国際システム審査株式会社
ISMS 認証サービスご利用のご案内

国際システム審査株式会社〒450-0003

愛知県名古屋市中村区名駅南一丁目 16 番 30 号
TEL：052-582-3666

東海ビルディング 7 階
FAX：052-582-3668

P02IS03 24/09
1/31 ページ目次

１． はじめに ····························································· 3
２． 認証活動の全体像 ····················································· 4
３． 認証審査について ····················································· 5
３．１ 認証審査実施にあたってのスタンス ······························································ 5
３．２ 認証審査の種類と目的 ················································································6
３．３ アドオン認証 -ISMS クラウドセキュリティ認証- ············································8３．３．１ ISMS クラウドセキュリティ認証とは ···················································8３．３．２ ISMS クラウドセキュリティ認証審査の実施について·······························9

４． お客様にご準備いただきたい事項と審査の詳細 ·························· 10
４．１ 各審査共通のご準備をお願いする事項 ························································· 10
４．２ 初回認証審査 目的と方法 ········································································ 12

４．２．１ 第１段階審査について ···································································· 12
４．２．２ 第２段階審査について ···································································· 14
４．３ サーベイランス審査 目的と方法 ······························································· 16
４．４ 再認証審査 目的と方法 ··········································································· 18

５． 各認証審査での指摘の分類と対応の方法 ································ 20
５．１ 各認証審査での指摘の分類 ········································································ 20
５．２ 各認証審査での指摘（不適合）への対応方法 ················································ 22

６． 認証の表明／認定シンボル・認証マークの利用方法 ······················ 23
６．１ 認証の表明、認定シンボル・認証マーク 用語·············································· 23
６．２ 認証表明／認定シンボル・認証マークの表示形式 ·········································· 24
６．３ 認証の表明、その利用範囲・制限細則 ························································· 26

６．３．１ 認定シンボルのデザイン変更に伴う利用の変更に関して ······················· 31
６．４ 不適切な認証表明/認定シンボル・認証マーク等の使用例································ 30

P02IS03 24/09
2/31 ページ

1. はじめにこのたびは国際システム審査株式会社（以下略称 ISA）の認証サービスをご利用/ご検討いただき誠にありがとうございます。
本案内書には ISA の ISMS 認証サービスをご利用いただくにあたって、お客様にご理解いた
だきたい事項をまとめております。
マネジメントシステム認証活動は、お客様と認証機関である ISA による相互の協力関係な
しには成り立ちません。是非、本案内書をご確認いただき、認証活動の全体像、個々のプロ
セスについてご理解をいただくとともに、積極的に ISA との協同作業を進めていただければと存じます。
本書をご覧いただく中で、あるいは認証サービスをご利用いただく中で、生じた疑問については、ご遠慮なくご質問を賜れればと存じます。

ご連絡・ご質問受付：
国際システム審査株式会社（略称 ISA）
ISMS 担当
Tel 052-582-3666

Fax 052-582-3668

P02IS03 24/09
3/31 ページ

2.

認証活動の全体像
マネジメントシステム認証は、お客様が自らの責任で行う自組織のマネジメントシステ
ム構築・運用・改善活動と、私共 ISA が行う認証審査・登録事務活動の相互連携で成り立つ仕組みです。

P02IS03 24/09
4/31 ページ

私共 ISA は、認証活動の結果、お客様が構築し運用するマネジメントシステムが、認証基準(ISMS においては[ISO/IEC 27001])の要求事項に準拠している状況を確認できた場
合に、お客様に対して「認証」の付与もしくは維持の決定をします。
また認証を付与/維持されているお客様におかれましては、本書の『6 の認証の表明/認定シンボル・認証マークの利用方法』にある基準に従って、この認証（マークやロゴあるいは証書や審査報告書などの事）を事業の用に供することができます。

3.

認証審査について
ISA の行う認証活動には、お客様のマネジメントシステムの運用改善の状況を継続的に評価する次の活動が含まれます。
⚫

初回認証審査・サーベイランス審査・再認証審査など ISA から審査員を派遣して、お客様の事業所内で行う「審査」活動⚫

審査チームからの報告を踏まえて、認証の付与・維持・再認証あるいは取消し・一時停止等を決定する判定活動⚫

お客様からのマネジメントシステムの変更申請受付と対応⚫

お客様に対するマークの使用状況の照会確認⚫

ISA に寄せられたお客様との間に利害関係を持つ様々な組織・個人からの意見/苦情、又はお客様から当社が受けた社会的責任が問題となる規模の事件・事故発生報
告に基づく調査

この中でも多くのお客様にとって一番気がかりなのは、ISA の審査員が直接お客様と面談する「審査」活動かと思います。ここでは認証審査のスタンス、認証審査各段階の目的と方法、そして各段階でお客様にご依頼するご準備事項（どの段階でも共通の準備事
項と各段階で異なる準備事項があります）についてお知らせします。

3.1 認証審査実施にあたってのスタンス
認証審査活動は、原則として、お客様の事務所に ISA から指示を受けた審査員が訪問して行います。
審査員は、お客様から提出されたマネジメントシステム文書や記録の閲覧、お客様組織
内の役職員の皆さんへのインタビュー、作業や事務現場での活動の観察、手順文書や活動記録、情報処理システムの運用・管理状況等の確認を通じて、規格への合致（適合性）とお客様が確立した方針や目的の達成に向けた活動の進展状況を評価していきます。

P02IS03 24/09
5/31 ページ3.2 認証審査の種類と目的
認証審査には、段階あるいは時期ごとに異なる名称と目的があります。
名称

第１段階
審査
初
回
認
証
審
査
第２段階
審査

サーベイランス
審査(維持審査)

実施する段階／時期

初回認証審査は、審査申し込み後初めて受ける審査です。
マネジメントシステムの計
画状況の確認の為、文書審査を主体とする第 1 段階審
査と、マネジメントシステ
ムの実施状況の確認を行う
第 2 段階審査の 2 回に分けて実施します。
第２段階審査は、第１段階
審査後、おおよそ２ヶ月程度間をおいて受けていただ
きます。

初回認証審査完了後、再認証審査までの期間、１年毎(ご要望がある場合半年毎)に受けていただきます。
有効期限月の前後 2 か月(有効期限月を含む 5 か月間)の間に実施いただきますが、初回認証審査後初の審査のみ認証登録日を起点として1 年以内に受けていただく
必要があります。

目的
⚫
⚫
⚫

⚫

⚫
⚫

⚫

⚫

⚫
再認証審査は、登録証の有効期限月の３ヶ月前から、有効期限の 1 ヶ月前までに実施します。

⚫

再認証審査
注）不適合が出た場合の是正処置の実施に必要な期間を考慮し、通常は有効期限の 3 ヶ月～2 ヶ月前の間に計画させていただきます。

⚫
⚫

御社の組織及び組織を取り巻く状況を理解すること。
御社の ISMS 及びその準備状況を理解すること。
第２段階審査に移行できるかを判断し、その審査計画の焦点を定めること。（どの部門に比重を置いて審査を実施すべ
きかを定める）
情報セキュリティ方針、情報セキュリテ
ィ目的、手順に従って構築された ISMS が実施されていることを確認すること。
ISMS 規格のすべての要求事項に適合していることを確認すること。
御社 ISMS が情報セキュリティ方針及び
情報セキュリティ目的を実現しつつあることを確認すること。

御社が、経営環境の変化を踏まえ、ISMSの必要な見直しを実施している事を確認すること。
ISMS が引き続き適切に実施されている
こと、認証要求事項を満足していることを確認すること。

ISA 登録後の全期間の ISMS の運用実績、審査結果を踏まえ、続く有効期限まで、御社へ認証を継続して付与しうるかを評価すること。
情報セキュリティ方針、情報セキュリテ
ィ目的、手順に従って構築された ISMS が実施されていることを確認すること。
ISMS 規格のすべての要求事項に適合していることを確認すること。
御社 ISMS が有効に機能し、情報セキュ
リティ方針及び情報セキュリティ目的を実現しつつあることを確認すること。

P02IS03 24/09
6/31 ページ

【以下特別な審査】
名称変更/拡大/縮小
審査

実施する段階／時期

目的

既に授与した認証範囲を定期審査とは別の機会に、臨時に登録範囲を変更・拡大・縮小する申請があった場合に実施します⚫
他の審査と同時に行う場合もあります。
注）
変更の影響の大きさに応じて、次回審査で確認するか、別途特別審査として実施するか決定します。
変化の程度に応じ追加工数/費用が発生する場合があります。

フォローアップ審査

初回認証審査の第二段階、
変更・拡大・縮小審査、サーベイランス審査、再認証審
査でメジャー（重大）な不適合事項が報告された場合に計画し、実施します。

⚫

不適合が除去されるとともに、再発防止の計画と対応が完了していることを、原則として現場で確認します。
(審査の実施方法は不適合の内容によって異なります。)⚫

お客様のマネジメントシステムの重大な問題点を調査し、認証の維持が可能であるか評価することを目的とします。
(ISA に寄せられるお客様に対しての苦情や情報を分析し、実施方法を決定します。審査の方法は目的に応じて異なります。)⚫

規格の改訂に伴い、最新版の規格に適合している事（最新版に準拠している事）の確認を目的とします。

注）
追加の審査となりますので通常の審査とは別料金を徴収致します。

短期予告審査外部からの苦情や受審組織の社会的責任が問題となる事件・事故の発生に対する調査のため、又は規格の要求事項を継続的に満たすマ
ネジメントシステムの能力に影響を与える可能性のある変更に対して、又は一時停止とした組織のフォローアップとして短期の予告で実施する審査です。

御社の ISMS が、変更された適用範囲を含めて確立し運用されていることを評価すること。

注）
追加の審査となりますので通常の審査とは別料金を徴収致します。

移行審査

マネジメントシステムの適用規格に改訂があった場合に、お客様が改訂版へ適切に対応しているかを確認する為に実施する審査です。
注）
規格改訂版の発行に際し、通常移行
期限が設定されます。設定された移行期限までに移行を完了する事が求められます。

P02IS03 24/09
7/31 ページ3.3 アドオン認証-ISMS クラウドセキュリティ認証-

ISA の提供する ISMS 認証サービスにおいては、お客様のご要望に応じ、従来からの ISMS
認 証 に 追 加 す る 形 で 、 ク ラ ウ ド セ キ ュ リ テ ィ に 関 す る 国 際 規 格 、 ISO/IEC27017「ISO/IEC27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」を取り込んだ ISMS クラウドセキュリティ認証審査(以下、クラウド認証)を提供させていただく事が可能です。

3.3.1

ISMS クラウドセキュリティ認証とはクラウド認証の対象は、クラウドサービスを提供される組織又は利用される組織であり、クラウドサービスの種類(SaaS/PaaS/IaaS 等)は問いません。
クラウドサービス提供者、クラウドサービス利用者それぞれの立場に対して
ISO/IEC27017 には管理策のガイドラインがあり、本ガイドラインに沿って ISMS(クラウド認証含む)の認定機関『一般社団法人情報マネジメントシステム認定センター(略称：ISMS-AC)』の定めた認証基準(JIP-ISMS517)に則って審査するのがクラウド認証です。
クラウド認証は、クラウドサービス利用者/クラウドサービス提供者のどちらか一方の立場として、又は提供者と利用者双方の立場として認証審査を受けていただく事ができます。ただし、他社の提供するクラウドサービス上に自社サービスを構築/提供する場
合は、利用者と提供者双方の立場で認証を取得する事が求められます。
またクラウド認証は、ISMS 認証をベースとしたアドオン認証である為、ISMS 認証を取得される事無く単独で取得する事はできません。
既に ISMS 認証を取得されている組織が追加する形、もしくは ISMS 認証とクラウド認証を同時に新規認証される形で審査を受けていただく必要があります。
(クラウド認証の範囲は、ISMS 認証範囲に含まれている事は必須ですが、適用範囲の決定が適切なものであると評価されれば、ISMS 認証範囲の一部でクラウド認証を取得していただく事も可能です。)
クラウド認証の取得は、あくまでお客様が任意で決定いただくものであり、ISMS を取得
している組織/ISMS 取得を希望されている組織が、クラウドサービスを利用又は提供されているからといって、必ず取得しなければならないものではありません。
各組織の事業上の必要等からご判断いただき、ご相談いただければと存じます。

P02IS03 24/09
8/31 ページ

3.3.2ISMS クラウドセキュリティ認証審査の実施について

クラウド認証審査の実施形態について以下ご説明させていただきます。
クラウド認証は、ISMS 認証のアドオンである為、基本的に ISMS 認証審査と同時に実施する事となります。
審査の種類等は本書「3.2 認証審査の種類と目的」にある ISMS 認証と同様です。
ISMS 認証を既に取得されている組織が初めてクラウド認証を受審される際の審査は、ISMS 認証の審査サイクルの状況によらず、クラウド認証の初回認証審査に必要な審査
時間を追加させていただきます。
ただし、クラウド認証の取得を希望される時期が ISMS 認証審査のサイクルに合わない場合(ISMS 認証のサーベイランス又は再認証審査と同時に受審しない場合)、ベースとなる ISMS 認証部分の関連事項確認の為、別途 1.0 人日分の審査工数を追加させていただきます。
また ISMS 認証取得済の組織がクラウド認証を取得された場合、クラウド認証の審査サ
イクル及び有効期限は、クラウド認証の取得時期に関係なく、ベースとなる ISMS 認証の審査サイクルに合わせる事となる事ご留意下さい。
これらクラウド認証審査に係る審査時間/費用については、ベースとなる ISMS 認証分とは別途のお見積りとなります。これは、本認証が ISMS 管理策にクラウドサービス固有の管理策を追加するものである為です。

【ISMS 認証取得済組織がクラウド認証を追加する場合の例】
ISMS サーベイランスと同時にクラウドを追加

ISMS

クラウド

初回認証

サーベイランス

ISMS 審査サイクルに合わせずクラウドを追加

ISMS

クラウド

初回認証

初回認証

サーベイランス
1.0 人日分

初回認証

サーベイランス

サーベイランス

サーベイランス

サーベイランス

再認証

再認証

再認証

再認証

クラウドの初回認証時期によらず、クラウドの有効期限/審査サイクルは ISMS 認証に合わせられます。

クラウド初回時に、ISMS 部分の確認の為 1.0 人日分の審査工数を追加します。
クラウドの初回認証時期によらず、クラウドの有効期限/審査サイクルは ISMS 認証に合わせられます。

P02IS03 24/09
9/31 ページ

4

お客様にご準備いただきたい事項と審査の詳細審査までにご準備いただきたい事項と、各段階の審査の詳細をご紹介します。

4.1

各審査共通のご準備をお願いする事項
項目

変更事項の
通知

審査予定の
ご確認

審査員宿泊
先の手配

最新文書の
準備

準備期限

準備事項
次の適用範囲に関わる事項に変更があった場合、変更時にその概要を ISA へご通知下さい。できる限り電子データでご送付下さい。変更審査の必要性を判断します。
(変更通知様式を巻末に提示します。)
変更時即時⚫ 対象事業/業務内容⚫ 対象組織の代表者/所有権⚫ 連絡先窓口⚫ 認証対象事業所の所在地⚫ 対象施設/情報システム等プロセス上の大きな変化
予定されている審査時期が近づいてまいりましたら ISA より「変更調査票」「審査日程と審査員のご提案」(その時点で把握させていただいている貴組織の基本情報と、次回審査日程及び担当する審査員を通知する文書)を FAX 又はメールにより送付させていただきます。
「審査日程
通知内容に問題が無い場合（基本情報に間違い/変更がなと審査員のい事をご確認下さい。また審査日程及び担当審査員にご了ご提案」返信解いただけるかを確認下さい。）本書にご担当者様のご署まで名をいただき、FAX 又はメールにてご返送をお願いします。
本書返信受領にて、審査予定を確定させていただきますが、通知内容に変更がある場合(審査対象拠点の所在地、要員規模、対象業務内容等)、審査計画(審査工数、日程、担
当審査員)を変更する必要が出てくる場合があります。
ISA から御社に提示する「審査日程と審査員のご提案」に宿泊手配の依頼が提示されている場合、また別段の要件が「 審 査 日 程 示されていない場合には、次の要件を満たす宿泊先の手配と 審 査 員 の をお願いしております。また「審査日程と審査員のご提案」
ご提案」返信 への返信時に、ご手配いただきました宿泊先の情報を追記
までいただき ISA へご通知下さい。
⚫ 1 泊 1 万円以内（消費税別・朝食付 禁煙）⚫ 夕食不要 チェックイン 21 時
次の事項を含め、ISMS 文書記録一式を審査場所で審査員が確認できるように準備してください。紙でも、見読できる
データ資料でも結構です。
事前にご提出いただく必要はありません。
審査日前日⚫ 情報セキュリティ方針/マニュアル/規定/手順書まで⚫ 適用宣言書⚫ リスクアセスメントの記録、リスク対応計画文書⚫ 情報セキュリティ目的達成の為の計画文書⚫ その他計画文書および記録

P02IS03 24/09
10/31 ページ

審査員用部
屋の準備

審査日まで

オープニングミーティング、クロージングミーティングおよび、審査員が昼食を頂いたり各種作業を行ったりする部
屋をご用意ください。
審査員は審査報告資料作成の為、モバイル PC の持ち込みをさせて頂きますので電源の確保もお願いします。
注）モバイル PC 等の持ち込み及び事業所への入室に際し、事前の申請手続き等の必要がある場合、その手順等についてご連絡をお願いします。

昼食の準備

審査日まで

御社対応要
員の確保

審査日まで

審査場所の
ご案内者

審査日まで

簡単なもので結構ですので、審査日程に昼食時間を挟む場
合、担当審査員人数分の昼食をお客様ご負担でご用意ください。
オープニングミーティング、クロージングミーティングおよび経営者インタビューの時間には、経営陣のご参加をお願いしております。
（通常オープニングは審査開始後の 30
分間、クロージングは審査終了前の 30 分間で行います）特にクロージングミーティング時には、経営者様もしくはその代理の方の署名が必要です。
その他審査対象者/部署については、審査日程表にて連絡申し上げます。
ご案内者（審査場所のご案内/審査対応者との間の調整をしていただける方）をご手配下さい。

P02IS03 24/09
11/31 ページ

4.2

初回認証審査

4.2.1

目的と方法

第 1 段階審査について

目
的：⚫ 御社の組織及び組織を取り巻く状況を理解すること。
⚫ 御社の ISMS とその準備状況理解すること。
⚫ 初回第 2 段階審査に移行できるかを判断し、その審査計画の焦点を定めること。
実施方法と対象：
主に ISMS 文書や計画文書を中心に評価を進めます。管理責任者・事務局を主たる対象者としますが、各部門の資産およびリスクの状況及び IT 管理所管者や人事総務所管者のセキュリティ管理手続きの整備状況、各部署の役割責任等を審査員が理解する為の情報確認等については、各所管者に説明をお願いする場合があります。
留 意 事 項 ：⚫ ISMS 運用のため計画が策定されていることを前提に審査を進めます。内部監査・マネ
ジメントレビューについては実施計画が確実に整備されている状況が望ましいです。
⚫ 第 1 段階審査の結果は、審査員がクロージングミーティングの終了時に報告します。
⚫ 懸念事項は、第 2 段階審査までに修正を完了する必要があります。
⚫ 審査の結果、審査範囲の再確認、審査工数・費用再見積が必要となる場合がありま
す。
確認項目
組織の状況

主たる確認内容
組織及び組織を取り巻く状況の確認

事業上必要な規制
事項の確認

適用規制の概要及び当局との協定/通信内容、責任範囲の確
認。

適用範囲

適用範囲の業務/組織/物理的
区画/論理的区画の確認。

主たる確認対象
⚫

要求事項等
⚫
⚫
⚫
⚫
⚫
⚫

⚫
⚫
情報セキュリティ
方針、情報セキュ
リティ目的
リスクアセスメントの方法、リスク
アセスメント結果
管理目的、管理策の導出状況
リスク対応計画の策定状況
文書化の状況

設定の仕組み、内容。
リスクアセスメントの方法と関連様式等の確認。(比較可能性、再現可能性の担保)管理目的管理策の採用非採用
理由の確認。
計画の対象と計画内容の確認。
（文書化された要求事項が実現できるか）組織の事業内容、利害関係者等からの組織内部、外部の課題
法規制リストや許可証
顧客との契約書
外部事業者との契約書
各プロセスの責任の所在に関する情報
オフィス等の図面や組織図、ネットワ
ーク構成図など審査対象範囲を特定するための資料
外部委託事業者との契約書面
オフィスや IT インフラの状況⚫

情報セキュリティ方針及び情報セキュリティ目的の記述文書⚫
⚫

リスクアセスメントの方法や基準を定めた文書
リスクアセスメント結果記録

⚫

適用宣言書

⚫
⚫
⚫

リスク対応計画
各種 ISMS 運用のための文書
詳細管理策をもとに計画した ISMS 文
書P02IS03 24/09
12/31 ページ

情報セキュリティ
目的及びその達成の為の計画

組織的/人的セキュ
リティ、教育訓練の計画

事業継続マネジメ
ントにおける情報
セキュリティの考慮
情報セキュリティ
パフォーマンス評
価の対象と測定方
法

部門及び階層において確立された情報セキュリティ目的とその達成計画の確認。

⚫

情報セキュリティ目的と目的達成計
画の管理文書⚫

ISMS 上の役割と責任、組織の情報セキ
ュリティに影響を与える要員に求める力量の決定とそれを持たせる為の活動
外部組織との関係や契約の状況
入退職時の手続き、教育訓練手順、教育訓練計画など

各種計画の確認。
⚫
⚫
事業継続計画の立案状況、ICT ⚫
継続の要求事項とその検証活動の確認。
⚫

事業継続のプロセス及び手順に関する文書
ICT 継続の検証計画等

ISMS のパフォーマンス及び有効性をどのように測定するか確認。

⚫

パフォーマンス評価の対象と方法⚫

内部監査の実施計画と実施記録⚫

マネジメントレビューの実施計画と
実施記録

⚫
⚫

インシデント対応の手順など
就業規則など⚫

是正処置の手順を文書化したものなど

内 部 監 査 プ ロ グ ラ 計画状況確認。
ム/計画(計画及び実施記録確認)
マ ネ ジ メ ン ト レ ビ 計画状況確認。
ューの計画(計画及び実施記録確認)
インシデント対応、
インシデント、セキュリティ
セキュリティ違反
違反発生時の対応方法確認。
対応
不適合及び是正処
計画状況確認。
置

P02IS03 24/09
13/31 ページ

4.2.2

第 2 段階審査について

目的：⚫ 情報セキュリティ方針、情報セキュリティ目的、手順に従って構築された ISMS が有効に実施されていることを確認する。
⚫ ISMS 規格のすべての要求事項に適合していること、御社 ISMS が自ら定めた情報セキ
ュリティ方針及び情報セキュリティ目的を実現しつつあることを確認する。
実施方法と対象：⚫ ISMS 文書・運用記録閲覧、お客様の組織内の活動や機器の設定状況の観察、各部門/
プロセスの従事者への質問を通じて、計画されたマネジメントシステムの運用状況、遵守の状況を確認します。特に次の事項を重点的に確認します。
➢ 情報セキュリティ方針及び情報セキュリティ目的の確立、ISMS 活動に対する積極的な関与によりトップマネジメントのリーダーシップ及びコミットメントが実証されていること➢ 組織内外の課題・要求事項と、情報セキュリティ方針及び情報セキュリティ目的
が、相互に論理的に矛盾なく結び付けられていること➢ 情報セキュリティに関するリスクアセスメントが一貫性/妥当性があり、比較可能な結果を生み出していること➢ リスクアセスメント及びリスク対応プロセスに基づく，プロセス及び管理策の選択/導入が適切に行われていること➢ ISMS の意図した成果を達成する為に選択した管理策が有効に機能していること➢ 27001 規格の文書化に関する要求事項が全て満たされていること➢ ISMS のパフォーマンス及び有効性の評価の仕組みが明確であること➢ ISMS 内部監査及びマネジメントレビューが実施されていること➢ ISMS の各プロセスのレビューを通じて、経営陣の決定が裏付けられており、情報
セキュリティ方針及び情報セキュリティ目的の達成へ向けた取り組みが行われていること
留 意 事 項 ：⚫ 内部監査・マネジメントレビューが完了し、マネジメントシステムの運用が、少なくとも 1 度完了していることを前提に審査を進めます。
⚫ 第 2 段階審査の結論は、審査員がクロージングミーティング終了時に通知いたします。
⚫ 第 2 段階審査で提示するマイナーな不適合は、審査完了日から１カ月以内にその完了を ISA へ通知しなければなりません。改善が望ましい観察事項については、次回審査時にその対応状況を確認します。
⚫ メジャー（重大）な不適合については、再審査となります。検出した時点で審査は停止する場合があります。その後の対応方法については、ISA からご案内します。
⚫ 審査の結果、審査範囲の再確認、審査工数・費用再見積が必要となる場合がありま
す。

確認項目

主たる確認内容

主たる確認対象⚫

組織の状況

内外の期待・課題、要求事項
事業環境の変化点

情報セキュリティ

方針・目的の達成の状況と今⚫
⚫

マネジメントレビュー/経営者インタ
ビュー
法規制リストや許可証
顧客及び外部供給者との契約書⚫

マネジメントレビュー/経営者インタ

P02IS03 24/09
14/31 ページ

方針、情報セキュ
リティ目的

後の展開。
⚫
⚫

適用範囲

リスクアセスメントのプロセス及び結果
管理策の導出状況

現在の状況及び見直しの状
況。

実施結果と見直しの状況
現在の状況及び見直しの結果

リスク対応の状況

リスク対応計画とその進捗状
況
採用管理策の運用状況

組織的/人的セキュ
リティ

運用結果の確認。

事業継続マネジメ
ントにおける情報
セキュリティの側面
ISMS のパフォーマ
ンス及び有効性評
価

⚫
⚫
⚫
⚫
⚫

リスクアセスメントの基準やリスク
アセスメント結果記録

⚫
⚫
⚫

適用宣言書
リスク対応計画とその結果採用された詳細管理策の運用状況及
びその管理記録(各種機器等の設定運用の状況、ログ監視含む)
組織要員及び関係する場合サービス
提供を受ける外部供給者に対し実施される教育や契約、評価等の実施状況⚫

事業継続における要求事項の決定、手順の確立とその検証
状況の確認。

ISMS のパフォーマンス及び有効性評価の為に特定した監視測定の方法と結果を確認。
内部監査の計画と結果を確
内部監査
認。
マネジメントレビューへの報
マネジメントレビ
告事項と評価結果、決定/指示ュー
事項の確認。
インシデント対応、
セ キ ュ リ テ ィ 違 反 インシデント発生状況と処置への対応の実施状況の確認。
苦情への対応状況
不 適 合 及 び 是 正 処 発生した不適合の実績と発生
置時の対応結果の確認。

ビュー
情報セキュリティ方針文書、情報セキ
ュリティ目的に関する文書
各プロセスの責任の所在に関する情報
オフィス等の図面や組織図など審査対象範囲を特定するための資料
外部委託事業者との契約書面
オフィスや IT インフラの状況
ネットワーク構成を図示した資料⚫
⚫

事業継続の計画文書及びその記録
ICT 継続の備え及び試験の結果⚫
⚫

監視測定の対象とその評価方法
監視測定の結果⚫

内部監査の計画状況とその実施記録⚫
⚫

マネジメントレビュー記録
マネジメントレビューから出た決定/指示事項への対応状況⚫

インシデントの発生実績及び処置の記録⚫

不適合及び是正処置の記録

P02IS03 24/09
15/31 ページ4.3

サーベイランス審査

目的と方法

目
的
：
⚫ 御社が経営環境の変化を踏まえ、ISMS の必要な見直しを実施している事を確認する。
⚫ ISMS が引き続き適切に実施されていること、認証要求事項を満足していることを確認する。
実施方法と対象：⚫ サーベイランス審査では、次の事項を含む運用状況を審査して、お客様のマネジメン
トシステムが認証要求事項を満足しているか否か評価します。
➢ 内外の課題、要求事項(関連法令規制含む)の変化と変化への対応状況➢ 組織、文書、適用範囲の変更の必要性の検討結果と対応の状況➢ 前回までの｢是正処置要求書｣への対応状況➢ 前回までの｢観察事項｣への対応状況➢ その他 ISA からの照会事項への対応状況➢ ISMS の継続的な運用管理状況➢ インシデント（あった場合）への対応状況➢ 不適合、是正処置への対応状況➢ 内部監査実施状況➢ マネジメントレビュー実施状況➢ 登録証/認定・認証マークの使用状況、「電子清刷」の管理状況➢ 情報セキュリティ方針及び情報セキュリティ目的の達成状況➢ ISMS パフォーマンス及び有効性の評価結果
留 意 事 項 ：⚫ 審査の結論は、審査員がクロージングミーティング終了時に通知いたします。
⚫ 審査で提示するマイナーな不適合は、審査完了日から１カ月以内にその完了を ISA へ通知しなければなりません。改善が望ましい観察事項については、次回審査時にその対応状況を確認します。
⚫ メジャーな不適合については、再審査となります。検出した時点で審査は停止します。その後の対応方法については、ISA からご案内します。
⚫ 審査の結果、審査範囲の再確認、審査工数・費用再見積が必要となる場合があります。
確認項目

主たる確認内容

審査員が主に確認する物
⚫

組織の状況

内外の課題、要求事項
事業環境の変化情報セキュリティ
方針、目的達成の状況。今後の展開。

⚫
⚫
⚫
⚫
⚫

適用範囲

現在の状況及び見直しの状
況。

⚫
⚫
⚫
⚫

マネジメントレビュー/経営者インタ
ビュー
法規制リストや許可証
顧客及び外部供給者との契約書
マネジメントレビュー/経営者インタ
ビュー
情報セキュリティ方針文書、情報セキ
ュリティ目的に関する文書
各プロセスの責任の所在に関する情報
オフィス等の図面や組織図など審査対象範囲を特定するための資料
外部委託事業者との契約書面
オフィスや IT インフラの状況
ネットワーク構成を図示した資料

P02IS03 24/09
16/31 ページ

リスクアセスメン
トのプロセス及び結果管理目的、管理策の導出状況

実施結果と見直しの状況
現在の状況及び見直しの状況

リスク対応の状況

リスク対応計画とその進捗状
況
採用管理策の運用状況

組織的/人的セキュ
リティ

運用結果の確認

事業継続マネジメ
ントにおける情報
セキュリティの側面
ISMS のパフォーマ
ンス及び有効性評
価⚫

リスクアセスメントの基準やリスク
アセスメント結果記録

⚫

適用宣言書

⚫
⚫

リスク対応計画の結果
詳細管理策をもとに計画した ISMS 文
書の運用記録及び各種機器等の設定
運用の状況
組織要員及び関係する場合サービス
提供を受ける外部供給者に対し実施される教育や契約、評価等の実施状況⚫

事業継続における要求事項の決定、手順の確立とその検証
状況の確認

⚫

事業継続の計画文書及びそのテスト
結果

ISMS のパフォーマンス及び有効性評価の為に特定した監視測定の方法と結果を確認⚫
⚫

監視測定の対象とその評価方法
監視測定の結果

内部監査の計画と結果を確認⚫

内部監査の計画状況とその実施記録

マネジメントレビューへの報
マネジメントレビ
告事項と評価結果、決定/指示ュー
事項の確認
インシデント対
応、セキュリティ
インシデント発生状況と処置
違反/苦情への対応 の実施状況の確認
状況
不 適 合 及 び 是 正 処 発生した不適合の実績の確認
置と発生時の対応結果⚫
⚫

マネジメントレビュー記録
マネジメントレビューから出た決定/指示事項への対応状況⚫

インシデントの発生実績及び処置の記録⚫

不適合及び是正処置の記録

内部監査

P02IS03 24/09
17/31 ページ

4.4

再認証審査

目的と方法

目
的
：
⚫ ISA 登録後の全期間の ISMS の運用実績、審査結果を踏まえ、続く有効期限まで、御社へ認証を継続して付与しうるかを評価する。
⚫ 情報セキュリティ方針、情報セキュリティ目的、手順に従って構築された ISMS が実施されていることを確認する。
⚫ 御社 ISMS が有効に機能し、情報セキュリティ目的を実現しつつあることを確認する。
実施方法と対象：⚫ 再認証審査では、過年度のサーベイランス審査報告書の内容、ISA からお客様へ行った照会への対応状況を踏まえ、現地審査で次の事項を含めて評価を進めます。
➢ 組織内外の課題・要求事項の変化に対応し、継続して情報セキュリティ方針及び情報
セキュリティ目的が確立されていること、認証の適用範囲が妥当であること➢ ISMS 活動に対する積極的な関与により引き続きトップマネジメントのリーダーシッ
プ及びコミットメントが実証されていること➢ 情報セキュリティに関するリスクアセスメント及びリスク対応のプロセスが引き続き一貫性/妥当性があり、環境の変化に対応して適切な結果が生み出されていること➢ ISMS のパフォーマンス及び有効性の評価が行われ、必要に応じ改善の為の対策がとられていること➢ 過去 3 年間の内部監査活動の信頼性➢ 過去 3 年間に発生したインシデントや顧客苦情、不適合事項への対応状況➢ ISA からの指摘事項の処理状況
留 意 事 項 ：⚫ 審査の結論は、審査員がクロージングミーティング終了時に通知いたします。
⚫ 審査で提示するマイナーな不適合は、審査完了日から登録有効期限日前に到来する
ISA の判定日前までにその完了を ISA へ通知しなければなりません。改善が望ましい
観察事項については、次回審査時にその対応状況を確認します。
⚫ メジャーな不適合については、再審査となります。検出した時点で審査は停止します。その後の対応方法については、ISA からご案内します。
⚫ 審査の結果、審査範囲の再確認、審査工数・費用再見積が必要となる場合があります。
確認項目

主たる確認内容

審査員が主に確認する物
⚫

組織の状況

内外の課題、要求事項
事業環境の変化情報セキュリティ
方針、目的達成の状況。今後の展開。

⚫
⚫
⚫
⚫
⚫

適用範囲

現在の状況及び見直しの状
況。

⚫
⚫
⚫

マネジメントレビュー/経営者インタ
ビュー
法規制リストや許可証
顧客及び外部供給者との契約書
マネジメントレビュー/経営者インタ
ビュー
情報セキュリティ方針文書、情報セキ
ュリティ目的に関する文書
各プロセスの責任の所在に関する情報
オフィス等の図面や組織図など審査対象範囲を特定するための資料
外部委託事業者との契約書面
オフィスやＩＴインフラの状況

P02IS03 24/09
18/31 ページ

リスクアセスメン
トのプロセス及び結果管理目的、管理策の導出状況

実施結果と見直しの状況
現在の状況及び見直しの状況

リスク対応の状況

リスク対応計画とその進捗状
況
採用管理策の運用状況

組織的/人的セキュ
リティ

運用結果の確認

事業継続マネジメ
ントにおける情報
セキュリティの側面
ISMS のパフォーマ
ンス及び有効性評
価⚫

ネットワーク構成を図示した資料⚫

リスクアセスメントの基準やリスク
アセスメント結果記録

⚫

適用宣言書

⚫
⚫

リスク対応計画の結果
詳細管理策をもとに計画した ISMS 文
書の運用記録及び各種機器等の設定
運用の状況
組織要員及び関係する場合サービス
提供を受ける外部供給者に対し実施される教育や契約、評価等の実施状況⚫

事業継続における要求事項の決定、手順の確立とその検証
状況の確認

⚫

事業継続の計画文書及びそのテスト
結果

ISMS のパフォーマンス及び有効性評価の為に特定した監視測定の方法と結果を確認⚫
⚫

監視測定の対象とその評価方法
監視測定の結果

内部監査の計画と結果を確認⚫

内部監査の計画状況とその実施記録

マネジメントレビューへの報
マネジメントレビ
告事項と評価結果、決定/指示ュー
事項の確認
インシデント対
応、セキュリティ
インシデント発生状況と処置
違反/苦情への対応 の実施状況の確認
状況
不 適 合 及 び 是 正 処 発生した不適合の実績の確認
置と発生時の対応結果⚫
⚫

マネジメントレビュー記録
マネジメントレビューから出た決定/指示事項への対応状況⚫

インシデントの発生実績及び処置の記録⚫

不適合及び是正処置の記録

内部監査

P02IS03 24/09
19/31 ページ

5． 各認証審査での指摘の分類と対応の方法
各回認証審査では、審査員はお客様のマネジメントシステムについて、次の分類で所見を述べます。
（「規格要求事項に合致していること＝適合」の場合は、なにも申し上げませんからこの分類には入れていません）
それぞれお客様に実施していただく対応方法が異なります。確認をお願いします。

5.1

各認証審査での指摘の分類

不適合には 2 つの区分、観察事項には 3 つの区分があります。

不適合
定義
区分

ISMS 規格の要求事項及び、ISMS 規格の要求事項に基づき組織が展開する規定事項が順守されていない状況のことをいいます。
内容
審査チームからの提示方法
a) システム、又は手順が完全に欠落している状態。シ 不適合が発見された場合、審査員
ステム、又は手順がまったく機能していない状態。 は ISMS 要求事項の各要素別に「是例１：文書管理やインシデント管理の仕組みが全くない。
正処置要求書」を作成します。
例２：内部監査やマネジメントレビューが実施されていない。

メ
ジ
ャ
ー

b) 類似の不適合がシステム全体に観察され、契約や法規の順守など組織に課せられた責任を果たしえな
い、もしくは情報セキュリティ方針、情報セキュリ
ティ目的の達成に重大な障害を生じうる重大なリ
スクが放置されている状態。
例１：リスクアセスメントの結果、重大なリスクを抱える複数の部門で、インシデント管理の取り組みが実施されていない。

c)

前回審査で指摘したマイナーな不適合が是正処置
されていない状態。または是正処置が意図的に守られていない状態。

d) 法あるいは契約違反に全く対応していない状態
注）適用される法令を特定し、順守する仕組みがとられていな
い、監視する仕組みが機能していないといった、マネジメント
システム上の不具合を指摘します。

メジャーな不適合以外の不適合のことです。
マイナーa) 単純なシステム上の欠陥、手順の一部欠落
b) 単純な過失による一時的な手順上の不適合c)

認証の引用、マーク使用方法の誤り

1） ISMS 要求事項の同じ要素についての複数の不適合が一緒になって一つのメジャー
是正処置要求が形成される
場合、これらの不適合はすべて同じ「是正処置要求書」に記載する場合があります。
2） 実習審査員（実習チームリーダを含む）が提起した場合、チームリーダが内容を確認後、署名します。
3） お客様の代表者に対して、不適合の内容を説明し、了承を得て「是正処置要求書」に署名を受けます。
4） 「是正処置要求書」の原紙はお客様のもとに置き、コピーを審査員が持ち帰ります。
なお、審査中に不適合を発見した
場合、審査員はその場でお客様とともに、状況の確定をおこない、審査チームで審査所見をまとめる
ときに不適合如何の最終判断をします。是正処置要求は審査チーム
として発行します。

P02IS03 24/09
20/31 ページ

観察事項
定義

不適合以外で認証審査活動中審査チームが発見した事項

区分

内容

観
察
事
項
Ａ

不適合ではないマネジメントシステムの影響を与える
可能性のある発見事項のことです。
例：審査範囲外の事項、不適合の可能性を持っている事項、など。

審査チームからの提示方法検出された場合、審査員は「観察事項」に各観察事項を記載し顧客に提示します。
1） 実習審査員（実習チームリーダを含む）が提起した場合、チームリーダが内容を確認後、署名します。
2） お客様代表者に対して、内容を説明し、了承を得ます。

観
察
事
項
Ｂ

特に優れた事項など、今後の運用上さらに充実することで成熟が期待できる事項のことです。

3） 「観察事項」の原紙を審査員が持ち帰りコピーをお客様に提供します。
観察事項について、はお客様の組織内で検討することを求めます。
しかし、検討の結果不採用であっても構いません。
次回審査で担当審査員が検討結果の内容を確認します。
懸念事項が検出された場合、審査員は「観察事項Ａ」に ISMS 要求事項に対応した懸念事項を記載しお客様に提示します。

懸念事
項

初回認証審査の第一段階審査でのみ提示します。
第二段階審査の折に不適合と判断する可能性が非常に高い事項を「懸念事項」として提示します。

1） 実習審査員（実習チームリーダを含む）が提起した場合、チームリーダが内容を確認後、署名します。
2） お客様の代表者に対して、内容を説明し、了承を得ます。
3） 「観察事項」の原紙は審査員が持ち帰りコピーはお客様に提供します。

P02IS03 24/09
21/31 ページ

5.2

各認証審査での指摘（不適合）への対応方法

3 種類の不適合指摘への対応方法は不適合の重大性と審査段階で異なります。

不適合を提示した場合のお客様の対応手順
区分

メ
ジ
ャ
ー
（
重
大
）

初回認証審査サーベイランス審査

再認証審査

変更（拡大 縮小含
む）

お客様は、是正処置要求後 1 ヶ月以内に是正完了を ISA へ書面で報告しなければなりません。

お客様は、是正処置要求後 1 ヶ月以内に是正処置の計画もしくは完了を ISA へ書面で報告しなければなりません。

お客様は、是正処置要求後 1 ヶ月以内に是正完了を ISA へ書面で報告しなければなりません。

お客様は、是正処置要求後 1 ヶ月以内に是正完了を ISA へ書面で報告しなければなりません。

担当チームリーダは、フォローアップ審査の日程を、審査実施中にお客様と合意します。
注）再認証審査の場合には、フォローアップ審査による是正処置の完了の確認を、認証有効期限日到
来前の ISA 社内判定日程までに実施するように期限設定します。

6 ヶ月以内に ISA が受審組織を訪問(フォローアップ審査を実施)して是正処置の実施・運用状況を確認します。

2 ヶ月以内に ISA が受審組織を訪問(フォローアップ審査を実施)して是正処置の実施・運用状況を確認します。
(計画での報告を受けていた場合は完了についても確認)

2 ヶ月以内又は有効期限の 2 週間前までのいずれか短い方の期間にISA が受審組織を訪問(フォローアップ審査を実施)して是正処置の実施・運用状況を確認します。

2 ヶ月以内に ISA が受審組織を訪問(フォローアップ審査を実施)して是正処置の実施・運用状況を確認します。

お客様は、是正処置要求後 1 ヶ月以内に是正完了の報告を ISA へ書面でしなければなりません。

マ
イ
ナ
ー
（
軽
微
）

チームリーダが回答内容の承認如何を判定します。
承認できない場合、承認できると判定できるまで、再度是正の実施を要求します。
(期限内に是正に対し承認の判定ができない場合、認証の一時停止/取消しとなる場合があります)

初回認証審査時の場合には、是正完了までが必須です。
サーベイランス審査以降には、是正完了を報告する場合と、是正計画を報告する場合があります。
次回審査訪問時に、是正処置の実施・運用状況を確認します。
維持審査の場合で、計画で報告を受けていた場合は、完了についても確認します。

P02IS03 24/09
22/31 ページ

６．

認証の表明／認定シンボル・認証マークの利用方法

ISA からマネジメントシステムの認証を受けると、本紙に従い登録証、認定・認証マークを用いる等により認証の表明をしていただくことが出来ます。
但し、これら認証の表明及び認定・認証マークの使い方には以下の制限があります。
ここでは皆様に認証の表明/認定シンボル・認証マークを正しくご利用いただくためのガイダンスを提示します。

6.1⚫

認証の表明、認定シンボル・認証マーク

用語「認定シンボル」
認定機関:ISMS-AC から、ISA が認定を受けていることを示すマークです。
[ISMS 認証]⚫

[クラウドセキュリティ認証]「認証マーク」
ISA が御社へ認証を付与していることを示すマークです。
[ISMS 認証]⚫

[クラウドセキュリティ認証]｢認証番号｣
組織が認証を受けているマネジメントシステムごとに ISA が付与する固有の番号です。
登録証に記載されます。

⚫

｢登録証｣
ISA が認定の条件に従って御社へ発行する登録証で、御社への認証を表明する書面です。
登録させていただく組織へ送付させていただきますが、登録証の所有権は ISA に帰属します。

P02IS03 24/09
23/31 ページ6.2 認証表明／認定シンボル・認証マークの表示形式
認定シンボル・認証マークで認証を受けた組織が利用できるのは、次の形式だけとなります。
①ISA の認証マーク（ISA のマークに規格番号の入ったもの）を単独で使用[ISMS 認証]

[クラウドセキュリティ認証]②認定機関（ISMS-AC）の認定シンボルと ISA 認証マークを並べて使用[ISMS 認証]

[クラウドセキュリティ認証]※注記：「認定シンボル」のみの単体使用はできません。
「認定シンボル」を使用する場合は、必ず「認証マーク」を並べたものを使用しなければなりません。送付させていただ
く電子データの配置のまま使用してください。(縦横比率を維持した上での拡大/
縮小を除き、データの加工はしないで下さい)③クラウドセキュリティ認証取得組織における特別な表示例
ISMS 認証に追加してクラウドセキュリティ認証を取得している組織が、ISMS の認証マー
ク及びクラウドセキュリティの認証マークを同時に(一箇所で)使用する場合、クラウド
セキュリティ認証用の認定シンボルのみを使用する事ができます。
（ISMS 認証マークとク
ラウドセキュリティ認定シンボルのみの組み合わせは許容されません）[ISMS 認証とクラウドセキュリティ認証]※注記：この表示形式において、ISMS 認証の認証範囲とクラウドセキュリティ認証の認証
範囲が異なる場合は、それぞれの認証範囲が異なる事を示す表記（説明等）を付記
してください。

P02IS03 24/09
24/31 ページ

●認定シンボル・認証マークを使用せず認証の表明を行う場合
認定シンボル・認証マークを使わずに認証を受けていることを表明することもできます。
①シンボル・マーク非利用：御社のマークを利用して認証を受けていることを表す方法

貴社のマーク

適用規格である‟ISO/IEC27001” (クラウド認証の場合、‟ISMS ク
ラウドセキュリティ認証”)と‟認証番号”を並記して下さい。

ISO/IEC 27001
No.ISA IS XXXXXXXX は登録証の番号/表示

XXXX は登録証の番号②シンボル・マーク非利用：言葉のみの表現で認証を受けていることを表す方法
マークを使用せず「ISO/IEC27001 認証取得」「ISMS クラウドセキュリティ認証取得」などの言葉のみの表現で認証を受けていることを表す場合、認証番号などで ISA にて認証を受けていることを示して下さい。
ISO/IEC 27001認証取得 No.ISA IS XXXXISMSクラウドセキュリティ認証取得 No.ISA ISC XXXX

●登録証の使用登録証の掲示、コピーや電子データ化しての利用などに際しては、以下の点にご注意ください。
・登録証は汚損、紛失等がないよう管理してください。登録証の所有権はISAに帰属します。汚損、紛失の場合、再発行する事となりますが有償となります。
・コピーは鮮明なものを使用し、原本の写しであることを明確にするため「写し」である事を意味する文字を追加したものを利用ください。
・掲示/配布/提供に際しては、登録証と付属する場合には付属書を対にして扱ってください。

P02IS03 24/09
25/31 ページ

6.3

認証の表明、その利用範囲・制限細則【使用できる範囲】● 認定シンボル・認証マーク (下記イメージは ISMS 認証の例)

or
これらのシンボル・マークは、登録された情報セキュリティマネジメントシステムに関する説明書、宣伝用資料、封筒、レターヘッド、名刺等の印刷物及びウェブサイト
等に使用することが出来ます。
なお、認証マークと認定シンボルを並べて表示する場合、これらマークが同一のマネ
ジメントシステムに基づくものであることを示すために両方を枠で囲んで下さい。
⚫

認証マーク (下記イメージは ISMS 認証の例)

このマークは、上記のほか組織の旗、看板、車両等にも用いることが出来ます。
【認証の表明にあたっての制限/注意事項】⚫

認証の表明/認定シンボル・認証マークは個々の製品が認証されたと誤解されるのを防ぐため、製品それ自体、あるいは梱包に使用しないでください。

⚫

認証の対象範囲は、登録証に記載された範囲です。そこに記載されていない組織や活動に使用しないでください。認証を受けた範囲と受けていない範囲とが誤解されない方法で使用してください。認証範囲が組織の一部に限定される場合の認証の表
明においては、対象になった組織（事業所、部署）
・活動（業務）についてのみ利用
でき、限定された範囲を示す情報を表明文書・マークと一緒に表記する必要があります。
名刺に使用する場合、認証範囲外の要員が認証の表明/マークの利用のある名刺を使用する事はできません。

⚫

認証されたことを広告や出版物に載せるときは ISA によって認証されたことを記述してください。

P02IS03 24/09
26/31 ページ⚫

認定シンボル・認証マークを含む媒体(当社より提供する CD)の管理について・送付した媒体及びその内容物は、保護及び漏洩防止のため、管理を確実にしてください。
（目的外の使用防止、不正使用防止、紛失・盗難の防止等）
・当該媒体を提供した下請負業者に、媒体の保護及び情報漏洩防止のための適切な管理を要求し、必要に応じて媒体を提供した下請負業者の一覧表を作成してください。
（認定シンボル・認証マークのデータを使用して説明書、宣伝用資料、名刺等の作成を依頼した印刷業者等にデータの確実な管理を要求し、依頼した印刷業者等の一覧表を作成すること。協力会社一覧などに掲載されていれば結構です。
）⚫

電子データの利用について
・認定シンボル・認証マークの電子データは、原則として｢印刷用｣―ビットマップ(BMP)形式、｢ウェブサイト用｣―ジェイペグ(JPEG)形式で配布されます。印刷用は印刷に、ウェブサイト用はウェブサイトに使用してください。
・解像度を低くしないで使用してください。
・電子データは保存形式を変更しないでください。

⚫

WEB サイトでマーク等を利用する場合の特別な注意・「ウェブサイト用」―JPEG 形式を使用し、加工・編集しないでください。配布した
ウェブサイト用データをそのまま使用し、加工や編集をしないでください。
・解像度を低くしないで使用してください。電子データの保存形式を変更しないでください。
・同一のページ内で、認定シンボル（ISMS-AC マーク）、認証マーク（ISA マーク）を使用してください。
・認証範囲が全社でなく、社内の特定の部門/事業に限定されている場合、認証の表
明/マークの下もしくは隣接する範囲に「特定の部門/事業で認証取得された」旨の記述をしてください。
[サンプル] (下記イメージは ISMS 認証の例)---------------------------------認証範囲：本社と A 営業所
事務機器の修理と販売-----------------------------------⚫

マークデータを含む媒体を汚損、紛失された場合の再発行については有償となります。

P02IS03 24/09
27/31 ページ

【認定シンボルの表示制限】
ISMS-ACの認定シンボルには次の表示制限があります。ISAが認定シンボル単独のデータをお客様へ配布することはありません。この注意は、デザインの都合などで、AI形式ファイルを必要とするお客様へ向けた特別の記述となります。
⚫

認定シンボルの構成組織が認定シンボルを表示する場合は「認定番号」(ISAを意味する“ISR024”)とともに表示する。

⚫

認定シンボルの縮小または拡大
認定シンボルを縮小または拡大して表示する場合、縦横比を変更しない。縮小する場
合の最小サイズは、各部が明瞭に識別できる範囲とする。

⚫

認定シンボルを並べて表示する場合
ISAにより登録を受けた組織が認定シンボルを表示する場合は、ISAの認証マークと共に表示する。認定シンボルのみを単独で表示することは出来ない。ISAの認証マークと認定シンボルの関係が明確で、かつ両者が明確に識別できなければならない。認証のマークと認定シンボルを並べて表示する場合、両者が同一のマネジメントシステムに基づくものであることを示す為に、両者を枠で囲むこと。

⚫

認定シンボルの形態、色調

ISMS-AC発行の認定シンボル使用規定抜粋：
認定シンボルを印刷物に表示する場合の色は原則として下記指定色とする。
プロセスカラーの場合:（C100%+M70%）

マーク

特殊印刷色の場合:（DIC220）1 色
ホームページや電子情報に表示する場合の色指定は原則として下記とする。
WEB カラースライダーで指定の場合：(003399)

認定センターロゴ
認定種別

ISA 認定番号

RGB カラーで指定の場合：(R=000,G=051,B=153)【認証マークの表示制限】⚫ ISA ISMS 認証マークの形態、色調
枠：単色で黒色が基本
文字部：黒色が基本
マーク部：単色で黒色が基本

地色、文字色各々、単一色に統一して利用ください。
認証を示す文字が識別できない配色はご遠慮願います。

P02IS03 24/09
28/31 ページ

【認証の表明/マーク利用の中止】⚫

有効期限を過ぎた場合、あるいは登録が取り消された場合は直ちに認証の表明、マークの利用を中止してください。また、認証の表明、マークの利用をしている文書等については、表明/マークを抹消して使用するか、使用を停止してください。

⚫

組織が認証範囲の縮小を実施された場合、認証範囲外となった範囲に関連する認証の表明、マークの利用は速やかに中止してください。認証範囲外となった要員による名刺の利用も直ちに中止してください。

⚫

認証の取下げ、取消し、一時停止等により認証登録の効力が無くなる場合、登録証
及びマークデータを含む媒体は、返却又は廃棄を依頼します。

【違反に対する処置】⚫

認証の表明について、本手順に違反する使用をした場合、審査にて不適合として指摘し、是正処置を要求します。一定期間を経ても是正されない場合、認証実施規定
に従い、認証の一時停止、取消し、及び違反の公表等の処置をとります。
違反の程度に応じ、場合によっては、損害賠償が求められる事があります。

P02IS03 24/09
29/31 ページ6.4

不適切な認証表明/認定シンボル・認証マーク等の使用例（お客様が間違いやすい不適切な使用例）

認定シンボル（ISMS-AC）の「単独」
表示：
単独使用はできません。
※ISMS-AC の認定シンボルは、単独では使用できません。ISA マークは、単独でも使用できます。

広告物・印刷物へのマーク表示：
会社案内、宣伝・広告資料、カレンダ
ー、名刺、封筒・レターヘッド、ウェ
ブサイト等に使用できますが、製品そのものへのマーク表示はできません。
また、製品自体が適合していると誤解を与えるような使用はできません。
また、マークを縮小しすぎて、ロゴ内の文字が明瞭に確認できない使用はできません。
※製品・製品の梱包・製品証明書等は製品への適合と誤解を与える為使用できません。

看板、門表、ドア、車両等の表示：
認定シンボル（ISMS-AC）は使用できません。
※ISA マーク単独の場合は、組織の旗、看板、
門表、ドア、車両にも用いることが出来ます。

認証範囲以外の「業務」又は「事業所」が記載されている資料への表示：
何の注記も記載しないで認証の表明/マークを使用して、記載された「業務」又は「事業所」の全てが認証を受けているかのような誤解を招く使用はできません。
※登録された「事業所名」及び登録証に記載された「登録範囲」の文言を記載すること、又は、その事が明確に判別できる措置があれば構いません。
（例えば、「※印」等記号を用いて対象範囲を示す）※名刺に使用する場合は、登録範囲の対象組
織（事業所、部署）及び登録範囲の業務に従事する者のみが使用できます。

限定した認証範囲の場合の表示：
認証範囲が全社でなく、社内の特定部
門/事業等に限定されている時には、認証の表明/マークの下又は隣接する範囲に「特定部門/事業で認証取得された記述」が必要です。
※名刺に利用する場合、認証対象外の要員の名刺には使用できません。

「文言」での認証取得表現：「ISA IS ****」という認証番号を併記する等により、ISA(国際システム
審査)から認証を取得した事を明示してください。

他の認証と並記した表示：
他機関での認証、ISA で取得した他規格
認証との区別にご注意ください。
※当社の ISMS 認証は ISMS-AC 認定の認証サー
ビスですが、当社で受審される QMS/EMS 認
証は JAB 認定の認証サービスです。
認証機関が異なりますので、マークの使用/
配置において、混在しないようにしてください。（データ加工禁止です。
）

QMS
認証
マーク

QMS 認証は ISMS-AC 認
定ではありません。
認定シンボルには ISA
認定番号を含みます。

P02IS03 24/09
30/31 ページ

6.5

[IAF Cert Search]における登録組織情報の公開に関し世界各国の認定機関(ISMS 認証の認定機関である ISMS-AC 含む)が加盟する IAF（国際認定フォーラム）は、世界中のあらゆる経済圏からの個々の認定された認証をリアルタイムで検証可能とするため、「IAF Cert Search」というシステムを立ち上げました。
本システムは、・IAF から収集した認定機関データ
・認定機関から収集した認証機関データ
・認証機関から収集した認証データをまとめ、世界中のユーザが、IAF MLA に加盟する認定機関メンバーが認定した認証機関によって認証された組織が保有する個々の認証の有効性を検証する事をできるようにし、不正な認証表明を防止し、また世界の産業界及び規制当局を支援する事を目的としています。
上記目的を達成する為、IAF は「MD23:2023 IAF データベースにおけるデータのアップロー
ド及び維持に関する IAF 必須文書」を作成し、認定機関及び認証機関に対する必須要求事項としての認証情報の登録を求めています。
本登録においては、（いままでの認定機関にて運用/公開されていたデータベースでは許容されていた）「全部又は一部の組織情報の非公開」について、上記目的を達成する為に厳しい制限が設けられており、以下の事例に該当する場合を除き、原則認証情報の登録及び公開を要求しています。以下事項に該当しない場合については、情報の登録/公開を回避する事はできない事となりますのでご了解の程宜しくお願い致します。

[認証情報の登録/公開の回避が認められる事例]
・認証された組織が、国家安全保障に関連する活動について認証されている場合
・認証活動の所在地、又は適用範囲の公表が、認証組織、その従業員又は認証された組織の顧客に対して重大な安全上のリスクをもたらす可能性が合理的に考えられる場合
・政府又は規制による要求事項により、そのような情報を機密として扱う要求がある場合
注) 認証機関が、認証された組織の情報の全部又は一部を登録できない場合、認定機関に対しその正当な理由を文書で提出する義務があり、認定機関による承認を得る必要があります。

P02IS03 24/09
31/31 ページ

通知先 FAX:052-582-3668/ E-mail: isms@isa-cb.co.jp
国際システム審査㈱ISMS 担当宛

ISMS 認証範囲の変更通知
通知年月日：

年

月日[変更通知組織]
組織名
組織代表者の役職
代表者ご芳名
本紙記入者の役職
記入者ご芳名

役職
役職[変更内容の詳細] 欄中に記載できない場合は、別添説明書を同送してください。
対象変更内容現在（新）変更前（旧）

別添説明書（有/無と書名）

対象事業/業務対象組織の代表者/所
有権
連絡先窓口(役職氏名、TEL/FAX 番
号、ﾒｰﾙｱﾄﾞﾚｽ等)
認証対象事業所の 所
在地
対象施設/情報システ
ム等プロセス 上の大きな変化
以上

P03IS04 24/09