ISMS（ISO27001）認証取得の費用相場｜審査・コンサル・維持費の内訳と抑え方

ISMS認証の費用は「初年度」と「維持」に分けて考える

ISMS認証の費用を検討するとき、まず切り分けたいのが初年度にかかる一時費用と、認証を維持するために毎年かかる費用です。初回登録審査は第一段階審査（文書審査）と第二段階審査（実地審査）の2回に分かれ、認証取得後は毎年のサーベイランス審査、3年ごとの更新審査が続きます。つまり認証は「取って終わり」ではなく、3年周期のサイクルとして費用を見積もる必要があります。審査の流れそのものはISO27001認証取得の進め方で詳しく解説しています。

初年度の総額に最も影響するのは、審査機関へ支払う費用ではありません。多くの企業でコンサルティング費用と社内担当者の工数が総額の6〜8割を占めます。この2つをどう設計するかが費用コントロールの本丸です。

費用の内訳｜6つの構成要素

ISMS認証にかかる費用は、次の要素に分解できます。金額はいずれも一般的な目安であり、審査機関・適用範囲・支援内容によって上下します。

審査費用は「工数（人日）×単価」で決まる

審査機関の費用は、適用範囲に含まれる要員数と拠点数から算定された審査工数（人日）に単価を掛けて決まるのが一般的です。したがって従業員数が2倍になっても費用が単純に2倍になるわけではなく、増加は緩やかです。見積もりを取る際は、初回登録審査だけでなく、サーベイランス審査と更新審査を含む3年分の総額で比較すると判断を誤りません。

見えにくい「内部工数」を金額に換算する

最も過小評価されやすいのが社内工数です。情報セキュリティ方針、適用宣言書（SoA）、リスクアセスメント手順、各種規程と記録の整備には相応の時間がかかります。必要な文書の全体像はISMSで必要な文書一覧にまとめていますが、担当者1名が半年〜1年にわたり業務時間の3〜5割を割く前提で見積もると現実に近くなります。人件費換算で100万〜300万円相当になることも珍しくありません。

従業員規模別の費用目安

以下は、単一拠点・情報システム部門を含む一般的なIT企業を想定した目安です。実際の金額は適用範囲や既存の運用状況で変わるため、レンジとして捉えてください。

費用を左右する5つの要因

• 適用範囲（スコープ）｜全社か特定事業部か、対象拠点はどこまでか。範囲が広いほど審査工数も文書整備工数も増える
• 拠点数｜遠隔地の拠点が対象に含まれると、審査工数に加えて旅費交通費が発生する場合がある
• 審査機関の選択｜認定機関・料金体系・審査員の稼働単価は機関ごとに異なるため、複数から見積もりを取るのが基本
• 既存の運用成熟度｜規程やアクセス管理、ログ取得、資産台帳がすでに整っていれば、追加投資も文書整備工数も小さくなる
• コンサルへの依存度｜文書を丸ごと作成してもらうのか、レビューと助言だけを受けるのかで費用は数倍変わる

このうち自社でコントロールしやすいのは適用範囲とコンサル依存度です。適用範囲は最初から全社に広げず、取引先が求めている事業・サービス単位に絞って取得し、後から拡大していく進め方も選択できます。

費用を抑える5つの方法

1. 適用範囲を必要十分に設定する｜「なぜ認証が必要か」を取引先要件から逆算し、対象を過剰に広げない
2. テンプレートやSaaSを活用する｜規程・様式・リスクアセスメントの雛形を活用すれば、ゼロから起草する工数を大幅に削減できる
3. 社内担当者を育成する｜内部監査員研修などに投資し、2年目以降の運用を内製化すると維持費が下がる
4. コンサルを部分利用する｜リスクアセスメントと適用宣言書（SoA）の妥当性レビュー、審査直前の模擬監査など、要所に絞って依頼する
5. 公的支援制度の有無を確認する｜自治体や年度によって利用可能な支援制度が存在する場合があるため、所在自治体の最新情報を必ず確認する

5つ目については、制度の名称・要件・募集時期は自治体および年度により大きく異なります。該当するかどうかは必ず一次情報で確認してください。

取得しない場合の機会損失も費用の一部

費用を判断するときは、支出だけでなく「取得しなかった場合に失うもの」も並べて考える必要があります。近年は、取引開始時のセキュリティチェックシートで認証の有無を問われる、入札参加資格で加点対象になる、SaaS導入審査で第三者証明を求められる、といった場面が増えています。

商談1件の受注規模が数百万円を超える事業であれば、認証がないことで失注や商談長期化が数件発生するだけで、取得費用を上回る損失になり得ます。なお国内ではプライバシーマークとの比較で迷うケースも多く、取引先が求めているのがどちらなのかを先に確認することが、無駄な支出を避ける最短経路です。

「自社で取得する」選択肢は現実的か

コンサルを使わず自社のみで認証取得を目指すことは制度上可能です。実際、社内に情報セキュリティの実務経験者がいて、規格本文と附属書Aの管理策を読み解ける体制があり、担当者が一定の時間を確保できる場合には、コンサル費用を丸ごと圧縮できます。

一方で、自社対応には固有のリスクもあります。リスクアセスメントの手順が規格の要求と噛み合わない、適用宣言書（SoA）で管理策の適用・除外理由が説明できない、内部監査とマネジメントレビューの記録が形式的になる、といった不適合は第二段階審査で指摘されやすい典型例です。是正対応で審査が長引けば追加費用が発生し、結果として節約にならないこともあります。

ツールで内部工数を減らすという考え方

ここまで見てきたとおり、ISMS認証の費用は審査費用よりも「人が動く時間」に強く依存します。文書のバージョン管理、リスクアセスメントの記録、教育実施記録、内部監査の証跡といった作業をExcelと共有フォルダで回すと、2年目以降の維持工数がそのまま積み上がります。これらを一元管理できる仕組みを持つことは、初年度だけでなく維持フェーズの費用を継続的に押し下げます。

自社の現在地がどの段階にあり、どこに工数が集中しそうかを把握するところから始めるのが有効です。ISMS現在地セルフチェックでは、いくつかの設問に答えるだけで、いま優先して着手すべき領域を整理できます。見積もりを取る前に社内の状況を言語化しておくと、コンサルや審査機関との話も進めやすくなります。

本記事は一般的な情報提供を目的としており、審査結果や認証取得を保証するものではありません。制度・費用は変わることがあるため、最新情報は審査機関等でご確認ください。