ISMS（ISO/IEC 27001）の認証は、取得したあとも年1回以上のサーベイランス審査で保ちます。この審査で確かめられるのは、1年間、決めた手順のとおりに運用してきたかどうかです。答えは記録で示します。再認証審査との違いと審査で見られることを整理したうえで、権限の棚卸し・退職者のアカウント・ログ・端末の台帳など、審査の前にそろえる記録をチェックリストにしました。
法令や基準への対応をまとめて扱う情報セキュリティ コンプライアンスの中でも、ISMSは第三者の審査が毎年入る制度です。ISMS-AC（情報マネジメントシステム認定センター）に登録された認証取得組織は、2026年9月30日時点で8,701。どの組織にも、毎年いずれかの審査が回ってきます。
LOCKEDは3つの製品でできています。アカウントと権限を管理するのがLOCKED DAS、クラウドサービスへのログインをまとめて二段階認証をかけるのがLOCKED MSO、会社の端末を管理するのがLOCKED MDMです。権限の付与と剥奪、ログイン、端末の状態が日々記録に残るので、審査のたびに集め直している記録を、ふだんの運用で残せます。
無料で製品資料をお送りしています。毎年の審査準備の見直しにお使いください。 製品資料をダウンロードする →
ISMSのサーベイランス審査とは：認証を保つために年1回以上受ける審査
サーベイランス審査は、ISMS認証の有効期間中に受ける中間的な審査です。ISMS-ACの案内では、初回の審査のあとも年1回以上のサーベイランス審査を受けます。さらに3年ごとに、有効期限を更新するための全面的な再認証審査があります。どちらの審査でも、ISMSが引き続き規格に適合し、有効に維持されているかが確かめられます。審査をするのはISMS-ACではありません。組織が選んで申請した認証機関です。
認証の有効期限は3年、審査は毎年ある
認証の有効期限は3年です。その3年を、次のように審査が埋めていきます。
| 時期 | 審査 | 中身 |
|---|---|---|
| 取得時 | 初回認証審査 | 原則として第一段階と第二段階の2段階 |
| 1年目 | サーベイランス審査 | 年1回以上 |
| 2年目 | サーベイランス審査 | 年1回以上 |
| 3年目 | 再認証審査 | 有効期限を更新する |
再認証審査のあとは、同じサイクルを繰り返します。時期にも決まりがあります。マネジメントシステムの認証機関が従う国際規格 ISO/IEC 17021-1 は、サーベイランス審査を再認証の年を除いて暦年で1回以上としています。初回認証後の最初のサーベイランス審査は、認証の決定日から12か月以内です。毎年の受審月は認証機関と決めるので、その月から逆算して準備を組めます。
いまの審査は2022年版の要求事項と管理策で行われる
ISO/IEC 27001は2022年10月に改訂されました。2022年版への移行期限は2025年10月31日で、移行期間が終わった時点で2013年版による認証は失効または取消しになっています。いま受けるサーベイランス審査は、2022年版（JIS Q 27001:2023）の要求事項と、附属書Aの管理策で行われます。旧版での審査は、もうありません。
附属書Aの管理策は93で、組織的37・人的8・物理的14・技術的34の4つに分かれます。2013年版の114から整理し直され、うち11は新しく加わった管理策です。規程や適用宣言書に旧版の番号が残っていないかは、一度見ておくとよいでしょう。2025年5月20日には、ISOが2024年2月に発行した気候変動に関する追補1を反映したJIS Q 27001:2025が公示されました。附属書Aの管理策の番号と名称は変わっていません。認証書での規格の表記や、追補1を審査でどう確かめるかは、認証機関に確かめておきます。
2026年版 情シスが直面するIDガバナンス5大課題
2026年に情シスが直面するIDガバナンスの5つの主要課題を分析。SaaS増加、リモートワーク常態化、コンプライアンス強化などへの対応策を提示します。
サーベイランス審査と再認証審査の違い
二つの審査がいちばん違うのは、見る範囲です。再認証審査は有効期限を更新するための全面的な審査で、サーベイランス審査は中間的な審査です。サーベイランス審査では、毎回ISMSのすべてを見るとは限りません。どの部署・どの管理策を見るかは、事前に認証機関から届く審査計画で分かります。
| 項目 | サーベイランス審査 | 再認証審査 |
|---|---|---|
| 時期 | 認証の有効期間中、年1回以上 | 3年ごと、有効期限を迎える前 |
| 位置づけ | 中間的な審査 | 全面的な審査 |
| 見る範囲 | 認証機関の審査計画で決めた部分 | ISMS全体 |
| 結果 | 認証を維持する | 有効期限を更新する |
審査の日数や工数は、認証範囲や組織の規模などで変わります。料金も、範囲や規模のほか、認証機関によって違います。サーベイランス審査の費用を知りたいときは、契約している認証機関の見積もりで確かめるのが確実です。
サーベイランス審査で確かめられること
サーベイランス審査で見られることは、三つに分けて準備すると漏れにくくなります。マネジメントシステムが1年で回ったか、前回の指摘とこの1年の変化にどう対応したか、そして決めた手順のとおりに管理策を運用しているか、です。
内部監査・マネジメントレビュー・是正処置が1年で回ったか
JIS Q 27001は、リスクアセスメント（箇条8.2）、内部監査（箇条9.2）、マネジメントレビュー（箇条9.3）を、あらかじめ定めた間隔で行うよう求めています。リスクアセスメントは、重大な変化が起きたときにも行います。経済産業省の「情報セキュリティ管理基準」のマネジメント基準もこれらを挙げ、マネジメントレビューでは内部監査の結果、不適合と是正処置、リスクアセスメントの結果などを踏まえるとしています。
規格は回数を決めていません。それでも審査は1年ごとに来ます。受審の前に内部監査からマネジメントレビューまでを1周させておけば、その年の運用を記録で説明できます。権限やログの点検をIT内部監査の項目に入れておくと、審査で開く記録を、内部監査の段階で一度見ておけます。
前回の指摘と、この1年の変化
前回の審査で指摘された不適合や改善の機会には、次の審査までに対応し、その結果を説明できるようにしておきます。是正処置の記録には、何が起きたか、原因、とった処置、効果を確かめた結果までを残します。
組織改編、拠点の移転、使うクラウドサービスの入れ替えなど、この1年の変化も確かめられます。認証範囲や体制が大きく変わったときに認証機関へ知らせる決まりは認証機関の規則にあるので、直前になって初めて伝えることのないよう、変化があった時点で確かめておきます。
決めた手順のとおりに管理策を運用しているか
審査員は、規程や手順書に書いたとおりに運用しているかを、記録から確かめます。たとえば「退職者のアカウントは退職日に止める」と決めているなら、退職者の一覧から何人かを抜き出し、それぞれのアカウントがいつ止まったかをたどる、という確かめ方になります。抜き出し方や件数は、認証機関や審査員によって違います。
2022年版への移行審査について、国際認定フォーラムの要求事項（IAF MD 26）は、文書のレビューだけに頼らず、特に技術的な管理策を確かめるよう求めていました。規程がそろっているだけでは足りません。運用の記録が要ります。
サーベイランス審査の準備チェックリスト：審査の前にそろえる記録
そろえる記録を、マネジメントシステムの記録と、管理策の運用の記録に分けて並べます。管理策の番号と名称は、経済産業省「情報セキュリティ管理基準（令和7年改正版）」の表記に合わせました。この管理基準は、JIS Q 27001:2023の附属書AとJIS Q 27002:2024に準拠しています。どの管理策を適用するかは会社ごとに違うので、自社の適用宣言書と照らして使ってください。
マネジメントシステムの記録
| 記録 | 確かめること |
|---|---|
| 内部監査の計画と報告書 | 今年の内部監査を終え、指摘への対応を始めているか |
| マネジメントレビューの記録 | 経営層が監査の結果やリスクの状況を見て、決めたことが残っているか |
| リスクアセスメントとリスク対応計画 | 決めた間隔で、または大きな変化のあとに見直したか |
| 適用宣言書 | 管理策を適用するかどうかと、その理由が、いまの運用と合っているか |
| 是正処置の記録 | 前回の審査と内部監査の指摘に、原因まで遡って対応したか |
| 教育・訓練の記録 | 誰が、いつ、何を受けたか |
管理策の運用の記録（ID・権限・ログ・端末）
| 管理策 | そろえる記録 |
|---|---|
| 5.18 アクセス権／8.2 特権的アクセス権 | 権限の棚卸しの結果（誰が、いつ、何を見直し、何を外したか）と、特権を持つアカウントの一覧 |
| 5.16 識別情報の管理／5.11 資産の返却 | 退職者・異動者の一覧と、サービスごとにアカウントを止めた日、端末を返してもらった記録 |
| 8.15 ログ取得 | 何のログを、どれだけ残すかの決まりと、管理者の操作やログインの記録 |
| 5.9 情報及びその他の関連資産の目録／8.1 利用者エンドポイント機器 | 端末の台帳（所有者・OSのバージョン・状態）と、端末に配ったルール |
| 5.15 アクセス制御／8.5 セキュリティを保った認証 | アクセスの規則と、二段階認証をかけている範囲 |
マネジメントシステムの記録は、ISMSの事務局が自分で作る記録です。手間がかかるのは後者の、IDと端末にまつわる記録です。サービスや管理画面ごとに散らばっているので、毎年集め直すことになりがちです。ここからは、そのうち権限・退職者・ログ・端末の4つを順に見ます。
権限の棚卸し：見直した事実と、外した結果を残す
5.18 アクセス権は、アクセス権を付け、見直し、変え、外すことを求める管理策です。経済産業省の管理基準は、定期的な見直しで考えることを二つ挙げています。異動・昇進・降格や退職をした利用者のアクセス権と、特権的アクセス権の認可です。8.2 特権的アクセス権でも、特権を使う利用者を、定期的に、また組織に変更があったあとに見直すとしています。
そろえるのは、見直した対象の一覧（いつ時点の権限か）、見直した人、残すか外すかの判定、その日時です。見落としやすいのは、外すと判定した権限が実際に外れたかどうかの記録です。部署に一覧を配って「問題なし」の返事を集めるだけの棚卸しでは、見直しの結果が運用に反映されたことまで示せず、外したはずの権限が残っていても気づけません。外した日まで残します。
アクセス権の棚卸しの頻度は、会社が決めて手順に書く
アクセス権の棚卸しを年に何回行うかは管理策では決まっておらず、経済産業省の管理基準も「定期的なレビュー」としています。頻度は会社が決めます。扱う情報の重さや人の出入りの多さを見て決め、手順書に書いておきます。審査で説明しやすいのは、決めた頻度のとおりに回した記録です。年1回と決めて実際に年1回回した会社のほうが、四半期ごとと決めて半分しか回せなかった会社より、説明に困りません。
つなぐサービスが多いと、棚卸しのたびに権限を書き出し、部署に配って回収する作業が重くなります。その手作業は、アカウント棚卸の自動化で減らせます。
退職者・異動者：退職日から停止日までをたどれるようにする
5.16 識別情報の管理は、IDを作ってから無効にするまでを管理する管理策で、管理基準は、退職や役割の変更で不要になったIDを時機を失せずに無効化または削除すること、重要な事象の記録を残すことを挙げています。5.11 資産の返却は、退職や異動のときに渡していた端末などを返してもらうことです。
審査で退職者を抜き出されたら、人事の退職日、サービスごとのアカウントの停止日、端末の返却日を、一人ずつ順にたどれる状態が理想です。一人でも途切れると、説明に詰まります。部署が独自に契約したサービスが停止の手順から漏れていないか、共有アカウントのパスワードを退職のあとに変えたかも、あわせて確かめます。異動では、新しい部署の権限を足しても、前の部署の権限を外し忘れることがあります。
ログ：何を、どれだけ残すかを決め、審査の前に書き出す
8.15 ログ取得は、ログを取得し、保存し、保護し、分析する管理策で、管理基準は、ログを取る目的、記録するデータ、保護の要求事項を決めて方針に書くことを挙げています。記録を考える事象には、システムへのアクセスの成功と失敗、特権の利用、IDの作成・変更・削除などが並びます。
そろえるのは、ログの方針（対象と保存期間）と、管理者の操作、ログイン、IDの変更の記録です。クラウドサービスの管理画面ではログを見られる期間が限られていることがあり、1年分をまとめて見ようとしたときに古い分が消えていたら、もう取り戻せません。月に一度など決まった間隔で書き出して保管しておけば、この穴をふさげます。
端末の台帳：所有者と状態を最新に保つ
5.9 情報及びその他の関連資産の目録は、情報と端末などの資産の目録を作って最新に保つ管理策で、管理基準は、目録を正確で最新、一貫した状態に保つことと、資産ごとに管理責任者を決めることを挙げています。8.1 利用者エンドポイント機器では、端末の登録、ソフトウェアの更新、遠隔でのロックや消去などを方針で考えるとしています。
そろえるのは、端末の台帳（端末・所有者・OSのバージョン・在庫や利用中といった状態）と、端末に配ったルールです。台帳を手で直していると、少しずつ実物とずれていきます。退職者の端末や、在庫の端末がその例です。台帳と実際の端末を突き合わせた記録があれば、台帳が最新であることを示せます。
附属書Aの管理策ごとに、審査で開ける記録を対応表にまとめました。 監査と権限の棚卸し（J-SOX・ISMS・個人情報保護法）を見る →
受審月から逆算する、サーベイランス審査の準備スケジュール
順番は内部監査が先です。マネジメントレビューで、内部監査の結果を踏まえるからです。受審月から逆算すると、たとえば次のような流れになります。期間は一例で、組織の規模や内部監査の範囲で変わります。
| 時期 | やること |
|---|---|
| 審査の3〜4か月前 | 内部監査を行い、指摘への是正処置を始める |
| 審査の2か月前 | マネジメントレビュー。内部監査の結果、リスクアセスメントの見直し、是正の状況を経営層に報告する |
| 審査の1か月前 | 審査計画を確かめ、記録をそろえる。期末時点の権限と、退職者の停止の記録を確かめる |
| 審査の当日 | 質問に、記録を開いて答える |
| 審査のあと | 指摘への是正処置を計画し、認証機関の期限までに対応する |
記録は審査の前に集めず、ふだんの運用で残す
1か月前になってすべての記録を集めようとすると、穴が見つかります。ログの保存期間が切れていた。退職者のアカウントを止めた日が分からない。どちらも、あとからは埋められません。記録は、ふだんの運用で残る形にしておくほうが確実です。
毎月、管理者の操作ログを書き出して保管し、その月の退職者・異動者のアカウントを止めたか、権限を付け替えたかを確かめます。端末の台帳も、このときに実物と突き合わせます。異動が多い時期は、前の部署の権限を外したかを見ます。権限の棚卸しは、手順書で決めた頻度で回します。こうしておけば、審査の前にやることは、期末時点の権限と抜き出された人の記録を確かめるくらいに減ります。
審査当日の流れと、不適合が出たときの対応
当日は、初めの会議で審査の範囲と予定を確かめ、担当者への聞き取りと記録の確認を進め、終わりの会議で結果が伝えられる、という流れが一般的です。現地で行うか、遠隔を組み合わせるかを含め、進め方は認証機関によって違います。
記録を開く担当者は先に決めておきます。質問ごとにどの画面やファイルを開くかを手元にまとめておけば、聞かれてから探す時間を減らせます。権限や退職者のように、サービスの管理画面を開いて見せる記録は、その場で操作する人のアカウントと権限も前もって確かめておきます。
不適合が出たら、原因を分析して是正処置を計画し、認証機関が決めた期限までに対応します。不適合の区分、是正の期限、対応が間に合わなかったときの扱い（認証の一時停止など）は、認証機関の規則で確かめます。
審査で指摘されたことと、いまの権限の棚卸し・退職者の手続きのやり方を伺い、どこから始めるかを無料でご相談いただけます。 デモ・個別相談を申し込む →
権限・退職者・ログ・端末の記録を、LOCKEDで日々残す
LOCKEDは、附属書Aのうち、アクセス権・識別情報・認証・ログ・端末に関わる管理策について、運用の記録を日々残します。チェックリストの4つの記録には、次のように対応します。
- 権限の棚卸し：LOCKED DASのアクセスレビューで、権限ごとに受認・取消・保留を判定します。判定者・判定・日時が1か所に残り、特権を持つアカウントは「特権」の列で絞り込めます。
- 退職者・異動者：LOCKED DASを人事の情報とつなぎ、退職日を過ぎたユーザーを条件にしたワークフローで、連携先のアカウントを止めます。停止や剥奪がいつ、どの経路で起きたかは変更履歴タイムラインで確かめられます（表示は直近30日分）。それより前は、日時を指定して当時の権限を確かめる基準日時点の機能で見ます。自動のルールで付いた権限など、当時の状態を完全には再現できない場合は、一覧の代わりに理由が表示されます。
- ログ：LOCKED MSOは管理画面の操作を監査ログに残し、期間を指定してCSVで書き出せます（1回に最大1年分）。利用者のログインは、端末ごとの履歴に残ります。
- 端末の台帳：LOCKED MDMの端末をLOCKED DASのデバイス台帳に取り込み、所有者と紐づけます。取り込みで見つからなかった端末には「未検出」の印が付きます。
記録が示すのは、LOCKEDと連携したサービスと、LOCKED MDMに登録した端末についての事実です。LOCKEDを通らないログインは記録に残らないので、サービスに直接ログインできる経路は、サービス側の設定で閉じておきます。LOCKEDを使っても、審査の結果までは約束できません。認証するかどうかを決めるのは、認証機関の審査です。MSO・DAS・MDMは製品ごとに導入でき、審査で指摘されたことに近いところから始められます。
まとめ
サーベイランス審査は、1年間、決めたとおりにISMSを運用したかを、記録で確かめる審査です。準備の多くは、審査の前に書類を作ることより、権限の棚卸し・退職者の停止・ログ・端末の台帳を、ふだんの運用で残る形にしておくことにあります。まずは自社の受審月を確かめます。そこから内部監査とマネジメントレビューの時期を逆算し、毎月の書き出しと棚卸しの頻度を手順書に書いておけば、次の審査の前にやることがはっきりします。
権限の棚卸しから退職者の手続き、端末の管理まで、毎年の審査に向けた記録の残し方を無料でご相談いただけます。 資料請求・デモ依頼はこちら →
参考資料
- ISMS-AC：ISMS適合性評価制度 パンフレット（JIP-ISMS120-7.2、2025年8月）
- ISMS-AC：ISMS適合性評価制度 ISO/IEC 27001:2022 への対応について（更新版、2023年2月27日改訂）
- ISMS-AC：ISO/IEC 27001:2022への移行に関する要求事項（IAF MD 26:2023 の翻訳、JIP-IMAC226-2.0）
- ISMS-AC：JIS Q 27001:2025（ISO/IEC 27001:2022+Amd 1:2024）発行のお知らせ（2025年5月20日）
- ISMS-AC：認証取得組織数推移（2026年9月30日現在）
- IAF（国際認定フォーラム）FAQ Q32：ISO/IEC 17021-1:2015 9.1.3.3 のサーベイランス審査の時期
- JIPDEC：ISO/IEC 27000ファミリー規格について（2026年5月18日更新）
- 経済産業省：情報セキュリティ管理基準（令和7年改正版）
※ 2026年10月時点の情報です。規格の本文は、JIS Q 27001・JIS Q 27002でご確認ください。