委託先のISMS（ISO/IEC 27001）認証、どこを確認する？登録証の見方と確かめ方

総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、業務の委託先を選ぶときに、委託先のセキュリティ水準を ISO/IEC 27001 などの国際規格の認証取得状況も参考にして判断することが望ましいとしています。自治体向けの指針ですが、企業が委託先を選ぶときにも参考になる考え方です。

ただし、認証は会社のすべての業務を対象にしているとは限りません。認証があるかどうかだけでなく、「どの規格の、どの範囲の、いつまで有効な認証か」まで確かめることが大切です。

委託先から登録証（認証書）の写しを受け取ったら、次の項目を確認します。

有効期間の3年のあいだも、年1回以上のサーベイランス審査があり、3年ごとに再認証審査を受けます。有効期限が近い登録証の場合は、更新の予定も聞いておくと安心です。

ISO/IEC 27001 は2022年に改訂されました。認定機関の国際的な取り決め（IAF MD 26）により、2013年版から2022年版への移行期限は2025年10月31日とされ、移行しなかった2013年版の認証は失効または取消しとなっています。

会社案内やWebサイトに「ISO/IEC 27001:2013」と書かれたままになっている場合は、現在の登録証を見せてもらいましょう。

ISMS の認証は、会社全体ではなく、特定の部門・拠点・サービスに範囲を絞って取得することもできます。ISMS-AC は、登録証に書かれた認証範囲を、認証を利用する人が信頼性を判断するための重要な情報としています。

たとえば、本社の管理部門だけが認証の範囲で、データ消去をする作業拠点は含まれていない、ということもありえます。委託する作業と作業場所が範囲に入っているかを、登録証の記載で確かめてください。

• 登録証の写しをもらう：まずは委託先に登録証の写しを依頼します。ISMS-AC も、検索で見つからない認証を確かめる方法として、登録証の写しを求めることと、認証機関に問い合わせることを挙げています。
• ISMS-AC の「ISMS認証取得組織検索」：ISMS-AC が認定した認証機関による認証を、組織名や登録番号で検索できます。ただし、掲載を希望しない組織は載りません。また、認証機関の報告から掲載まで1か月ほどかかります。
• IAF CertSearch：認定を受けた認証機関による認証を集めた国際的なデータベースです。アカウントを登録すると、無料の範囲で検索・確認ができます。法令などの理由で公開していない認証もあるため、見つからなくても無効とは限りません。
• 認証機関に問い合わせる：登録番号を伝えて、審査をした認証機関に有効性を確認する方法がもっとも確実です。

ISMS では、規格の附属書に挙げられた管理策のうち、どれを採用し、どれを除外したかと、その理由を「適用宣言書」にまとめます。JIPDEC は、適用宣言書を特定の関係者に開示することが、セキュリティ水準の確認や信頼につながるとしています。

データ消去や廃棄の委託先を選ぶときは、次の管理策を採用しているかを質問すると、体制を具体的に確かめるきっかけになります。管理策の名称は、経済産業省の「情報セキュリティ管理基準」によります。

経済産業省の管理基準は、8.10 の詳細管理策として、外部の事業者に削除を任せるときは削除の証拠を受け取ることを挙げています。消去証明書の記載項目と確認のしかたは、データ消去証明書とは？で解説しています。

認証は、委託先が情報セキュリティの仕組みを整え、第三者の審査を受けていることを示します。ただし、自社の機器がどう扱われるかまでを示すものではありません。保管のしかた、消去の方法、記録、契約での取り決めは、データ消去業者の選び方と確認ポイントのチェックリストもあわせて確認してください。

• 認証：株式会社REER JAPAN データ消去部の情報セキュリティマネジメントシステムは、LAPにてISO/IEC 27001:2022の認証を受けています（適用範囲：電子機器の回収、データ消去の業務）。認証番号は LAP-0125-IS、認証機関は株式会社LAP、認定機関は ANAB です。（情報セキュリティと認証）
• ご承認の前に消去しない：受け取った機器はすぐに全数を検品・入庫登録し、機器リストをご承認いただいてから消去を始めます。（法人向けPCデータ消去）
• 1台ずつ記録：ソフトウェア消去または物理破壊で1台ずつ消去・記録し、消去証明書（PDF）を発行します（有料）。買取する機器のデータ消去は無料です。

委託先を比べている段階で、この記事の確認項目についてご質問いただくだけでもかまいません。台数と機種をお知らせいただければ、進め方とあわせてご案内します。無料お見積りからご相談ください。