監査 | コンサルタントが模擬監査人として代行/同席 | 内部監査チェックリスト提供＋事務局支援 |
| マネジメントレビュー支援 | 経営陣への報告資料・議事録を自作 | 報告用サマリー作成および論点整理支援 | 管理ダッシュボードの出力でそのまま報告可 |
| 審査当日の立ち会い | 自社メンバーのみで審査員へ直接回答 | オブザーバー同席（審査員からの質問を補助） | 画面共有による証跡提示支援（プランによる） |
| 審査後の不適合対応（CAR） | 自力で原因分析と是正処置報告書を作成 | 是正報告書の文案作成および審査機関折衝 | 是正処置のサンプル提供およびチャット相談 |
各アプローチの構造的メリット・デメリット
1. 完全内製型
- 長所: 外部キャッシュアウトが審査機関への支払い（登録料・審査工数料）のみで完結する。規程の全条文を自力で作成するため、組織内でのセキュリティ規程への解像度が極めて高くなる。
- 短所: 審査員から規格要求事項の解釈ミスを指摘された場合、是正処置に数ヶ月を要し、最悪の場合は追加審査（追加人日費用：1日あたり15万〜20万円）が発生する。情シス専任者が他業務を停止せざるを得なくなる。
2. 伴走型コンサルティング
- 長所: 過去数十〜数百社の審査通過実績に基づく「審査員が納得するドキュメント表現」を熟知しているため、最短スケジュールで審査日程を確定できる。社内工数を通常の3分の1以下に抑制可能。
- 短所: コンサルタントが作成した規程が「審査を通過するためだけの形骸化した文書」になりやすく、次年度以降の維持審査（サーベイランス審査）において、自社で運用を回せなくなるリスクがある。
3. ISMS特化型SaaS（クラウド運用）
- 長所: Google Workspace、Microsoft 365、AWS等のAPIと連携し、従業員のアカウント管理やアクセス権限の棚卸証跡を自動取得できる。タスク管理機能により運用漏れを防ぎやすい。
- 短所: SaaS利用料が毎年発生するため、3年以上のスパンで見ると累計コストがコンサル単体発注時と逆転する場合がある。自社独自の業務フローがSaaSの仕様と合致しない場合、無理な運用変更を強いられる。
4. 【規模別・年数別】3年間の実額TCO（総保有コスト）シミュレーション
ISMSは「取得して終わり」の認証ではない。認証の有効期限は3年間であり、取得翌年（1年目）および翌々年（2年目）に「維持審査（サーベイランス審査）」、3年目に「更新審査（再認証審査）」が義務付けられている。
したがって、意思決定は初期取得費用だけでなく、3年間のライフサイクル全体における総保有コスト（TCO: Total Cost of Ownership）で評価しなければならない。
試算モデルの前提条件
- 対象組織規模: 従業員50名前後（単一拠点、ソフトウェア開発・ITサービス業）
- 内部人件費単価: 3,500円/時間（標準的な情シス・総務担当者の一時間あたりコスト：月額給与＋賞与＋法定福利費を実働160時間で除算）
- 審査機関費用（JIPDEC認定国内審査機関の平均値）:
- 初回審査（ステージ1＋ステージ2）：100万円
- 1年目サーベイランス審査：40万円
- 2年目サーベイランス審査：40万円
- 3年目更新審査：70万円
- コンサルティング費用:
- 初回取得時：180万円
- 運用継続支援（年次顧問）：年間40万円（利用する場合）
- ISMS運用SaaS費用: 年間利用料 90万円（月額7.5万円換算）
表3：50名規模における3年間の実額TCO比較シミュレーション
| コスト内訳項目 | パターンA：完全内製 | パターンB：伴走コンサル（取得時のみ） | パターンC：伴走コンサル（3年間顧問） | パターンD：ISMS特化型SaaS（3年継続） |
|---|---|---|---|---|
| 【初期費用】審査機関費用 | 1,000,000円 | 1,000,000円 | 1,000,000円 | 1,000,000円 |
| 【初期費用】外部支援/SaaS初期 | 100,000円（ひな形代） | 1,800,000円 | 1,800,000円 | 900,000円（初年度） |
| 【初期費用】取得時・社内人件費 | 2,240,000円 （640時間：4人月） | 672,000円 （192時間：1.2人月） | 672,000円 （192時間：1.2人月） | 560,000円 （160時間：1人月） |
| 初年度 取得総コスト小計 | 3,340,000円 | 3,472,000円 | 3,472,000円 | 2,460,000円 |
| 【2年目】維持審査費用 | 400,000円 | 400,000円 | 400,000円 | 400,000円 |
| 【2年目】外部費用/SaaS更新 | 0円 | 0円 | 400,000円 | 900,000円 |
| 【2年目】社内運用人件費 | 560,000円（160時間） | 840,000円（240時間：自走化負荷） | 280,000円（80時間） | 280,000円（80時間） |
| 【3年目】維持審査費用 | 400,000円 | 400,000円 | 400,000円 | 400,000円 |
| 【3年目】外部費用/SaaS更新 | 0円 | 0円 | 400,000円 | 900,000円 |
| 【3年目】社内運用人件費 | 560,000円（160時間） | 560,000円（160時間） | 280,000円（80時間） | 280,000円（80時間） |
| 【4年目】更新審査費用 | 700,000円 | 700,000円 | 700,000円 | 700,000円 |
| 【4年目】外部費用/SaaS更新 | 0円 | 0円 | 400,000円 | 900,000円 |
| 【4年目】社内更新対応人件費 | 840,000円（240時間） | 840,000円（240時間） | 420,000円（120時間） | 350,000円（100時間） |
| 3年間 累積総保有コスト（TCO） | 6,800,000円 | 7,212,000円 | 7,872,000円 | 7,670,000円 |
| 外部への実支払キャッシュアウト総額 | 2,600,000円 | 4,300,000円 | 5,500,000円 | 5,200,000円 |
数理分析から導かれる実態
-
内製とスポットコンサルの差額はわずか41万円: 社内人件費を正確に積算した場合、初期取得における「完全内製（パターンA）」と「取得時のみコンサル起用（パターンB）」の差額は、3年累計でわずか約41万円に過ぎない。内製で浮かせたコンサル料180万円の大部分は、社内担当者の膨大な作業工数（初期で約640時間、更新審査を含め計1,200時間超）によって相殺されている。
-
「取得時コンサル切り」の2年目落とし穴: パターンBにおいて最も危険なのは2年目である。コンサルタントが作成した規程の文脈を自社で把握できていない場合、初回の維持審査に向けて自力で記録を揃えようとした段階で、内製以上の社内工数（240時間）を消費し、現場が疲弊する。
-
SaaSモデルのキャッシュフロー特性: パターンD（SaaS型）は、初期の立ち上げスピードと人件費抑制において最も優れているが、毎年の固定費が重く、3年累計の総支出キャッシュアウトは520万円に達する。4年以上運用を続ける場合は、内製への切り替えを行わない限りコスト効率が悪化し続ける。
🧭 【この分岐とあわせて検討したい意思決定バイブル】
関連する周辺領域の損得分岐点もあわせて確認し、全体の費用対効果を最大化してください。
- 🔗 【ISMS（ISO27001）認証取得】コンサルタント丸投げ（200万〜） vs 支援SaaS（Seculio等）の費用・工数分岐
【損得分岐】初期取得費用（150万〜300万円 vs 50万〜100万円）、社内規程策定と従業員教育の工数負担差を比較- 🔗 【ものづくり・IT導入補助金】成功報酬コンサルタント（15%〜20%） vs 自社Jグランツ申請の損得分岐
【損得分岐】申請補助金額（100万、500万、1000万）に対するコンサル手数料差額と、書類不備による不採択リスクの比較
5. 実務で直面する「3大失敗パターン」と生々しい回避策
ISMSの構築・審査プロセスにおいて、現場が陥る典型的な失敗はパターン化されている。実務で頻発する3大失敗のメカニズムと、その回避策を詳述する。
失敗パターン1：市販ひな形の「全部盛り」による自縄自縛と運用崩壊（内製時の典型例）
現象
内製化を目指す担当者が最もやってしまう過誤が、「審査で落とされたくない」という防衛心理から、市販の規程集テンプレートに記載されている最も厳しいルールをそのまま自社の規程として採用してしまうケースである。
- 例：「USBメモリ等の外部記録媒体は原則全面禁止とし、使用時は事業部長の事前承認と台帳記録を必須とする」
- 例：「ソースコードの変更はすべて情報セキュリティ責任者の事前承認を要する」
- 例：「パスワードは90日ごとに変更し、過去5回と異なる16桁以上とする」
結果
日々の開発・営業活動のスピードが致命的に低下し、現場は規程を無視した「シャドーIT」運用を開始する。第一段階審査は通過するものの、1年後の維持審査（サーベイランス）で審査員から規程通りの承認ログや台帳記録の提示を求められた際、運用実績が全く存在しないことが発覚し、重大な不適合（メジャー不適合）判定を受けて認証停止のリスクに直面する。
生々しい回避策
- 「自社がすでに実行できている運用」を規程のベースにする: 規程は理想論を書く場所ではない。JIPDECおよびISO 27001の要求事項は「ルールを決め、それを遵守し、改善している証跡があること」を求めているのであり、すべての項目で最高レベルのセキュリティを求めているわけではない。
- リスク受容の論理を確立する: 例えば「開発スピードを優先するため、GitHubのプルリクエストにおけるピアレビューをもって変更承認とみなす」など、現行の開発フローをそのままISMS規程の文言として定義し、リスクアセスメントシート側で「開発効率とのバランスを考慮し、リスクを受容する」と論理武装しておく。
失敗パターン2：コンサルタントへの「丸投げ」による実地審査での沈黙（外注時の典型例）
現象
「忙しいので規程作成から台帳作成まで全部やってほしい」と依頼し、コンサルタントが提出してきた数十種類のWord・Excelファイルを、社内レビューもせず受領・押印だけして審査本番を迎えるケース。
結果
第二段階審査において、審査員は規程を作成したコンサルタントではなく、現場の責任者（開発リーダー、総務担当、事業部長、経営陣）に直接質問を浴びせる。
- 審査員：「〇〇規程第12条に『年に1回、暗号化鍵の更新を行う』とありますが、直近はいつ誰がどのように更新しましたか？その証跡を見せてください」
- 現場責任者：「えっ……それは……（規程のどこに書いてあるか把握していない）」
- コンサルタントが助託・代弁しようとすると、審査員から「コンサルタントの方は発言を控えてください。現場の方の理解度を確認しています」と制止され、審査室が凍りつく。
生々しい回避策
- コンサルタントの業務範囲を「代行」ではなく「ファシリテーション」に限定する契約を結ぶ: ドキュメントの起草はコンサルに依頼しても構わないが、「社内レビュー会議（週1回1時間）」を必須とし、各条文が自社の誰のどの業務に紐づいているかを担当者に逆プレゼンさせるプロセスを組み込む。
- 模擬審査（プレ監査）の徹底: 本番審査の2週間前に、コンサルタントに「意地悪な審査員役」をやらせ、各部署のマネージャーに対して徹底的なロールプレイングを実施する。最低限、「規程ファイルの保存場所」「インシデント発生時の報告フロー」「自部署で取り扱う重要資産」の3点は即答できるように訓練する。
失敗パターン3：スコープ設定ミスによる「無駄な費用・工数の激増」
現象
SaaS事業の信頼性証明のためにISMSが必要であるにもかかわらず、適用範囲（スコープ）の定義を検討せず、安易に「全社（本社、支社、関連子会社、すべての事業部門）」で申請してしまうケース。
結果
審査機関の審査費用（工数＝人日数：Man-Days）は、ISO/IEC 27006の国際基準に基づき、「適用範囲内の全従業員数（パート・業務委託を含む）」および「拠点数」「業務の複雑性」で機械的に算出される。 従業員15名の開発部門だけがISMSを必要としていたにもかかわらず、全社200名（営業部門、コールセンター、バックオフィス等）をスコープに含めた結果、初期審査工数が「3人日（約60万円）」で済むはずが「10人日（約180万円）」へと跳ね上がり、120万円以上の余剰な審査費用を毎年払い続ける羽目になる。さらに、ISMSとは無関係な総務や経理の全PCの台帳管理やスクリーンセーバー設定の監査工数が発生する。
生々しい回避策
- スコープを「特定事業部門・特定プロダクト」に限定して認証取得する: 登録証の記載事項を「〇〇クラウドサービスの開発・運用」およびそれを所管する「プロダクト事業部」に限定して申請する。取引先が求めているのは「自社のデータを預けるサービスのセキュリティ担保」であるため、これで大手企業との契約条件は完全にクリアできる。
- 後から拡大する設計にする: まずは最小工数・最小費用で特定事業部のみ取得し、全社的なガバナンスが必要になった段階で、3年後の更新審査時にスコープ拡大申請を行う。
6. あなたの最適解を導く「意思決定フローチャート」
自社が「完全内製」「伴走コンサル」「ISMS特化型SaaS」のいずれを選択すべきか、4つの実務的な質問から客観的に判断するためのディシジョンツリーである。
[START]
│
▼
【Q1: 認証取得の「絶対期日」まで、現在から何ヶ月の猶予があるか？】
├─ 8ヶ月未満（大型商談・入札・提携の前提条件） ─────┐
│ │
└─ 8ヶ月以上ある │
│ │
▼ │
【Q2: 社内にセキュリティ・インフラ専任の担当者（情シス等）が在籍しているか？】 │
├─ いいえ（他業務と兼務、または総務担当者） ────────────┤
│ │
└─ はい（専任者が1名以上存在） │
│ │
▼ │
【Q3: 専任担当者は「週15時間（約2日分）」をISMS取得業務に継続投下できるか？】 │
├─ いいえ（日常の運用・保守・ヘルプデスクで手一杯） ────┤
│ │
└─ はい（他プロジェクトを調整し工数確保可能） │
│ │
▼ │
【Q4: 開発・本番環境にAWS/GCP/Azure等のパブリッククラウドを標準採用しているか？】
│ │
├─ はい ─────────────────────────┐ │
│ │ │
└─ いいえ（オンプレ・受託・非IT中心）│ │
│ │ │
│ │ │
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ 【ルートA】 │ │ 【ルートB】 │ │ 【ルートC】 │
│ 完全内製 │ │ ISMS特化型 │ │ 伴走型コンサル│
│ アプローチ │ │ SaaS導入 │ │ ティング │
└──────────────┘ └──────────────┘ └──────────────┘
各判定ルートの処方箋
【ルートA】完全内製アプローチ
- 適合条件: 期限に余裕があり（8ヶ月以上）、専任者が週15時間以上コミットでき、レガシー環境や独自業務が多い組織。
- 推奨アクション:
- JIPDEC公式サイトから「JIS Q 27001:2023（ISO/IEC 27001:2022）」の規格要求事項を購入して読破する。
- 信頼できる公的機関・コンサル会社が販売している「2022年改訂版対応の規程ひな形セット（10万〜15万円程度）」を購入。
- 自社の実態に合わせて規程の除外規定を作成し、審査機関へ見積依頼（相見積もり3社）を即時実施する。
【ルートB】ISMS特化型SaaS導入
- 適合条件: クラウドネイティブな環境で、専任者の工数は確保できるが、ゼロからのドキュメント作成やエビデンス集めの工数を極小化したい組織。
- 推奨アクション:
- 主要ISMS SaaS（Seculio、SecureNavi等）のデモを依頼し、自社利用ツール（Google Workspace、GitHub、AWS等）とのAPI連携範囲を確認。
- SaaSベンダーが提携している審査機関の紹介を受け、SaaSのUI画面をそのまま審査証跡として認める審査機関を選定する。
【ルートC】伴走型コンサルティング
- 適合条件: 取得期限が迫っている（8ヶ月未満）、または専任者が不在・兼務で工数を割けない組織。
- 推奨アクション:
- 最低3社からコンサルティング見積もりを取得。「実働でどこまで規程作成を代行してくれるか」「第一段階・第二段階審査に同席してくれるか」を明確に確認。
- 審査機関の予約をコンサル選定と「同時」に行う（審査機関の枠が埋まっていて取得が遅れるリスクを遮断する）。
7. 現場で迷ったときのFAQ（よくある質問5選とズバリ回答）
Q1. 審査費用は審査機関によってどれくらい違いますか？安さだけで選んで問題ないでしょうか？
回答: 審査費用は機関によって最大で30%〜50%程度の価格差が存在する。一般的に、歴史の長い国内公益財団系（JQA等）や外資系大手（BSI等）は人日レートが高め（1日あたり18万〜22万円）に設定されている一方、新興の民間登録審査機関では1日あたり12万〜15万円程度で提供しているケースがある。
ただし、「安さだけ」で選ぶのは極めて危険である。理由は2点ある。
- 大手エンタープライズ顧客によっては、指定審査機関（知名度の高い審査機関）による認証でないと取引先審査で難色を示すケースが実在する。
- 格安の審査機関は審査日程の融通が利かず、審査員の当たり外れ（最新のクラウド開発手法を理解できず、無意味な紙運用の証跡を要求するなど）が大きい。相見積もりを取る際は、金額だけでなく「自社と同業種（特にIT/SaaS等）の審査実績数」を必ず確認すべきである。
Q2. ISO/IEC 27001の「2022年改訂版」で何が変わりましたか？内製の難易度は上がっていますか？
回答: 難易度は確実に上がっている。2022年改訂版では、付属書Aの管理策が従来の114項目・14カテゴリから「93項目・4カテゴリ（組織的、人的、物理的、技術的）」へ再編された。
特に以下の新規管理策への対応が、内製時の大きなハードルとなる。
- A.5.23 クラウドサービスの利用における情報セキュリティ: 利用しているすべてのSaaS/IaaSのセキュリティ選定基準と評価記録の保持。
- A.5.30 業務継続のためのICTの準備状況: システム障害時のRTO（目標復旧時間）・RPO（目標復旧時点）の定義と検証。
- A.8.9 構成管理: サーバーやネットワーク機器のセキュアな構成テンプレートの管理。
- A.8.12 データ漏えい防止: DLP等の技術的対策の検討。
これらを自社の規程に正しく落とし込み、適用宣言書（SoA）を作成するには、現代的なインフラ・クラウドアーキテクチャの知識が不可欠である。
Q3. コンサルタントを使っても「審査に落ちる」ことはありますか？
回答: 結論から言えば、「重大な不適合（Major Non-conformity）」が検出されて認証が完全に否認されるケースは、コンサルタントが入っている場合は実務上ほぼゼロである。
審査において不適合が出たとしても、通常は「是正処置要求（CAR）」が出され、90日以内に是正計画および改善証跡を提出すれば認証は下りる。コンサルタントはこの是正報告書の作成ノウハウを持っているため、最終的に取得できないという事態は回避される。 ただし、「予定していた取得目標月に間に合わない（審査機関側のスケジュール遅延や是正対応期間の長期化）」という「スケジュールの失敗」はコンサルを入れていても頻発する。
Q4. 自社に「内部監査員」の有資格者がいません。外部講習の受講は必須ですか？
回答: ISO 27001規格上、特定の公的資格（IRCA認定等）を持った内部監査員を配置することは「義務」ではない。規格が求めているのは「客観的かつ公平に監査を実施できる能力（力量）があること」である。
したがって、社内の規定に基づき「ISMS規格要求事項および内部監査手順について社内教育を修了した者」を社内認定すれば、資格がなくても内部監査員を務めることは法的に可能である。 ただし、審査員から内部監査員の力量の根拠（どのような教育を受けたか）を問われるため、内製の場合は外部研修機関（JIPDEC認定研修機関等）の「ISMS内部監査員養成コース（1〜2日間、受講料1名あたり5万〜10万円）」を最低1〜2名に受講させておくのが最も安全で反論の余地がない実務対応である。
Q5. 従業員数が増えると、維持審査や更新審査の費用はどれくらい上がりますか？
回答: 審査工数は国際認定フォーラム（IAF）の基準（IAF MD5）に準拠して決定されるため、従業員規模のステップ（閾値）を跨ぐと段階的に上昇する。
- 1〜10名
- 11〜25名
- 26〜45名
- 46〜65名
- 66〜85名
- 86〜125名
例えば、新規取得時に40名（工数：ステージ1＋2で計4.5〜5.5人日）だった組織が、事業拡大により80名に増加した場合、維持審査であっても当初想定より人日数が0.5〜1.5人日追加され、年間費用が10万〜30万円程度自動的に加算される。採用計画と照らし合わせ、審査工数のジャンプアップを予算計画に織り込んでおく必要がある。
8. 結論と今すぐできるアクションプラン
ISMS新規取得における「内製 vs コンサル」の議論は、感情論や表面的なコンサル費用の大小で決めるべきではない。本質は以下のトレードオフである。
- 内製を選ぶということは: 「現金支出を150万〜200万円抑制する代わりに、専任エンジニアの貴重な時間（約400〜600時間）をドキュメンテーションと審査対応に差し出す」という経営判断である。
- コンサル・SaaSを選ぶということは: 「200万〜350万円の安全料を支払い、本業のプロダクト開発や事業推進を一切止めずに、最短ルートで大手取引の前提切符を買う」という投資判断である。
専任者が不在、あるいは直近6〜8ヶ月以内に大手顧客との契約やコンペが控えている状況下での内製挑戦は、経済合理性を欠いた極めて危険なギャンブルと言わざるを得ない。一方、1年以上の時間的猶予があり、社内のセキュリティガバナンス体制を自力でゼロから構築し、技術的知見を組織に資産化したい場合は、完全内製こそが最良の選択肢となる。
今週中に着手すべき「最初の3ステップ」
- 「絶対デッドライン」の逆算確定: 認証登録証のコピーが手元に必要な期日（商談、入札、公開日）を特定する。審査完了から登録証発行までは「約1〜1.5ヶ月」かかるため、そこから逆算して「最終現地審査のタイムリミット」をカレンダーに打刻する。
- スコープの暫定画定と審査機関へのコンタクト: 全社取得にするのか、クラウドサービス開発部門のみにするのかを決定し、主要審査機関（2〜3社）へ「見積依頼（見積用質問票の提出）」を行う。審査機関の枠を仮押さえすることが最重要ボトルネックの解消につながる。
- 社内専任工数のアサイン判定: 本稿の意思決定フローチャートに基づき、情シス・セキュリティ担当者が「週15時間」をISMSに捧げられるかを社内調整する。1時間でも不足する場合は、即座に伴走コンサルティングまたはISMS特化型SaaSの導入へ舵を切り、相見積もりを開始せよ。