ISMS運用とは、ISO/IEC 27001（JIS Q 27001）に沿って構築した情報セキュリティマネジメントシステムを、認証を取った後も計画どおりに実施し、評価し、直し続ける活動です。ISMS-ACの認定下にあるISMS認証の登録組織数は8,701（2026年9月28日時点）で、2013年版からの移行期限だった2025年10月31日を過ぎた今、これらの認証はすべて2022年版に基づいています。
この記事では、運用担当者が1年間に何をいつ行い、何を記録に残すかを、規格の箇条と認証審査のルールに沿って整理します。PDCAの考え方そのものはISMSのPDCAサイクルを回す方法、内部監査の手順はISMSの内部監査の進め方で詳しく扱っています。
まとめ｜ISMS運用で毎年回すことと残す記録
- JIS Q 27001は、リスクアセスメント・内部監査・マネジメントレビューの頻度を「あらかじめ定めた間隔で」としか決めていません。維持審査は再認証の年を除き少なくとも暦年に1回実施されます（JIS Q 17021-1 9.1.3.3）。これに合わせて年1回とするのは計画の一例で、各活動の間隔は組織が定めます。
- 年間スケジュールは維持審査の月から逆算して組むと整理しやすくなります。年次計画の一例は、リスクアセスメント→教育→内部監査→是正処置→マネジメントレビュー→審査です。
- 審査では、規程が要求事項を満たしているかに加え、実際の運用と記録が整合しているかを確認されます。文書化した情報は、適用範囲や方針、リスク対応計画、監査結果などを箇条別に整理し、採用した管理策に必要な文書も併せて確認します。
- 組織再編や新システム導入などの重大な変更があれば、年次を待たずにリスクアセスメントを実施します（8.2）。
- 「前年と同じリスク評価」「指摘ゼロの内部監査」「議題の読み上げで終わるマネジメントレビュー」は、形骸化を疑って記録と実態を照合するきっかけです。
ISMS運用の範囲｜規格の箇条8「運用」と取得後の維持活動の違い
「運用」という語は2つの意味で使われます。規格の箇条8「運用」は、8.1 運用の計画及び管理、8.2 情報セキュリティリスクアセスメント、8.3 情報セキュリティリスク対応の3つだけを指します。これに対して実務でいうISMS運用は、取得後に箇条4〜10の全体を回し続けることで、内部監査（9.2）、マネジメントレビュー（9.3）、不適合と是正処置（10.2）まで含みます。
構築（取得）との違いは、仕事の中身が「作る」から「更新して証拠を残す」へ移ることです。取得時に作った適用範囲、情報セキュリティ方針、リスクアセスメントの手順、適用宣言書は、運用段階では変化に合わせて改訂し、その改訂と実施の記録が審査の対象になります。規格全体の構成はISO27001とは？ISMS認証の全体像、ISMSとISO 27001の関係はISMSとISO 27001の違いで解説しています。
規格が決めている頻度と決めていない頻度
運用担当者が最初に迷うのは「内部監査は年何回か」「リスクアセスメントは毎年必要か」です。規格と認証審査のルールを並べると、回数が決まっているのは外部審査の側だけだと分かります。
| 活動 | 根拠 | 規定されている頻度 | 実務の目安 |
|---|---|---|---|
| リスクアセスメント | JIS Q 27001 8.2 | あらかじめ定めた間隔＋重大な変更時 | 年1回＋変更時 |
| 内部監査 | JIS Q 27001 9.2 | あらかじめ定めた間隔 | 年1回以上 |
| マネジメントレビュー | JIS Q 27001 9.3 | あらかじめ定めた間隔 | 年1回以上 |
| 監視・測定 | JIS Q 27001 9.1 | 実施時期を組織が決める | 月次〜四半期 |
| 維持審査（外部） | JIS Q 17021-1 9.1.3.3 | 再認証年を除き暦年1回以上（初回は認証決定から12か月以内） | 毎年 |
| 更新審査（外部） | 認証の有効期間 | 3年ごと | 3年目 |
JIS Q 17021-1の9.1.3.3は、維持審査を「再認証の年以外は少なくとも暦年に1回」実施し、初回認証に続く最初の維持審査は認証の決定日から12か月を超えてはならないと定めています。維持審査では内部監査とマネジメントレビューが確認対象になります。ただし、毎回の審査前に両方を新たに一巡させるという規定ではなく、自社で定めた計画に沿う実施状況と結果を説明できるようにします。年1回の内部監査とレビューを審査の前に置く計画にすると、審査時に直近の結果を示しやすくなります。
一方、規格側に回数の定めがないので、重要度の高い部門は年2回、変化の少ない部門は隔年という監査プログラムも組めます。9.2は監査プログラムを計画するときに「関連するプロセスの重要性及び前回までの監査の結果」を考慮するよう求めており、全部門を毎年同じ深さで見るよりも、重点に濃淡をつける方が規格の書き方に沿っています。
見落とされやすいのは8.2の後半です。リスクアセスメントは「重大な変更が提案されたか若しくは重大な変化が生じた場合」にも実施が求められます。クラウドへの移行、拠点の統合、主要な委託先の変更があった年は、年次の見直しとは別に実施して記録を残します。
年間運用スケジュール｜維持審査の月から逆算する12か月
維持審査の月を「M月」とした年間計画の一例です。審査の時期は認証機関との調整で毎年ほぼ固定されるため、そこから逆算すると抜け漏れが出にくくなります。
| 時期 | 主な作業 | 残す記録 | 箇条 |
|---|---|---|---|
| M-6〜M-5 | 課題・利害関係者の見直し、リスクアセスメント | リスクアセスメント結果、適用宣言書 | 4.1・4.2・8.2 |
| M-5〜M-4 | 全従業員の教育、理解度確認 | 受講記録、理解度テスト | 7.2・7.3 |
| M-4〜M-3 | 内部監査 | 監査計画、監査報告書 | 9.2 |
| M-3〜M-2 | 指摘事項の是正処置 | 是正処置の記録 | 10.2 |
| M-2〜M-1 | 目的の達成状況の集計、マネジメントレビュー | レビュー議事録 | 6.2・9.1・9.3 |
| M | 維持審査（3年目は更新審査） | 審査報告書 | － |
| 審査直後〜合意期限内 | 指摘への修正・是正処置 | 是正処置報告書 | 10.2 |
| 毎月 | アクセス権・ログ・バックアップの点検 | 点検記録 | 9.1・附属書A |
この順序には理由があります。マネジメントレビューのインプットには、内部監査の結果と不適合・是正処置の状況が含まれます（9.3.2）。年1回の内部監査結果を同じ年のレビューに反映する計画なら、監査後にレビューを置きます。監査やレビューを分散実施している場合は、利用可能な直近の結果を用い、必要に応じて追加レビューを行います。リスクアセスメントを先頭に置くのは、その結果を教育の内容と内部監査の重点に反映させるためです。
3年の認証周期では、1年目と2年目が維持審査、3年目が更新審査です。維持審査で毎回確認される項目と更新審査との違いはISMS維持審査とは？更新審査との違いに、審査費用を含む年間コストはISMS認証の取得・維持にかかる費用にまとめています。
運用で求められる文書化した情報｜2022年版の箇条別一覧
審査員は、運用が行われたことを記録で確かめます。JIS Q 27001:2023（ISO/IEC 27001:2022）が文書化した情報を明示的に求める箇所と、運用中に更新が必要になるタイミングは次のとおりです。
| 箇条 | 文書化した情報 | 作成・見直しの目安 |
|---|---|---|
| 4.3 | ISMSの適用範囲 | 組織・拠点・事業の変更時 |
| 5.2 | 情報セキュリティ方針 | マネジメントレビュー時 |
| 6.1.2 | リスクアセスメントのプロセス | リスク基準の変更時 |
| 6.1.3 | リスク対応のプロセス | 対応手順・リスク基準の変更時 |
| 6.1.3 e)・f) | リスク対応計画・承認の証拠 | 対応内容・残留リスクの変更時 |
| 6.1.3 d) | 適用宣言書 | 管理策の追加・除外時 |
| 6.2 | 情報セキュリティ目的 | 年度計画時 |
| 7.2 d) | 力量の証拠 | 教育・異動・資格取得時 |
| 8.1 | プロセスが計画どおり実施された確信を得る記録 | 随時 |
| 8.2 | リスクアセスメントの結果 | 年次・重大な変更時 |
| 8.3 | リスク対応の結果 | 対応の完了時 |
| 9.1 | 監視及び測定の結果 | 測定の都度 |
| 9.2.2 | 監査プログラムと監査結果 | 内部監査の都度 |
| 9.3.3 | マネジメントレビューの結果 | レビューの都度 |
| 10.2 | 不適合の性質、とった処置、是正処置の結果 | 不適合の都度 |
表にない規程や手順書は、7.5.1 b)の「ISMSの有効性のために必要であると組織が決定した」文書化した情報で、量は組織が決めてよいものです。7.5.1の注記も、文書化した情報の程度は組織の規模、プロセスの複雑さ、人々の力量によって異なりうるとしています。運用が重くなっている組織は、各文書の必要性を確認してください。組織がISMSの有効性のために必要と判断した文書も維持対象であり、表にないことだけを理由に廃止できません。統合や廃止は、要求事項と業務上の必要性を満たせることを確認して判断します。
管理策ごとの運用手順（アクセス権のレビュー、バックアップ、ログの監視など）は、附属書Aの93管理策のうち適用宣言書で採用したものに応じて決まります。管理策の一覧と選び方はISMSの管理策とは？附属書Aの93項目と選定手順で解説しています。
ISMS運用体制｜事務局・部門担当・内部監査員の役割分担
JIS Q 27001には「管理責任者」「事務局」という役職の定めはありません。5.3が求めるのは、トップマネジメントが情報セキュリティに関連する役割に責任と権限を割り当てて伝達すること、とくに「ISMSがこの規格の要求事項に適合することを確実にする」責任と「ISMSのパフォーマンスをトップマネジメントに報告する」責任を割り当てることです。多くの組織が置く管理責任者と事務局は、この2つの責任の受け皿です。
| 役割 | 主な仕事 | 規格上の根拠 |
|---|---|---|
| トップマネジメント | 方針の確立、資源の提供、レビューの実施 | 5.1・5.2・9.3 |
| 管理責任者 | 規格への適合の確保、パフォーマンスの報告 | 5.3 a)・b) |
| 事務局 | 年間計画、文書・記録の管理、教育、審査対応 | 7.5・8.1 |
| 部門担当者 | 資産台帳とリスク評価、日常点検、事故の報告 | 8.2・9.1 |
| 内部監査員 | 監査の計画・実施・報告 | 9.2 |
兼務で注意が要るのは内部監査員です。9.2は「監査プロセスの客観性及び公平性を確保する監査員を選定」するよう求めているため、事務局員が自分の作った規程や自部門を監査する配置は避けます。複数の監査員を確保できる場合は、担当業務が重ならないよう相互監査を組みます。社内で客観性と公平性を確保できる配置が難しい場合は、外部の監査員への委託を検討します。担当者に専任を置くことは規格の要件ではありません。兼務の場合も、責任と権限の割当てに加え、必要な力量と業務時間などの資源を確保し、担当する活動を有効に実施できる体制にします。
2022年版で運用に効く変更点と気候変動追補
2013年版からの移行期限は2025年10月31日に終わり、期限までに移行しなかった旧版の認証は失効しました。移行審査を通った組織でも、運用の手順書が2013年版の箇条番号のまま残っていることがあります。運用に直接かかわる変更は次のとおりです。
- 6.3 変更の計画（新設）：ISMSの変更が必要と決定したときは、計画的に実施することが求められます。組織変更やクラウド移行のときに、変更の計画を残す根拠になります。
- 8.1 外部から提供されるプロセス等の管理：ISMSに関連する外部提供のプロセス、製品、サービスを管理することが明記されました。委託先とクラウドサービスの管理は運用計画の一部です。
- 9.3.2 c) 利害関係者のニーズと期待の変化：マネジメントレビューのインプットに加わりました。取引先のセキュリティ要求の変化を議題に入れます。
- 附属書Aの再編：114管理策・14分野から93管理策・4分類（組織的37、人的8、物理的14、技術的34）になり、11の管理策が新設されました。新設のうち脅威インテリジェンス（5.7）と構成管理（8.9）は、適用の必要性と既存の対策を確認し、不足があれば日常運用の手順を整備する管理策です。
気候変動追補（ISO/IEC 27001:2022/Amd 1:2024、2024年2月23日発行）は、4.1に「組織は、気候変動が関連する課題かどうかを決定しなければならない」という要求を、4.2に関連する利害関係者が気候変動に関する要求事項を持ちうるという注記を加えました。運用上は、年次の課題見直し（4.1）で気候変動を検討し、関連しないと判断した場合もその経緯を議事録に残しておくと、審査で説明できます。関連ありと判断する典型は、データセンターや主要拠点が浸水・停電のリスクを抱えている場合です。国内規格では、この追補に一致するJIS Q 27001:2023/AMENDMENT 1:2025が2025年5月20日に発行されており、JIS Q 27001:2023の本体と併せて参照します。
ISMS運用が形骸化するサインと立て直し方
形骸化とは、規程はあるのに実態と記録が合っていない状態です。審査では記録同士の整合から見抜かれます。次のサインが見られたら、記録と実態を照合してください。該当数ではなく、確認された問題の重大性に応じて年間計画や運用手順を見直します。
| 確認のきっかけ | 確認すべき可能性 | 問題が確認された場合の対応 |
|---|---|---|
| リスク評価が前年とほぼ同じ | 資産台帳が更新されていない | 新システム・委託先から差分評価 |
| 内部監査の指摘が毎年0件 | 条文を読み上げるだけの監査 | 前年の是正と事故を重点にする |
| レビュー議事録が議題の列挙だけ | 経営層が判断していない | 変更の要否の決定を必ず書く |
| 記録の日付が審査前に集中 | 記録を後から作っている | 月次点検を業務に組み込む |
| 教育記録が受講者名簿だけ | 有効性を評価していない | 理解度確認と未受講者対応を残す |
3行目の根拠は9.3.3で、マネジメントレビューのアウトプットには継続的改善の機会とISMSの変更の必要性に関する決定を含めることが求められています。5行目は7.2 c)で、力量を身につけるためにとった処置の有効性を評価することが求められています。
避けるべき運用もはっきりしています。コンサルタントのひな形規程をそのまま導入し、現場の業務手順とは別に「ISMS用の手順」を持つやり方です。現場は業務手順に従って動き、記録はISMS用の手順に合わせて後から作られるため、上の表のサインがまとめて出ます。現場の業務手順を起点に要求事項との差分を確認し、必要なら手順自体を修正します。そのうえで、実施時に記録が残る入力欄や保存先を業務に組み込みます。審査の指摘を受けたときの是正処置の進め方はISMSの不適合と是正処置報告書の書き方を参照してください。
よくある質問
ISMS運用とは何ですか？
ISO/IEC 27001（JIS Q 27001）に沿って構築したISMSを、認証取得後も計画どおりに実施し、内部監査とマネジメントレビューで評価し、是正処置で直し続ける活動です。規格の箇条8「運用」はその一部で、実務では箇条4〜10の全体を回すことを指します。
ISMSの適切な運用を確認するために実施されるプロセスは何ですか？
組織の内部では内部監査（9.2）とマネジメントレビュー（9.3）です。内部監査はISMSが規格と自社のルールに適合し有効に実施されているかを確かめ、マネジメントレビューはトップマネジメントが適切性・妥当性・有効性を確認します。外部からは認証機関の維持審査と更新審査が確認します。
ISMSの内部監査は年に何回必要ですか？
規格は回数を決めておらず、「あらかじめ定めた間隔で」実施するよう求めているだけです。維持審査は再認証の年を除き少なくとも暦年に1回実施され、内部監査も確認対象になります。年1回を計画例としつつ、監査間隔はプロセスの重要性や前回までの監査結果を踏まえて決めます。
内部監査はPDCAのどの段階にあたりますか？
Check（評価）にあたります。規格では箇条9「パフォーマンス評価」に含まれ、監視・測定（9.1）、マネジメントレビュー（9.3）と同じ段階です。監査で見つかった不適合への是正処置（10.2）がAct（改善）です。
ISMSの運用担当者は専任である必要がありますか？
専任は規格の要件ではありません。5.3に沿って責任と権限が割り当てられ、必要な力量と業務時間が確保されていれば、兼務でも運用できます。ただし内部監査員は客観性と公平性が求められるため、自分が担当する業務や自部門を監査しない配置にします。
