ISMS認証（ISO 27001）取得の費用と期間｜小規模企業の相場と3年間の総額

ISMSの費用は3つに分かれる

ISMS（情報セキュリティマネジメントシステム）認証は、ISO/IEC 27001（日本ではJIS Q 27001）に基づいて、認証機関の審査を受けて取得します。かかる費用は大きく次の3つです。

Pマークと違い、ISMSには全国一律の料金表がありません。認証機関ごとに見積りを取って比べます。

認証機関の審査費用（公開事例）

審査の工数（何人で何日審査するか）は、国際的な基準（ISO/IEC 27006）に沿って算出されるため、同じ条件ならどの認証機関でも大きくは変わらず、差が出るのは主に1人日あたりの単価だとされています（出典：ISSOH「ISMS審査費用」）。

同じ記事で公開されている事例は次のとおりです。

出典：ISSOH「ISMS審査費用」

目安として、維持審査は初回の約3分の1、更新審査は約3分の2とされています。小規模（30名程度まで・1拠点）なら、初回は50〜60万円程度を見込んでおくとよいでしょう。正確な金額は、必ず認証機関の見積りで確かめてください。

3年間で考える：ISMSは毎年審査がある

ISMSの認証の有効期間は3年です。その間も毎年審査があります。

1. 初回審査（第1段階・第2段階）→ 認証登録
2. 1年後：維持審査（サーベイランス）
3. 2年後：維持審査
4. 3年目：更新審査（再認証）

上の23名・1拠点の事例で単純に足すと、3年間の審査費用は約55万＋約19万＋約19万＝約93万円、4年目に更新審査の約33万円がかかります。予算は「初回だけ」ではなく、毎年の審査費用も含めて考えましょう。

コンサル費用の相場

準備を外部に頼む場合の相場は次のとおりです（民間の比較記事より）。

• コンサル（一括）：小規模でも50万〜200万円以上（出典：atsoho「ISMS取得費用の内訳」）
• コンサル（月額）：月3.5万〜6.5万円程度（年間で約48〜60万円）。初期費用が別にかかるサービスもある（出典：企業ログ「ISMSコンサル比較」）
• テンプレート販売：8万円前後のものがある。自社用に書き換える作業は自分で行う

規模別の総額として、小規模（〜30名）でコンサルを使う場合の初期総額は100万〜250万円、年間維持費は20万〜50万円という整理もあります（出典：マネーフォワード「ISMS認証の費用」）。

見落としやすい社内工数

コンサルに頼んでも、社内でやるべきことは残ります。マネーフォワードの解説でも、文書管理・内部監査・継続運用の社内工数は見落とされがちだと指摘されています。

• 適用範囲を決め、情報資産を洗い出す
• リスクアセスメントを行い、対策を決める
• 適用宣言書（SoA）で93の管理策の採否を決める
• 規程を作り、教育を行う
• 内部監査とマネジメントレビューを行う
• 審査で経営者・担当者が説明する

適用宣言書の書き方は「適用宣言書（SoA）の書き方」で詳しく解説しています。

取得までの期間と流れ

準備開始から認証取得までは、6か月〜1年程度が一般的です。コンサル各社は「最短4か月」「4〜6か月」とうたうこともあります（出典：マネーフォワード「ISMS認証取得の流れ」、企業ログ）。

第2段階審査までに数か月分の運用記録が必要とされますが、一律の最低月数はありません（出典：マネーフォワード Admina）。

費用を抑える4つの方法

1. 適用範囲を事業に合わせて決める

ISMSは、全社だけでなく部門・拠点・サービス単位で適用範囲を決められます。取引先から求められているのが特定のサービスだけなら、範囲を絞ると審査工数や準備の負担を抑えられることがあります。ただし、取引先が全社での取得を求めていないかは事前に確認しましょう。

2. 認証機関の見積りを複数取る

審査工数は基準で決まりますが、単価は認証機関で異なります。同じ条件で複数の見積りを取って比べましょう。ISMS-ACが認定した認証機関の一覧は公式サイトで確認できます（出典：ISMS-AC「認証機関一覧」）。

3. 文書づくりは道具を使って社内で回す

方針・規程・台帳・リスクアセスメント・SoAなどの文書は、テンプレートやツールを使えば外部費用を抑えられます。テンプレートの丸写しは、実態と規程のずれとして審査で指摘されやすいので、自社に合わせて書くことが大切です。

4. Pマークと一緒に運用する

すでにPマークを持っている会社は、文書管理・教育・内部監査・マネジメントレビューなどを一体で運用すると負担を減らせます。違いは「Pマークとisms（ISO27001）の違い」をご覧ください。

見積りを依頼するときに伝える情報

認証機関に見積りを依頼するときは、審査工数の算出に必要な情報をまとめて伝えると、やりとりが早く進みます。一般に次のような情報を聞かれます。

• 適用範囲に含まれる従業員数（役員・派遣社員などを含むか）
• 拠点の数と所在地、テレワークの有無
• 適用範囲（全社か、特定の部門・サービスか）
• 事業内容と、使っている主な情報システム・クラウドサービス
• 取得したい時期、Pマークなどほかの認証の有無

複数の認証機関に同じ情報を伝えて見積りを取れば、単価や審査日数の違いを比べやすくなります。

Pマークと比べた費用の考え方

Pマークは料金表で金額が決まり、2年ごとの更新です。ISMSは認証機関の見積りで決まり、毎年審査があります。どちらが安いかは会社の規模や業種で変わるため、取引先から求められている認証を確かめたうえで、3〜4年の期間で比べると判断しやすくなります。

セキュカクを使った場合の費用

セキュカクは、情報セキュリティ方針・情報資産台帳・リスクアセスメント・適用宣言書（93管理策）・規程・目的・内部監査などのISMS文書一式を、質問に答えるだけでAIが自社用に作るツールです。料金は1社79,800円（税込）、運用プランは月14,800円（最初の30日無料）です。

認証機関の審査費用は、どの方法でも別にかかります。セキュカクは認証の取得を保証するものではなく、教育・内部監査などの運用は自社で実際に行う必要があります。