情報セキュリティ監査サービスとは？助言型と保証型の違い、ISMS認証との違い、基準と価格の選び方

情報セキュリティ監査サービスとは

情報セキュリティ監査サービスは、ルールが整っているか、現場で運用されているかを、社外の監査人が基準に照らして評価するサービスです。セキュリティ監査、外部監査とも呼びます。結果は監査報告書で受け取ります。

比較ページには、自社で提供する日本の会社のサービスを、各社の公式ページで確かめて載せています。助言だけのコンサルティング、脆弱性診断、ペネトレーションテスト、ISMS認証の審査は載せていません。

4つの形

• 助言型と保証型を選べる型：改善の助言に加えて、水準にあるかの意見まで頼めます。例はジーブレインとNECセキュリティです。TISIは保証型の実績を載せています
• 改善提案を受ける型：基準とのずれと直し方を受け取ります。例はインターネットプライバシー研究所、NEC、日立ソリューションズ、NRIセキュア、GSXです
• 内部監査を任せる型：内部監査の代行や支援を受けます。例はアズジェント、アスラボ、i-3cです
• 自治体向けの型：総務省のガイドラインで進めます。例はナニワ計算センターとITスクエアです

助言型と保証型の違い

• 助言型は、不十分な点を見つけて改善提言を出します。自社の弱い所を知るために使います
• 保証型は、期待する水準にあるかの保証意見を出します。取引先や委託元に示すために使います

ISMS認証との違い

ISMS認証は、審査登録機関の審査員が認証基準への適合を評価し、登録証が出ます。情報セキュリティ監査は、監査人が個別の管理基準で評価し、助言か保証の意見が出ます。証明書がほしいならISMS認証を受けます。

選ぶときに見ること

選ぶときは「監査の目的」「使う基準」「現地の確認」の3つを先に決めます。

• 目的は、自社の改善か、社外への説明かを決めます。社外への説明なら保証型を頼めるかを聞きます
• 基準は、経済産業省の情報セキュリティ監査基準のほかに、GSXはNIST SP800-171、NECはFISC安全対策基準を案内しています。NECセキュリティは社内規程から基準を作れます
• 現地の確認は、会社ごとに違います。NRIセキュアは目視検査と再現テストまでします。さくらケーシーエスは監査点検表をWebで共有するリモートの形があります

期間と価格

• 期間は、GSXが通常3〜6ヶ月と公式に出しています。ほかの会社は規模や対象拠点で変わるとして、期間を公開していません
• 価格は、公式に金額を出している製品がありません。NECは監査期間、対象システム数、拠点数などを聞いて見積もり、NRIセキュアは個別見積もりです

確かめておくこと

• 同じ会社に監査と改善の支援を頼むなら、監査の独立性をどう保つかを聞きます
• 監査人の資格を聞きます。公認情報セキュリティ監査人（CAIS）が代表です
• IPAが公開する情報セキュリティサービス基準適合サービスリストに、そのサービスが載っているかを見ます