ISMS 適合性評価制度に関するアンケート調査報告書

2012 年 6 月
一般財団法人 日本情報経済社会推進協会（JIPDEC）
情報マネジメント推進センター

目

次はじめに ...............................................................................................................................1
調査の概要............................................................................................................................ 2
基本情報について ................................................................................................................. 3
ISMS 認証の運用実績等について ........................................................................................ 9
審査員の力量及び審査の質について .................................................................................. 15
認証機関の認定の信頼性について ...................................................................................... 22
制度全般に対するご意見等................................................................................................. 25
おわりに ............................................................................................................................. 30
付録

ISMS 適合性評価制度に関するアンケート調査書

はじめに
本報告書は、ISMS（情報セキュリティマネジメントシステム）適合性評価制度（以下、ISMS制度）の信頼性向上を主目的として、ISMS 取得組織（企業、団体等）に対して実施したアン
ケート調査の結果をまとめたものです。
ISMS 制度は、民間主体の制度として 2001 年度にスタートし、約１年間のパイロット運用を経て、2002 年 4 月から本格運用に入り 10 年が経過しました。
この間、コンピュータ処理への依存度の高まりやインターネットの爆発的な広がりとともに情報資産への脅威も増大し、システムや人的な脆弱性を突いたセキュリティ事故が件数、規模ともに大幅に増加してきています。このため、自社のみならず取引先における情報管理リスクを把握する重要性についての認識は格段に高まってきました。
このような背景のもと、2008 年に、ISMS 制度の実態を把握して制度の信頼性をより高めることを目的とし、中でも、組織の ISMS 改善に大きな影響を与えることから、認証審査員の力量及び認証審査の質の現状を把握することを主眼点としてアンケートを実施しました。
その前回調査から 3 年が経過し、その後新たに約 1,000 の組織が認証を取得されたことから、現時点での ISMS 制度の状況と、この 3 年間で課題となってきた認証・認定制度の信頼性に対する意識を調査することで、制度の運用状況を把握し改善を図ることを目的として、再びアン
ケートを実施しました。
本報告書で調査結果をご報告するとともに、今後、得られたデータに対して更に分析、検討を進め、認証取得組織に止まらず、広く利害関係者にとって一層有効で信頼度の高い制度にするために、必要な対応策を講じていく所存です。
また、関連機関、関係者がそれぞれの立場、視点で、調査結果を ISMS 制度の改善のためにご活用いただければ幸いです。

2012 年 6 月
一般財団法人 日本情報経済社会推進協会（JIPDEC）
情報マネジメント推進センター

1

調査の概要【調査内容】
調査項目は以下のとおり
・基本情報について
・ISMS 認証の運用実績等について・審査員の力量及び審査の質について
・認証機関の認定の信頼性について
・制度全般に対するご意見等【調査対象】
調査開始の 2011 年 12 月時点で、本協会が認定した ISMS 認証機関から ISMS 認証を取得した組織のうち登録情報を公開している 3,748 組織。
【調査方法】
郵送した調査書の質問（選択形式及び記述形式）に回答、返信していただく。
【調査期間】
2011 年 12 月上旬～12 月末日。ただし、回答希望日以降の到着分も集計した。
【有効回答数、回収率】
有効回答数
回収率

1,219 件32.5%

2

基本情報について
質問１

法人の業種

23 種類の業種区分について尋ねたところ、「情報技術」(64.6%)が突出しており、以下「その他サービス」(12.6%)、「卸売・小売業」(4.3%)、「電気/電子機器･光学的装置製造業」（3.6%）と続いています。（図 1-1）
なお、この質問の集計結果は、同一法人の中の複数の部門が個別に認証を取得している場合、同一法人の情報を重複して集計したものであることにご注意ください。
17.金融･保険･不動産業,
2.0%
13.建設業(エンジニアリ
ングを含む), 2.7%

その他, 6.6%

4.出版･印刷業, 3.5%
10.電気/電子機器･光学的装置製造業, 3.6%
16.卸売･小売業, 4.3%

21.その他サービス業,
12.6%
18.情報技術, 64.6%

N=1219

図 1-1 法人の業種
前回 2008 年の調査結果（1,158 件）との比較を次に示します。
表 1-1 法人の業種（前回との比較）
業種区分

前回(2008 年)

今回(2011 年)

増減(ポイント)

18.情報技術

59.7%

64.6%

+4.9

21.その他サービス業

12.7%

12.6%

-0.1

16.卸売･小売業

5.0%

4.3%

-0.7

10.電気/電子機器･光学的装置製造業

3.9%

3.6%

-0.3

4.出版･印刷業

4.0%

3.5%

-0.5

13.建設業(エンジニアリングを含む)

3.2%

2.7%

-0.5

17.金融･保険･不動産業

3.4%

2.0%

-1.4

その他

8.1%

6.7%

-1.4

3

表 1-1 からは、この 3 年間で「情報技術」だけ比率が伸び、他のほとんどの業種区分は相対的な比率が落ちていることが分かります。ただし「その他」の中には、「22.公共･行政･教育機
関」が 0.5 ポイント（実数で 7 件）増加しているものも含まれており、注目されます。
図 1-1 の「情報技術」の内訳として 11 の小区分を尋ねたところ、「受注ソフトウェア業」(30.8%)、「システムインテグレーション業」(26.1%)で過半数を占め、以下「システム等管理運営受託業」(7.7%)、「ソフトウェアプロダクト業」（6.6%）の順となりました。
（図 1-2）

細分類なし, 5.3%
通信業, 5.3%.映像・音声・文字情報
制作業, 1.5%
インターネット
附随サービス業, 4.3%

その他, 6.6%

放送業, 0.3%

システムインテグレー
ション業, 26.1%

データベース
サービス業, 0.9%
システム等管理運営
受託業, 7.7%
計算事務等
情報処理業, 4.4%

ソフトウェアプロダクト業, 6.6%
受注ソフトウェア業,
30.8%

N=788

図 1-2 情報技術の内訳
情報技術の内訳についての前回調査との比較では、「18-6.システム等管理運営受託業」が若干比率を伸ばしましたが、全体的な傾向は変わっていません。

4

質問２

資本金

法人が株式会社の場合、資本金を尋ねたところ、「5000 万円以下」(43.9%)が最も多く、対極の「3 億円超」(27.7%)が続き、以下「5000 万円超、1 億円以下」(19.5%)、「1 億円超、3 億円
以下」(8.9%)となっています。（図 2）
なお、この質問の集計結果は、同一法人の中の複数の部門が個別に認証を取得している場合、同一法人の情報を重複して集計したものであることにご注意ください。

3億円超
27.7%

5000万円以下
43.9%

1億円超、
3億円以下
8.9%
5000万円超、1億円以下, 19.5%
N=1181

図 2-1 資本金

前回調査との比較（図 2-2）で見ると、資本金 5000 万円以下及び 5000 万円超 1 億円以下の組織の割合が増え、その分 1 億円超過の組織の割合が減っています。これは、小規模の組織にISMS の裾野が広がっていることを示しています。

5000万円超、
1億円以下
19.5%

5000万円以下 43.9%

2011年

2008年

0%

5000万円以下 35.9%

5000万円超、
1億円以下
15.8%

10%

40%

20%

30%

50%

1億円超、
3億円以下

1億円超、
3億円以下
13.2%

60%

3億円超 35.1%70%

図 2-2 資本金（前回との比較）

53億円超 27.7%

8.9%

80%

90%

100%

質問３

従業員数

法人が常時使用する従業員の数については、「300 人超」(31.2%)が最も多く、「100 人超、300人以下」(25.2%)、「50 人超、100 人以下」(18.5%)の順となりました。（図 3）
なお、この質問の集計結果は、同一法人の中の複数の部門が個別に認証を取得している場合、同一法人の情報を重複して集計したものであることにご注意ください。

5人以下
1.2%

5人超、
20人以下
9.1%

300人超
31.2%

20人超、
50人以下
14.8%

50人超、
100人以下18.5%

N=1216

100人超、300人以下25.2%

図 3 従業員数6

質問４

ISMS 取得の認証範囲について

認証範囲の従業員数について、全社からみた割合について尋ねたところ、ほぼ半数(50.4%)の組織が全社を認証範囲として認証を取得していることが分かりました。以下、全社の 25%未満(22.3%)、25%～75%未満(16.8%)、75%～100%未満(10.5%)の順になっています。
（図 4-1）
全社の25%未満,
22.4%

全社, 50.4%
全社の25%～75%,
16.7%

N=1208

全社の75%以上,
10.5%

図 4-1

ISMS 取得の認証範囲(従業員数比)

また、認証範囲の従業員数についてその概数を尋ねたところ、「20 人超、50 人以下」(25.5%)、「100 人超、300 人以下」(22.6%)、「50 人超、100 人以下」(20.6%)、「5 人超、20 人以下」(16.2%)の順となりました。一方、適用範囲の従業員数が 1,000 人を超える組織は、全体の 3.5％にとどまっています。（図 4-2）
1,000人超、2,000人以
下, 1.7%2,000人超、5,000人以
下, 1.2%5,000人超, 0.6%
5人以下, 1.9%

500人超、1,000人以下,
4.8%

5人超、20人以下, 16.2%

300人超、500人以下,
4.9%

100人超、300人以下,
22.6%
20人超、50人以下,
25.5%

N=1206

50人超、100人以下,
20.6%

図 4-2 認証範囲の従業員数「認証範囲に特筆すべき特徴があれば記入してください」との問いに関し、有効回答数 201 件のうち、「グループ企業による取得」と回答いただいたものが 67 件（33.3%）ありました。
7

質問４と質問３とのクロス集計
質問 3 の従業員数別に、質問 4 で得られた全社（全従業員数）に対する認証取得範囲の比率
をクロス集計しました。
（図 4-3）

6. 300人超

1. 全社, 25.3%

5. 100人超、300人以下

3. 全社の25%～75%, 17.7%
2. 全社の75%以上, 7.4%

無回答, 1.1%

4. 全社の25%未満, 48.5%

3. 全社の25%～75%, 19.5%

1. 全社, 50.5%

4. 全社の25%未満, 19.2%

無回答, 0.7%

2. 全社の75%以上, 10.1%

4. 50人超、100人以下

3. 全社の25%～75%, 22.7%

1. 全社, 59.1%

3. 20人超、50人以下

無回答, 0.0%

4. 全社の25%未満, 8.0%

2. 全社の75%以上, 10.2%

3. 全社の25%～75%, 11.1%

1. 全社, 73.9%

無回答, 0.0%

4. 全社の25%未満, 3.3%

2. 全社の75%以上, 11.7%

3. 全社の25%～75%, 3.6%

2. 5人超、20人以下

1. 全社, 74.8%

無回答, 1.8%

2. 全社の75%以上, 18.0%

4. 全社の25%未満, 1.8%

3. 全社の25%～75%, 0.0%

1. 5人以下

2. 全社の75%以上, 28.6%

1. 全社, 64.3%

無回答, 7.1%

4. 全社の25%未満, 0.0%

0%

10%

20%

30%

40%

50%

60%

70%

80%

90%

100%

図 4-3 従業員数別の認証取得範囲
図 4-3 からは、全社を対象として認証取得している比率が高いのは、「5 人超、20 人以下」、「20 人超、50 人以下」及び「5 人以下」の規模の組織であることが分かります。
一方、300 人超の組織では、全社で認証を取得しているのは 4 分の 1 にとどまり、約半数は全社の 25%未満（従業員比）を認証範囲としています。

8

ISMS 認証の運用実績等について
質問５

経過年数

ISMS 認証取得後の経過年数を年月数で尋ねた結果は、「5 年超」（34.2%）、「3 年超 5 年以下」
(26.2%)、「1 年超 3 年以下」(27.0%)、「1 年以下」
（12.6%）の順となりました。（図 5-1)

1年以下, 12.6%

5年超, 34.2%

1年超3年以下,
27.0%

3年超5年以下,
26.2%
N=1218

図 5-1 認証取得後の経過年数
前回調査における経過年数の比率との比較(図 5-2)を見ると、5 年超の組織の割合がかなり増加しています。このことからは、多くの組織が認証を取得した後、それを維持していることが分かります。

2011年

1年以下
12.6%

2008年

1年以下, 20.5%

0%

10%

1年超、3年以内, 27.0%

3年超、5年以内, 26.2%

1年超、3年以内, 42.7%

20%

30%

40%

50%

5年超, 34.2%

60%

70%

80%

図 5-2 認証取得後の経過年数（前回との比較）

9

5年超
8.1%

3年超、5年以内, 28.7%

90%

100%

質問６

導入の目的又は動機

ISMS 導入の目的又は動機について、8 項目に「該当する」「やや該当する」「余り該当しない」「該当しない」の 4 段階で尋ねました。
全項目のうち、「該当する」の回答が最も多いものは「5 顧客からの信頼を確保するため」(78.5%)、僅差で「2 組織の情報セキュリティ対策の強化のため」(78.4%)、「1 組織の情報セ
キュリティ管理体制の強化のため」(77.4%)が続きます。一方、「該当する」の回答が最も少ないものは「4 入札、受注の条件、取引先からの要請による」(45.9%)でした。（図 6）

1. 組織の情報セキュリティ管理体制の強化のため N=1,216

該当する, 77.4

やや該当する, 19.7

余り該当しない, 2.5
該当しない, 0.4

2. 組織の情報セキュリティ対策の強化のため N=1,214

該当する, 78.4

やや該当する, 18.9

余り該当しない, 2.3
該当しない, 0.3

3. 社員の情報セキュリティに関する意識高揚、教育啓発のため N=1,212

該当する, 71.9

余り該当しない, 2.1
該当しない, 0.5

4. 入札、受注の条件、取引先からの要請による N=1,214

該当する, 45.9

5. 顧客からの信頼を確保するため N=1,216

やや該当する, 20.0

該当する, 54.3

7. 同業他社との差別化、営業上の優位性の確保のため N=1,215余り該当しない, 13.7
該当しない, 9.3

やや該当する, 31.1

該当する, 78.5

6. 企業イメージの向上のため N=1,211余り該当しない, 1.3
該当しない, 0.2
余り該当しない, 6.4
該当しない, 1.0

やや該当する, 38.4

該当する, 47.9

余り該当しない, 13.6

やや該当する, 34.6

該当しない, 4.0

8. 全社の方針による N=1,2070%

やや該当する, 25.5

該当する, 53.9

10%

20%

30%

やや該当する, 27.9

40%

50%

60%

70%

余り該当しない, 11.0
該当しない, 7.2

80%

90%

100%

図 6 導入の目的又は動機
8 項目以外に記述形式で挙げて頂いた導入の目的又は動機のうち、主な事項は次のとおりです。
・ 経営ツール、BPR、業務改善等
・ 事業継続・ 法令順守(コンプライアンス)
・ グループ企業としての取組み
・ 顧客、パートナーからの強い要求
・ 安全対策事業所制度の終了

10

質問７ ISMS 導入の効果
ISMS 導入の効果について、11 の項目に「該当する」「やや該当する」「余り該当しない」「該
当しない」の 4 段階で尋ねました。
全項目のうち、「該当する」の回答が最も多いものは「1 組織の情報セキュリティ管理体制が強化できた」(71.1%)、僅差で「2 組織の情報セキュリティ対策が強化できた」(70.8%)が続き、次いで「3 社員の情報セキュリティに関する意識高揚、教育啓発に寄与した」(68.3%)となりました。
（図 7）
また、「該当する」の回答が最も低いものは、「7. 事業の収益向上に貢献した」（7.6%）、「8. IT
統制、J-SOX 法対応に有効であった」（9.4%）でした。

1. 組織の情報セキュリティ管理体制が強化できた N=1,213

該当する, 71.1%

やや該当する, 27.9%

余り該当しない, 0.9%
該当しない, 0.1%

2. 組織の情報セキュリティ対策が強化できた N=1,214

該当する, 70.8%

やや該当する, 28.0%

余り該当しない, 1.1%
該当しない, 0.1%

3. 社員の情報セキュリティに関する意識高揚、教育啓発に寄与した N=1,215

該当する, 68.3%

4. 顧客からの信頼確保に貢献した
N=1,214

該当する, 49.1%

5. 企業イメージの向上に貢献した
N=1,213余り該当しない, 14.4%
該当しない, 1.1%

やや該当する, 48.5%

該当する, 22.1%

やや該当する, 45.3%

やや該当する, 31.6%

7. 事業の収益向上に貢献した N=1,203

余り該当しない, 7.2%
該当しない, 1.1%

やや該当する, 42.7%

該当する, 36.0%

6. 営業上、同業他社に対する優位性の確保に貢献した N=1,211余り該当しない, 1.9%
該当しない, 0.2%

やや該当する, 29.6%

該当しない, 5.8%

余り該当しない, 26.8%
余り該当しない, 45.7%

該当しない, 15.1%

余り該当しない, 40.7%

該当しない, 18.1%

該当する, 7.6%
8. IT統制、J-SOX法対応に有効であった
N=1,206

やや該当する, 31.8%
該当する, 9.4%

9. 情報面での事業継続性の向上に有効であった N=1,210

該当する, 20.8%

やや該当する, 53.1%

10. 法遵守（コンプライアンス）の面で有効であった N=1,208

該当する, 32.5%

11. ソフトウェアの資産管理に有効であった N=1,207

該当する, 29.8%

0%

10%

20%

余り該当しない, 22.7%

余り該当しない, 12.7%
該当しない, 1.1%

やや該当する, 53.7%

やや該当する, 49.3%

30%

図 7-1

40%

50%

60%

該当しない, 3.3%

余り該当しない, 18.6%

70%

80%

90%

該当しない, 2.2%

100%

ISMS 導入の効果

11 項目以外に記述形式で挙げて頂いた ISMS 導入の効果のうち、主な事項は次のとおりです。
・ 顧客・パートナーへのアピール
・ インシデントの減少
・ 入札権利の取得/受注

11

質問６と質問７の対比「質問６

導入の目的又は動機」と「質問 7ISMS 導入の効果」について、それぞれ「該当する」と回答した割合を、対応する 6 項目で比較しました。（図 7-2）
導入の目的又は動機で「該当する」とした割合が高かった「セキュリティ管理体制の強化」、「セキュリティ対策の強化」及び「社員の意識高揚、教育啓発」については、「該当する」（効果があった）とする比率も高く、多くの組織が自らのセキュリティレベルが向上したと評価されています。
一方、「顧客の信頼性確保」、「企業イメージ向上」及び「営業上、同業他社に対する優位性の確保」については、「該当する」の回答比率は目的・動機に比べて若干低めの評価となっており、対外的な評価をどのように確保するかという点が課題となっていることが分かります。

組織の情報セキュリティ
管理体制の強化効果

目的・動機

組織の情報セキュリティ
対策の強化

効果

目的・動機

社員の情報セキュリティに関する意識高揚、教育啓発

目的・動機
効果
目的・動機

顧客からの信頼確保

効果
目的・動機

企業イメージの向上

効果

同業他社との差別化、
営業上の優位性の確保

目的・動機
効果
0%

図 7-2

10%

20%

30%

40%

50%

60%

70%

80%

ISMS 導入の目的・動機と効果について「該当する」と答えた割合

12

90%

質問８

顧客からの要求

顧客から、組織の情報管理リスクの把握のために、登録証提示以外に要求されたものを記述
形式で尋ねました。
回答があった組織のうち、「登録書の開示」を要求されたとするものを除くと、約 400 組織が登録証の提示以外にも「情報管理リスクの把握のため」として追加の要求を受けていることが分かりました。さらに、その 4 分の 1 弱については、顧客による監査を要求されています。
（図 8）
なお、この質問の集計は、1 組織について 1 回答のみを対象としています。
リスクアセスメントの結果,
0.2%
その他, 7.7%
自主的な点検, 1.3%

先方による監査の実施,
23.2%

教育状況, 2.6%

登録書の開示, 10.9%

手順書/記録の開示, 9.6%

適用状況の確認, 7.0%

アンケート/チェックリストへの回答, 27.8%

指定のレポートの開示,
9.6%

N=457

図 8 顧客からの要求

13

質問９ ISMS に関する今後の課題
自組織の ISMS 認証取得、維持に関する今後の主な課題について、記述形式で尋ねました。
得られた回答内容を分類した結果は、次のとおりです。（図 9）
K 文書化、記録管理
1%
I 他MSとの統合、
他MSの認証取得4%

L 内部統制、コンプライアンス、
J-SOX対応

1%
Z その他
1%

J 設備投資1%

A 人材育成、教育
25%

H 技術的課題
5%
G 事業活動全般
5%
F 管理態勢の強化
7%

E 事業継続管理8%B 統括的課題
17%

D 効率向上、コスト低減
12%
C 適用範囲の拡大/見直し
13%

N=822

図9

ISMS に関する今後の課題

Ａ

人材育成、教育：ISMS 推進要員の育成、社員の教育、意識高揚など

Ｂ

総括的課題：マネジメントシステムの継続改善、形骸化の防止、運用の定着化など

Ｃ

ISMS 適用範囲の拡大：部門への適用から全社、グループ会社への適用拡大など

Ｄ

効率向上、コスト低減：運用効率の向上、運用コスト低減、情報セキュリティと利便性のバランスなどＥ

事業継続管理：事業継続計画の策定、事業継続管理の推進

Ｆ

管理体制の強化：ISMS の運用、管理体制の強化、リスクアセスメント・有効性評価などの強化

Ｇ

事業活動全般：経営、事業への反映、営業活動、顧客要求への対応、収益向上など

Ｈ

技術的課題：新技術（クラウド、スマートフォンなど）への対応、ネットワーク監視などの管理策の強化Ｉ

異種マネジメントシステム(プライバシーマークを含む)との統合、他のマネジメントシス
テム認証取得など

Ｊ

設備投資：物理的管理策、システム化、サーバ統合、ツール導入を含む

Ｋ

文書化：契約、規定、手順などの見直しＬ

内部統制、J-SOX 法対応：内部統制、J-SOX 法対応への活用、連携

Ｚ

その他
14

審査員の力量及び審査の質について
質問１０

審査員の力量最近受審した審査での審査員の力量について、6 項目に「十分である」「概ね十分である」「やや不十分である」「不十分である」の 4 段階で尋ねました。
全項目のうち、「十分である」の回答が最も多いものは「1 マネジメントシステムに関する知識及び業務経験」(76.8%)で、次いで「2 情報システム、情報セキュリティに関する知識及び業務経験」(72.5%)、「5 審査技術」(66.1%)、「4 コミュニケーション能力」(64.9%)、「6 改
善課題を指摘する能力」(61.5%)の順となっています。「3 受審組織の業務に対する理解」(53.5%)は、やや少なめでした。
「十分である」及び「概ね十分である」の回答を加算したものの比率は、いずれの項目についても 95%を上回る高い値を示しています。（図 10-1）

1. マネジメントシステムに関する知識及び業務経験
N=1,216十分である, 76.8%

概ね十分である, 22.5%

やや不十分である, 0.7%
不十分である, 0.1%

2. 情報システム、情報セキュリティに関する知識及び業務経験
N=1,213十分である, 72.5%

概ね十分である, 26.1%

やや不十分である, 1.2%
不十分である, 0.2%

3. 受審組織の業務に対する理解
N=1,214十分である, 53.5%

やや不十分である, 4.3%

概ね十分である, 41.8%

不十分である, 0.5%

4. コミュニケーション能力
N=1,214十分である, 64.9%

5. 審査技術 N=1,215

十分である, 66.1%

概ね十分である, 32.3%

やや不十分である, 2.3%
不十分である, 0.5%

概ね十分である, 31.7%

やや不十分である, 2.1%
不十分である, 0.1%

6. 改善課題を指摘する能力
N=1,214十分である, 61.5%

概ね十分である, 34.2%

やや不十分である, 3.5%
不十分である, 0.7%

0%

10%

20%

30%

40%

50%

図 10-1 審査員の力量

15

60%

70%

80%

90%

100%

質問１０と質問５とのクロス集計
審査員の力量に関する 6 項目の評価結果のうち、「十分である」の比率を、ISMS 認証取得後の経過年数の 4 階級ごとにクロス集計してみました。（図 10-2）
項目によって、若干の差異があるものの、ISMS 認証取得後の経過年数を経るにしたがって、「十分である」の比率が減少する傾向がみられます。特に経過年数が 3 年を境にして、段階的に減少する傾向にあります。これは、受審側組織が ISMS の運用、改善の実績を積むに従い、審査に対する要求度、期待度が高くなるのは当然としても、審査側がそれに応えきれていないことを示すものと思われます。特に、受審組織にとって ISMS 取得 3 年後に再認証審査を受けることが、審査に対する要求度が高まる契機になっているようです。
1. マネジメントシステムに関する知識及び業務経験（十分である）

1年以下

83.8%

82.0%

1年超3年以下

77.4%

3年超5年以下

69.6%

5年超

0.0%

10.0%

20.0%

30.0%

40.0%

50.0%

60.0%

70.0%

80.0%

90.0%

2. 情報システム、情報セキュリティに関する知識及び業務経験（十分である）

79.9%

1年以下

77.1%

1年超3年以下

71.4%

3年超5年以下

66.8%

5年超

60.0%

65.0%

70.0%

75.0%

80.0%

85.0%

3. 受審組織の業務に対する理解（十分である）

1年以下

60.4%

1年超3年以下

60.1%

3年超5年以下

51.3%

5年超

0.0%

47.5%

10.0%

20.0%

30.0%

40.0%

50.0%

60.0%

70.0%

図 10-2 組織の認証経過年数に伴う審査員力量評価の変化（続く）
16

4. コミュニケーション能力（十分である）

1年以下

73.4%

1年超3年以下

69.1%

3年超5年以下

63.7%

59.3%

5年超

0.0%

10.0%

20.0%

30.0%

40.0%

50.0%

60.0%

70.0%

80.0%

6. 審査技術（十分である）

75.3%

1年以下

71.9%

1年超3年以下

65.1%

3年超5年以下

59.0%

5年超

0.0%

10.0%

20.0%

30.0%

40.0%

50.0%

60.0%

70.0%

80.0%

6. 改善課題を指摘する能力（十分である）

73.9%

1年以下

67.9%

1年超3年以下

62.6%

3年超5年以下

51.1%

5年超

0.0%

10.0%

20.0%

30.0%

40.0%

50.0%

60.0%

70.0%

80.0%

図 10-2 組織の認証経過年数に伴う審査員力量評価の変化（続き）

17

質問１１

認証審査の質最近受審した審査の質について、審査の内容（規格適合性、管理策）、審査の時間、審査の所見・指摘、審査に対する総合評価の五つの観点で評価していただきました。（図 11-1）

規格適合性に関する審査
N=1214

満足, 71.0%

管理策に関する審査
N=1212

やや満足, 27.4%

満足, 64.9%

0%

10%

20%

何とも言えない, 8.9%

あまり役立たなかった, 2.1%
役立たなかった, 0.2%

役立った, 66.0%

満足, 69.5%

総合評価 N=1211

短い, 3.1%

長い, 12.5%

大いに役立った, 31.6%

審査所見 N=1210

30%

やや不満, 2.1%
不満, 0.3%

やや満足, 32.7%

適切, 75.6%

審査時間 N=1212

やや不満, 1.1%
不満, 0.5%

やや不満, 2.3%
不満, 0.2%

やや満足, 27.9%

40%

50%

60%

70%

80%

90%

100%

図 11-1 認証審査の質(1) 規格適合性に関する審査
審査の内容について、規格適合性の面から「満足」、「やや満足」、「やや不満」、「不満」の 4段階で評価して頂きました。
「満足」、「やや満足」を合計すると 98.4%の組織が良い評価をしています。
「やや不満」、「不満」な点の指摘としては、次のようなものがありました。
・「審査員の主観」や「思い込み」によるところがあった。
・審査チームの OJT 期間審査員の審査スキル、知識が低かった。
・具体的な例がほしい。
・審査としては画一的であり、現実と促さない事を指摘される事がある。
・内容を理解しているのか分からないような指摘や 雑談等で時間をつぶしていた。
(2) 管理策に関する審査
審査の内容について、管理策の審査の面から「満足」、「やや満足」、「やや不満」、「不満」の4 段階で評価して頂きました。
「満足」、「やや満足」を合計すると 97.6%の組織が良い評価をしています。
「やや不満」、「不満」な点の指摘としては、次のようなものがありました。
・審査員が同業経験者なのか当社の業務には比較的詳しく、その分先入観があると感じた
・あまり現実にそぐわない指摘をされたことがあった。
・管理策の実施レベルにおける脆弱性や有効性の把握に関するコメントが十分でない。
・管理策に対する新たな脅威や管理策に関する助言がない。
18

・実態とかけ離れた指摘があったり、Good Point とし良い評価をしておきながら 観察事項として指摘したり、報告書の内容を理解出来ないところがあった。
・システムに対する管理策に対して、審査のレベルが低い。
・内部監査で実施している管理策の確認程度と同レベルで審査を実施していることがある。
・ある審査員は、細かすぎる審査を実施した一方で、状況確認に終始した審査員もいた。
・最近の事件・事故状況に即した内容を踏まえた管理策への言及ではなかった（例えば 標的型攻撃）。
・審査の毎に管理策を増やすよう指摘をいただくが、管理策が多すぎて形骸化する。
(3) 審査時間「適切」、「長い」、「短い」、「何とも言えない」の 4 区分で回答を頂きました。
「適切」が 75.6%と回答の 4 分の 3 を占めましたが、「長い」としたものも 12.5%、「短い」というものも 3.1%ありました。
(4) 審査所見
審査の所見・指摘の有効性を、「大いに役立った」、「役立った」、「あまり役立たなかった」、「役立たなかった」の 4 段階で評価して頂きました。
評価は、「役立った」(66.0%)、「大いに役立った」(31.6%)、「あまり役立たなかった」(2.1%)の順で、「役立たなかった」というものも 0.2%ありました。
「あまり役立たなかった」及び「役立たなかった」点の指摘としては、次のようなものがありました。
・推奨事項の指摘が似通った項目に偏っており、項目数の割には管理策の改善点が少なかった。
厳しい指摘が得られないと審査を実施する意味が薄れる。
・審査員の経験のみに基づいた指摘であり、当社に適用することは無理な指摘が多く、こちら
がそのことについて説明しても理解してもらえないことも多々あった。
・所見・指摘の内容が一般的で自組織の実情に合致していなかった。
・「思い込み」が強い審査員で、当社の実情やリスクを十分に考慮された指摘でなかったため（リスクでもないことを指摘されてもどうしようもない）。
・実務において効率良く実現させるかの観点がやや少ないように感じた。
・指摘を改善してもあまり役に立たず、審査のための改善対応であった。
・指摘事項がミクロの内容に偏りがちなように見受けられる。 ミクロからマクロへの導き、
気付きがあると有難い。
・個別管理策に対する具体的な指摘が多かった分、マネジメント上の気付きとなるような指摘は少なかったと感じている。

19

(5) 総合評価
審査の質に対する総合評価として、「満足」、「やや満足」、「やや不満」、「不満」の 4 段階で評価して頂きました。
評価は、「満足」(69.5%)、「やや満足」(27.9%)、「やや不満」(2.3%)、「不満」(0.2%)の順であり、「やや不満」、「不満」な点の指摘としては、次のようなものがありました。
・部門の審査に時間をかけてもう少し課題を洗い出してほしい
・審査員の主観による内容を指摘され、対応に困ることがある。
・情報セキュリティの改善につながる指摘になっていないことがあった。
・コストに見合った効果が得られなかった。企業なので支払ったコストに対する何らかの効果が欲しい。
・審査員によって力量の差が大きいと感じた。
・定期審査と更新審査の審査レベルに開きがある
・指摘だけでなく、もう少しヒントとなる事例を紹介して欲しい。
・審査工数を減らして欲しい。
・情報システムの質を向上できる審査を強化してほしい
本質問に「満足」と答えた組織を、認証取得後の経過年数でクロス集計したものを示します。
（図 11-2）
ISMS 認証取得後の経過年数を経るにしたがって、審査に対して「満足」とする比率が減少しており、審査員の力量に関する質問 10 と同様の傾向がみられます。

77.8%

認証取得後の経過年数

1年以下

1年超3年以下

74.3%

70.1%

3年超5年以下

62.1%

5年超

0%

10%

20%

30%

40%

50%

60%

70%

80%

総合評価で「満足」と回答した割合

図 11-2 総合評価で「満足」とした組織の割合（認証取得後経過年数別）

20

90%

質問

１２

認証審査及び審査員に対するご意見・ご要望

今後の審査に向けて、認証審査及び審査員に対する意見・希望を、記述形式で尋ねました。
回答を六つに分類したものを示します。（図 12）

その他
18.5%

有用な指摘事項
報告/助言
30.4%

審査工数/料金
8.8%

認証機関の方針
13.8%
審査員の力量
23.5%

審査手法
5.0%

N=260

図 12 認証審査及び審査員への要望
ご意見・ご要望の主な例を、以下に示します。
・ 最新情勢や制約等と当社固有の事情の双方をふまえた上の、適切かつ改善に有効な指摘が欲しい。
・ 審査員によっては、規格で要求していない事項を要求する審査員がいる。
・ 最新セキュリティ技術、最新の脅威、知識の理解不足を感じる。
・ 会社経営についての知識が不足している。
・ 審査員の規格解釈、評価にばらつきがある。
・ 業務や組織の特徴を理解した審査をお願いしたい。
・ 審査時間を短縮して欲しい。
・ 審査費用を安くして欲しい。
・ 現状の審査に満足している。

21

認証機関の認定の信頼性について
質問１３

認定機関から認定を受けた認証機関の信頼性認定機関から認定を受けた認証機関の信頼性について、「認定の有無」、「国内の認定機関」、「MLA の効果」、「MS 認証懇親会の認知度」の四つの観点で評価していただきました。
(1) 認定の有無
認証機関の信頼性の判断材料として、認定の有無をどう評価したか尋ねました。
「重視した」及び「やや重視した」を合わせて約 3 分の 2 になる一方で、「まったく考慮しなかった」も 14.7%に上っています。（図 13-1）
認定の有無を考慮

4. まったく考慮しなかった,
14.7%

1. 重視した,
45.3%

3. 多少は考慮した, 19.7%

2. やや重視した, 20.3%

N=1201

図 13-1 認証機関の認定有無(2) 国内認定機関による認定を受けていること
認証機関が、国内の認定機関から認定されていることについての評価を尋ねました。
全数を対象とした集計（図 13-2）では、「重視した」が 38.9%でしたが、質問 13 の(1)で、認定の有無を「重視した」と応えた組織に限定すると、その 76.3%が国内認定を重視していることが分かります。（図 13-3）
認証機関が、国内の認定機関から認定を受けていることの有無（認定の有無重視の内数）

認証機関が、国内の認定機関から認定を受けていることの有無（全数対象）

4. まったく考慮しなかった5.5%
3. 多少は考慮
した
7.4%

4. まったく考慮しなかった, 18.4%
1. 重視した,
38.9%

無回答
0.9%

2. やや重視した
9.9%

3. 多少は考慮した,
23.8%

N=1193N=544

2. やや重視した, 18.9%

図 13-2 国内認定（全数対象）

1. 重視した
76.3%

図 13-3 国内認定（認定重視の場合）
22

(3) MLA 締結による事業への効果
今後 ISMS の MLA(*1 が締結されると事業への効果があるかについて、「そう思う」、「やや思う」、「あまり思わない」、「まったくそう思わない」の 4 段階で評価して頂きました。
その結果は、「あまり思わない」（41.5%）、「やや思う」（31.5%）、「そう思う」（17.0%）「まったくそう思わない」（9.9%）の順となりました。（図 13-4）
MLA締結による事業への効果
4. まったくそう思わない,
9.9%

1. そう思う,
17.0%

3. あまり思わない,
41.5%

2. やや思う,
31.5%

N=1197

図 13-4

MLA 締結の事業への効果(*1 MLA（国際相互承認）：ある国の認定機関の下で認証を取得すれば、MLA に参加している
他の認定機関があるどの国でも、その認証は同等であると相互に認める制度です。JIPDEC は現在、ISMS の MLA の体制作りに協力しています。

23

(4) MS 認証懇談会及びその活動の認知度「MS 認証懇談会とその活動をよく知っている」、「名
MS 認証懇談会(*2 及びその活動について、前と活動の一部を知っている」、「名前だけは聞いたことがある」、「知らない」の 4 段階でお聞きしました。
その結果は、「MS 認証懇談会を知らない」（65.8%）、「MS 認証懇談会の名前だけは聞いたことがある」（25.8%）、「MS 認証懇談会の名前と活動の一部を知っている」（8.0%）、「MS 認証
懇談会とその活動をよく知っている」（0.5%）の順となりました。
MS認証懇談会及びその活動の認知度
1. MS認証懇
談会とその
活動をよく
知っている,
0.5%

2. MS認証懇
談会の名前
と活動の一
部を知っている, 8.0%3. MS認証懇
談会の名前
だけは聞い
たことがある,
25.8%

4. MS認証懇談会を知らない, 65.8%

N=1168

図 13-5

MS 認証懇談会(*2 MS 認証懇談会：ISO マネジメントシステムに関係する団体（認定機関、認証機関など）をメンバーとし、我が国のマネジメントシステム認証の信頼性を確保・向上することを目標に活動しています。活動の一つとして、認定・認証の情報公開を進めています。
ご参考：http://www.isms.jipdec.or.jp/publicity/

24

制度全般に対するご意見等
質問１4 海外のパートナーとの制度の活用
事業活動を海外展開している組織に対し、海外のパートナーとの制度の活用状況に関して尋ねました。
(1) 海外のパートナーから ISMS 認証の取得を確認されたり、貴組織が ISMS 認証を取得していることをプラスに評価されたことがありますか（海外からの要求）
結果は、「3 確認されたことはない」(75.3%)、「1 確認され、プラス評価されたことがある」(13.4%)、「2 確認されたことがあるが、プラス評価されたことはない」(11.4%)の順となりました。
(2) 海外のパートナーに ISMS 認証の取得を要求したり、海外のパートナーが ISMS 認証を取得する必要性を感じたりしていますか（海外への要求）「3 要求していないし、必結果は、「2 要求していないが、必要性を感じている」(55.5%)、
要性も感じていない」(39.9%)、「1 要求している」(4.5%)の順となりました。
海外への要求海外からの要求
1. 確認され、プラス評価されたことがある。, 13.4%
3. 確認されたことはな
い。, 75.3%

3. 要求していないし、必要性も感じていない。,
39.9%

2. 確認されたことがあるが、プラス評
価されたことはない。,
11.4%

1. 要求している。, 4.5%

2. 要求していないが、必要性を感じている。, 55.5%

N=353

N=352

図 14-1 海外からの ISMS 認証要求

図 14-2 海外への ISMS 認証要求

25

質問１５

本センターへの期待認定機関として、認証機関を認定する立場にある当センターに対するご希望を、記述形式でお尋ねしました。
回答を 9 分類した結果、「審査員力量／認証機関能力」(31.9%)が最も多く、次いで「制度の普及・広報、運営推進」(15.1%)、「情報の提供及び公開」(12.7%)となっています。（図 15）
本センターへの期待

その他, 7.2%

制度の普及・広報、運営推進,15.1%

Pマーク制度関連,
3.0%
規格・基準の制定、改定, 3.6%
認定活動, 11.4%

情報の提供及び公開, 12.7%

審査工数、費用,
8.4%

研修、セミナー,6.6%

審査員力量/認証
機関能力, 31.9%

N=166

図 15 認定機関 JIPDEC への期待
9 分類について、それぞれ主なご意見を以下に紹介します。
(1) 制度の普及・広報、運営推進、制度の活用に関するもの
・ ISMS の有効性について広く啓発活動を推進し認知度を上げていって欲しい。
・ ISMS の重要性をもっとアピールしてほしい。
(2) 規格や技術等の情報の提供、制度の情報公開に関するもの
・ 認証機関の評価とその結果を公開してほしい。
・ 最近のセキュリティに関する各種動向及びリスク対応の事例等の紹介を希望する。
・ 定期的なアンケート実施と結果の公表をお願いします。
・ 情報流出及びその後の対応について個別の情報を把握できるとありがたい。
(3) 研修、セミナーの実施に関するもの
・ 実例を交えた研修を実施してください。
・ 内部監査員等、スキルアップのための定期的な教育資料の提供を希望します。
・ ISMS 説明会を東京、大阪以外でも実施してください。
(4) 審査員の力量、認証機関の能力、方針、営業活動に関するもの
・ 各認証機関の認証レベルが一定の水準に維持されること。
。
26

・ 審査員によって指摘内容の意味（解釈）が異なることがあるので、ズレが生じないようにしてほしい。
(5) 審査工数、費用に関するもの
この分類項目では、審査費用、登録・維持費用の低減に関する要望が多くありました。
(6) 認定活動に関するもの
・ 認証機関のレベルの差（力量・規格解釈等）がなくなるように取組を行っていただきたい。
・ 認証機関の定期的なチェックを徹底いただき、認証機関としてふさわしくない機関に対しては、認定取消し等の厳しい処置を実施していただきたい。
(7) 規格、基準の制定、改訂に関するもの
・ 管理策における業種別の標準（基準）を示してほしい。
・ 規格を分かり易い文章にしてほしい。
(8) プライバシーマーク制度関連
・ ISMS とプライバシーマークの審査を同時に行ってほしい。
・ プライバシーマークとの統合、あるいは同時取得の場合の手続きの簡略化を検討してほしい。
(9) その他
満足している旨の回答、意味不明の回答などのほかに、今回のアンケート調査に関する意見、要望（紙ではなく電子にして欲しい等）が数件ありました。

27

質問１６

制度全般に対するご意見・ご要望

ISMS 制度全般に対するご意見・ご要望を、記述形式で尋ねました。
回答内容を質問 15 と同じ分類項目で分類した結果は次のとおりです。
（図 16）
質問 15 及び質問 16 の個々の回答内容に関しては、重複、類似したものが相当数ありました。
制度全般に対するご意見・ご要望

制度の普及・広報、運営推進,24.5%

その他, 15.5%

Pマーク制度関連,
9.7%

情報の提供及び公開, 8.4%
規格・基準の制定、改定, 16.8%

研修、セミナー,3.2%

認定活動, 1.3%
N=155

審査工数、費用,
11.6%

審査員力量/認証
機関能力, 9.0%

図 16 ISMS 制度全般に対する意見・要望
9 分類について、それぞれ主なご意見を以下に紹介します。
(1) 制度の広報、普及、運営推進、制度の活用に関するもの
ISMS 制度の認知度向上の要望が、当該分類項目全体の半数近くを占めています。
その他として、次の様なご意見がありました。
・ ISMS のレベル付けができれば、認証への信頼性が向上されるのではないか。
・ 車のゴールド免許のように、複数年継続していたらランクが上がるような仕組みをすれば、企業としての価値も上がるのではないでしょうか。
(2) 規格や技術等の情報の提供、制度の情報公開に関するもの
質問 15 の場合と同様、ISMS に関する有益な情報を、他社事例や最新の規格の動向などを含めて情報公開する要望が多くありました。またこれらの中には、急速に変化している情報セキ
ュリティをめぐる環境に対応できるよう有効な仕組みや考え方などの要望も含まれています。
(3) 研修、セミナーの実施に関するもの
回答内容は、質問１5 と類似していました。
(4) 審査員の力量、認証機関の能力、方針、営業活動に関するもの
回答内容は、質問１5 と重複、類似が多かったが、それらを除いた回答例を以下に示します。
・ 規格の要求事項等は、形式に流れず、真に企業の実務にとって意味(効果)のあるように解28

釈、又は運用をお願いする。
・ 重大なインシデントを起こした企業は即時に認証を取り消すべきではないでしょうか。
(5) 審査工数、費用に関するもの
質問１5 の場合と同様、審査費用、登録・維持費用の低減に関する要望が多くありました。
(6) 認定活動に関するもの
この分類項目での回答例を以下に示します。
・ 認証機関の業界内評価などを公表してほしい。
・ 使命感をもって、厳しく覚醒を促す対応をしていただきたい。
(7) 規格、基準の制定、改訂に関するもの
回答内容は、規格の日本語が分かりにくいという意見が多くありました。また、技術動向を考慮したガイド、リスク受容基準のガイド、情報の取扱いに関する具体的なガイド等、各種ガイドラインへの希望も目立ちました。
他に、規格の要求事項の中に、建物・設備関係の規格部分を増加させても良いのではないか、
社内の意識向上のため（教育資料として利用できるような）規格要求、管理策の解説等が欲しいなどの要望がありました。
(8) プライバシーマーク制度関連
質問 15 の場合と同様、ISMS 制度とプライバシーマーク制度との調和、統合を求める意見が多くありました。
(9) その他
満足している旨の回答、意図が把握できなかった回答などです。

29

おわりに

ISMS 制度のユーザーである組織と本協会とが直接情報交換する機会は、制度の説明会、セミナーなどの制度の普及、広報活動の場や、Web による情報提供、Q&A に限られていましたが、今回、アンケート調査により、数多くの組織から生の声を聞くことができ、大変有意義な結果を得られました。
お忙しい中をアンケートにご協力下さいました組織ご担当者の皆様に、この場をお借りして改めて御礼申し上げます。
ISMS 制度は、QMS、EMS などに比べるとまだ歴史が浅く、認証を取得して 5 年以内の組織が 6 割以上を占めます。組織のマネジメントシステムと同様、制度自体も発展途上にあります。このことがアンケート調査結果に反映されており、組織のマネジメントシステムを改善するための具体策に尽力されていることがうかがえ、これが審査や制度推進に対する具体的な要望となって表現されています。
また、マネジメントシステムを構成する人的側面の重要性を認識されており、これが人材育成、教育を今後の主な課題としている組織が多いことで示されています。
一方、技術的な側面に関しての具体的な課題も多く、組織にとって役に立つ情報を提供することが求められています。
ISMS は、将来起こり得るリスクに備えるための仕組みであり、日常の事業活動のアウトプ
ットに必ずしも直結しないため、費用対効果を説明しにくいという特質がありますが、これが、経営者の ISMS に対する投資を消極的にさせる要因の一つになっているものと思われ、今回の調査でも、審査、登録、維持に対する費用の低減を求める意見が多く見られました。
ISMS 制度を運用する側の認定機関、認証機関の役割は、審査の信頼性を高め、組織の ISMSの価値を高めることにあります。このためにも、今回のアンケート調査結果を最大限に活用させていただく所存です。
本報告書は、本制度に関する様々な立場の関係者に読んでいただき、各々の立場で課題の解決に尽力されることを願いまして結びとします。

30

付録

ISMS 適合性評価制度に関するアンケート調査書

付録-1

平成 23 年度

ISMS 適合性評価制度に関するアンケート調査書
はじめにISMS 適合性評価制度は、民間主体の制度として 2001 年度にスタートし、約１年間のパイロット運用を経て、2002 年 4 月から本格運用に入り、今日に至っております。
この間、コンピュータ処理への依存度の高まりやインターネットの爆発的な広がりとともに、それに比例して情報資産への脅威も増大し、システムや人的な脆弱性を突いたセキュリティ事
故も件数、規模ともに増加してきています。このような背景から、自社のみならず取引先における情報セキュリティ管理のリスクを把握する重要性についての認識は格段に高まってまいりました。
これを受けて 2008 年に、ISMS 制度の実態を把握し、制度の信頼性をより高めることを目的としてアンケートを実施しました。本調査は、前回調査から 3 年が経過し、新たに約 1,000 の組織が認証を取得されたことから、現時点での ISMS 適合性評価制度の状況確認と、この 3 年間で課題となってきた認証・認定制度の信頼性に対する意識を調査することで、その結果をもとに制度の運用状況を把握し、改善を図ることを目的としています。

アンケート調査にお答えいただく前にアンケート調査に回答いただく前に、下記の回答情報の取扱方針に対して、記入者の同意をいただくことにしております。同意いただける場合は、下記のチェック個所に記入いただいた上、本ページを含めてご返送ください。
本アンケート調査では回答者の所属、氏名、連絡先等の情報を記入いただくことにしております。これらの個人情報を含む回答情報は、一般財団法人日本情報経済社会推進協会の個人情報保護方針*に基づいた下記の方針にしたがって利用させていただきます。
注*

http://www.jipdec.or.jp/ov/kojin.html［個人情報管理者］
本アンケート調査業務における個人情報管理者は下記のとおりです。
一般財団法人日本情報経済社会推進協会 情報マネジメント推進センター ISMS 制度推進室長［個人情報の取扱いについて］
当センターでは、回答欄に記入いただいた個人情報を、本アンケート調査内容に関する確認及びアンケート調査結果のご報告のために使用いたします。当センターは、これらの業務を含む
アンケート調査に関わる業務の一部を外部委託いたします。外部委託事業者は、十分な保護水
準を満たしており、契約等により適切な処置を講じています。
当センターが取得した個人情報は、法令等による場合を除いて第三者に提供することはありません。
当センターが取得した個人情報の安全管理のために、必要かつ適切な措置を講じます。
当センターが取得した個人情報は、本人からの開示、訂正、削除、利用停止等の要請に対して
付録-2

遅滞なく対応いたします。
［回答内容全体について］
回答情報は、ISMS 適合性評価制度全般の運用状況を把握し、今後同制度を改善するために使用します。貴組織名を特定した回答情報は公開いたしません。
［集計・分析結果について］
回答情報を集計・分析した結果は報告書にまとめ、当センターの HP で公開いたします。
上記の方針に同意いただけるでしょうか。□内にチェック印を記入してください。
□同意する□同意しない同意いただける場合、以下のアンケート調査にご協力ください。

記入要領
質問項目は全部で、16 問です。回答は、該当する番号に○印を付けていただくものと、回答情報を記入していただくものとがあります。

調査書の返送について
調査書は、同封の返信用封筒に入れて、郵送していただくか、又は下記の連絡先に FAX 送信
してください。
回答希望期日：２０１１年１２月末日までにご回答をお願いいたします。

連絡先
一般財団法人日本情報経済社会推進協会

情報マネジメント推進センター[ 2011 年 12 月 22 日まで]

[ 2011 年 12 月 26 日以降]

電話番号：03(3432)9386

電話番号：03(5860)7570

FAX 番号：03(3432)6200

FAX 番号：03(5573)0564※本アンケート実施に関しては、http://www.isms.jipdec.or.jp/enquete/2011/
い。

付録-3

もご覧くださ質問及び回答
基本情報について
貴法人名及び回答者の所属、氏名、連絡先等について記入してください。
法人名：
回答者
所在地：〒
所属、役職：
氏名：連絡先：E-Mail
TEL
質問１

貴法人の業種を、下記の業種区分から選択してください。複数業種に関連する場合は、

主力業種１つのみ選択してください。12、21 又は 23 を選択した場合、( )の中に業種を記入してください。18 を選択した場合、さらに 18-1 から 18-10 から該当するものを１つのみ選択してください。18-10 を選択した場合、( )の中に業種を記入してください。
1.

食料品･飲料･タバコ等の製造業

2.

衣服･天然素材繊維製品の製造業

3.

木材･木製品･パルプ･紙等の製造業

4.

出版･印刷業5.

化学薬品･化学製品(化学繊維を含む)･医薬品の製造業

6.

石油･石炭･ゴム･プラスチック等の製造業

7.

ガラス･セラミック･コンクリートの製造業

8.

鉄鋼･非鉄金属業･金属製品の製造業

9.

機械･機器の製造業

10.

電気/電子機器･光学的装置製造業

11.

輸送機器製造業

12.

その他の製造業（

13.

建設業(エンジニアリングを含む)

14.

廃棄物処理業･再生業

15.

電力･ガス･熱･水道供給業

16.

卸売･小売業

17.

金融･保険･不動産業

18.

情報技術

）

付録-4

18-1

通信業

18-2

放送業

18-3

システムインテグレーション業

18-4

受注ソフトウェア業

18-5

ソフトウェアプロダクト業

18-5

計算事務等情報処理業

18-6

システム等管理運営受託業

18-7

データベースサービス業

18-8

インターネット附随サービス業

18-9

映像・音声・文字情報制作業

18-10

その他（

19.

ホテル･レストラン業

20.

医療関係

21.

その他サービス業（

22.

公共･行政･教育機関

23.

分類不明（

質問２

）

）
）

貴法人が株式会社の場合、貴法人の資本金について、下記のうち該当するものを選択

してください。
1.

5000 万円以下

2.

5000 万円超、1 億円以下

3.

1 億円超、3 億円以下

4.

3 億円超

質問３

貴法人が常時使用する従業員の数について、下記のうち該当するものを選択してくだ

さい。
1.

5 人以下

2.

5 人超、20 人以下

3.

20 人超、50 人以下

4.

50 人超、100 人以下

5.

100 人超、300 人以下

6.

300 人超質問４(1)

ISMS 取得の認証範囲についてお答えください。

貴組織における認証範囲（一部認証の場合は従業員数の割合）をお答えください。
1. 全社

2. 全社の 75%以上

3. 全社の 25%～75%
付録-5

4. 全社の 25%未満

(2)認証範囲の従業員数を概数でお答えください。
約（

(3)

）人

認証範囲に特筆すべき特徴（例えば、グループ企業による取得）があれば記入してください。

ISMS 認証の運用実績等について
質問５

貴組織が ISMS 認証を初めて取得してから現在までの経過年数及び現在の認証登録番号をお答えください。
経過年数（
質問６

年

認証登録番号（か月））

ISMS 導入の目的又は動機について、下記の各項目が該当するか否かをお答えくださ

い。
該当しない

余り該当しない目や や 該 当す る

項

該当する

No.

1

組織の情報セキュリティ管理体制の強化のため

1

2

3

4

2

組織の情報セキュリティ対策の強化のため

1

2

3

4

3

社員の情報セキュリティに関する意識高揚、教育啓発のため

1

2

3

4

4

入札、受注の条件、取引先からの要請による

1

2

3

4

5

顧客からの信頼を確保するため

1

2

3

4

6

企業イメージの向上のため

1

2

3

4

7

同業他社との差別化、営業上の優位性の確保のため

1

2

3

4

8

全社の方針による

1

2

3

4

上記 1～8 以外に、目的又は動機として意識された事項がありましたら、記入してください。

付録-6

質問７

ISMS を導入し、認証を取得された効果について、下記の各項目が該当するか否かをお答えください。
該当しない

余り該当しない目や や 該 当す る

項

該当する

No.

1

組織の情報セキュリティ管理体制が強化できた

1

2

3

4

2

組織の情報セキュリティ対策が強化できた

1

2

3

4

3

社員の情報セキュリティに関する意識高揚、教育啓発に寄与した

1

2

3

4

4

顧客からの信頼確保に貢献した

1

2

3

4

5

企業イメージの向上に貢献した

1

2

3

4

6

営業上、同業他社に対する優位性の確保に貢献した

1

2

3

4

7

事業の収益向上に貢献した

1

2

3

4

8

IT 統制、J-SOX 法対応に有効であった

1

2

3

4

9

情報面での事業継続性の向上に有効であった

1

2

3

4

10

法遵守（コンプライアンス）の面で有効であった

1

2

3

4

11

ソフトウェアの資産管理に有効であった

1

2

3

4

上記 1～11 で 1(該当する)を選択された場合、また 1～11 以外に効果として特筆すべき事項がありましたら、その具体的な内容や例を差し支えない範囲で記入してください。

質問８

顧客から、貴組織の情報管理リスクの把握のため、例えば実査、監査報告書など、ISMS

認証文書（登録証）の他に求められたことがありますか。あればどのようなものでしたか、差し支えない範囲で記載してください。

質問９

貴組織の ISMS 認証取得、維持に関する今後の主な課題について、差し支えない範囲で記入してください。

付録-7

審査員の力量及び審査の質について
質問１０

最近受審された ISMS 認証審査において、審査員の力量を下記の観点で評価してください。
不十分である

やや不十分である目

概ね十分である

項

十分である

No.

1

マネジメントシステムに関する知識及び業務経験

1

2

3

4

2

情報システム、情報セキュリティに関する知識及び業務経験

1

2

3

4

3

受審組織の業務に対する理解

1

2

3

4

4

コミュニケーション能力

1

2

3

4

5

審査技術

1

2

3

4

6

改善課題を指摘する能力

1

2

3

4

質問１１

最近受審された ISMS 認証審査の質を下記の観点で評価してください。

［審査の内容］(1)-a

マネジメントプロセス、マネジメント文書の規格適合性に関する審査内容を、下記の４段階で評価してください。３又は４を選択された場合は、不満な点を簡潔に記入してください。
1.

満足

2.

やや満足

3.

やや不満

4.

不満

(1)-b

管理策に関する審査内容を、下記の４段階で評価してください。３又は４を選択された

場合は、不満な点を簡潔に記入してください。
1.

満足

2.

やや満足

3.

やや不満

4.

不満

付録-8

［審査の時間］(2)

組織の ISMS の有効性を含む実施状況の評価に関する審査時間を、審査の信頼性の観点か

ら、下記の項目で評価してください。
1.

適切

2.

長い

3.

短い

4.

何とも言えない［審査の所見・指摘］(3)

審査所見・指摘の、マネジメントプロセス、マネジメント文書、管理策、及びそれらの運用を改善するうえでの有効性を、下記の４段階で評価してください。３又は４を選択された場
合は、役立たなかった点を簡潔に記入してください。
1.

大いに役立った

2.

役立った

3.

あまり役立たなかった

4.

役立たなかった［審査に対する総合評価］(4)

総合的に見た審査の質を、下記の４段階で総合評価してください。３又は４を選択された

場合は、不満な点を簡潔に記入してください。
1.

満足

2.

やや満足

3.

やや不満

4.

不満

質問１２

今後の認証審査及び審査員に対して、ご意見、ご要望等がございましたら、記入してください。

付録-9

認証機関の認定の信頼性について
質問１３

認定機関から認定を受けた認証機関による ISMS 認証の信頼性について、最も当てはまると思うものをご回答ください。また(1)～(3)については、その理由を簡潔に記入して
ください。
(1)

認証機関の信頼性の判断材料の一つとして、認定の有無を考慮しましたか。
1. 重視した

2. やや重視した

3. 多少は考慮した

4. まったく考慮しなかった

(理由)

(2)

認証機関が、国内の認定機関から認定を受けていることを意識しましたか。
1. 重視した

2. やや重視した

3. 多少は考慮した

4. まったく考慮しなかった

(理由)

(3)

ISMS の MLA(*1 が締結されると、事業への効果があると思いますか。
1. そう思う

2. やや思う

3. あまり思わない

4. まったくそう思わない(理由)(*1 MLA（国際相互承認）：ある国の認定機関の下で認証を取得すれば、MLA に参加している他の認定機関があるどの国でも、その認証は同等であると相互に認める制度。JIPDEC
は現在、ISMS の MLA の体制作りに協力しています。
(4)

(*2

MS 認証懇談会(*2 及びその活動をご存知ですか。
1.

MS 認証懇談会とその活動をよく知っている

2.

MS 認証懇談会の名前と活動の一部を知っている

3.

MS 認証懇談会の名前だけは聞いたことがある

4.

MS 認証懇談会を知らない

MS 認証懇談会：ISO マネジメントシステムに関係する団体（認定機関、認証機関など）をメンバーとし、我が国のマネジメントシステム認証の信頼性を確保・向上することを目標に活動している。活動の一つとして、認定・認証の情報公開を進めている。
ご参考：http://www.isms.jipdec.or.jp/publicity/

付録-10

制度全般に対するご意見等
質問１４
(1)

貴組織が事業活動を海外展開されている場合のみ、ご回答ください。

海外のパートナーから ISMS 認証の取得を確認されたり、貴組織が ISMS 認証を取得していることをプラスに評価されたことがありますか。

(2)

1.

確認され、プラス評価されたことがある。

2.

確認されたことがあるが、プラス評価されたことはない。

3.

確認されたことはない。

海外のパートナーに ISMS 認証の取得を要求したり、海外のパートナーが ISMS 認証を取得する必要性を感じたりしていますか。
1.

要求している。

2.

要求していないが、必要性を感じている。

3.

要求していないし、必要性も感じていない。

質問１５

認定機関として、認証機関を認定する立場にある当センターに期待することがございましたら、記入してください。

質問１６

ISMS 適合性評価制度全般に対して、ご意見、ご要望等がございましたら、記入してください。

以上
アンケートにご協力いただき、ありがとうございました。
[ 最後に ]
回答をご返送頂くにあたり、2 ページ目の個人情報等の扱いに関する方針について「同意する」の欄にチェックされていることをご確認ください。
付録-11