ISO27001（ISMS）の審査員になるには

 

※このサイトはBSIグループジャパン株式会社をスポンサーとして、Zenken株式会社が運営しています。

   

ISO27001（情報セキュリティマネジメントシステム＝ISMS）は、IT企業を中心に多くの企業や組織が認証を取得している国際規格です。ここでは、JRCAの登録要件をもとに、ISO27001（ISMS）の審査員になるための条件や、登録から審査員として活動するまでの流れを紹介します。

ISO27001（ISMS）の審査員として活動するための第一歩は、審査員登録機関に「審査員補」として登録することです。登録には情報技術分野での実務経験や審査員研修コースの合格修了などの要件があり、登録後も認証機関でのトレーニングや審査経験を積みながら、段階的にステップアップしていきます。

ISO27001（ISMS）の審査員に必要な条件・資格

JRCAにISO27001（ISMS）の審査員補として新規登録するには、次の要件をすべて満たす必要があります。ISO9001などほかの規格とは異なり、学歴（またはそれと同等の教育・訓練）の要件と、情報技術分野に絞った実務経験の要件が設けられている点が特徴です。

• 学歴条件：大学教育と同等レベルの専門教育または訓練を修了している
• 情報技術分野の実務経験：申請日を遡る10年以内に、常勤で4年以上（訓練期間は含まない）
• 情報セキュリティ関連の経験：上記の実務経験のうち、情報セキュリティ技術に関連した役割または職務経験が2年以上
• 審査員研修コース：JRCAが承認する情報セキュリティマネジメントシステムの研修コースを、申請日から過去5年以内に合格修了している
• 審査員倫理綱領の遵守

「情報技術分野」「情報セキュリティ関連」の実務経験に含まれる業務

実務経験は、所属部署や職種の名称ではなく、実際に担ってきた業務の内容で判断されます。JRCAの手引きでは、情報技術分野の実務経験の例として、情報技術に関する調査・研究・評価・コンサルティングや、情報処理システムの開発・販売・構築・運用・保守・監査が挙げられています。

情報セキュリティ関連の経験については、脆弱性対策、機密保護、可用性対策といった情報セキュリティ関連技術に、業務を通じてどのように関わってきたかが確認されます。SEやインフラエンジニア、情報システム部門での経験がある方は、担当してきたシステムや技術、職務内容を具体的に整理しておくと、申請時に役立ちます。

※ここではJRCAの基準をもとに紹介しています。IRCAなど、ほかの審査員登録機関では要件が異なります。また、認証機関によっては、JRCAやIRCAへの登録を自社で審査員として活動するための必須要件としていない場合もあります。応募の際は、各認証機関の募集要項をご確認ください。

参照元：JRCA公式HP ISMS新規申請書類作成ガイド【PDF】（https://www.jrca-jsa.or.jp/datas/media/10000/md_6233.pdf）

ISO27001（ISMS）の審査員になるまでのSTEP

登録要件を満たしたうえで、実際にISO27001（ISMS）の審査員として活動するまでには、大きく4つのステップがあります。審査員研修コースに合格して登録すれば終わりではなく、認証機関に所属・契約してから審査経験を積んでいく点を押さえておきましょう。

• STEP1：JRCAが承認した審査員研修コースを受講して合格修了し、JRCAの筆記試験に合格する
• STEP2：審査員登録機関（JRCAなど）に「審査員補」として登録する
• STEP3：認証機関に社員として入社する、または外部契約審査員として契約する
• STEP4：認証機関でトレーニングを受け、オブザーバ参加を経て、審査員補として審査に加わる

審査員登録機関に登録していても、実際に審査を担当できるかどうかは、所属・契約する認証機関がそれぞれ判断します。認証機関では独自の基準で審査員の力量を評価するのが一般的で、研修や先輩審査員への同行を通して経験を積みながら、審査を任されるレベルを目指していきます。

ISO審査員になるためには、各規格に応じて特定の条件が求められますが、共通して必要なのは関連業界や分野での専門知識と一定の業務経験です。以下では、ISO審査員になるまでの道のりと未経験からでもISO審査員として挑戦できる企業を紹介しているので、参考にご覧ください。

ISO27001（ISMS）審査員の仕事

ISO27001（ISMS）の審査員は、ISO27001の認証を新たに取得する、または継続して維持する企業や組織を訪問し、情報セキュリティマネジメントシステムが規格の要求事項に沿って確立・運用・改善されているかを審査する専門家です。

ISO27001は、業種・業態を問わず認証を取得できる国際規格で、情報の機密性・完全性・可用性を守るための仕組みづくりについて要求事項を定めています。対象は個人情報に限らず、企業や組織が持つあらゆる情報資産です。審査員は、情報セキュリティのリスクアセスメントやリスク対応が適切に行われているかなどを確認します。

なお、ISO27001は2022年10月に改訂され、現在は「ISO/IEC 27001:2022」（日本語版はJIS Q 27001:2023）が最新版です。管理策（附属書A）が大きく見直され、旧版からの移行期限は2025年10月31日でした。これから審査員を目指す方は、2022年版に対応した審査員研修コースを受講しましょう。

審査員補からのステップアップと資格の更新

ISO27001（ISMS）の審査員資格は、一度登録すれば終わりではありません。上位グレードへの昇格にも、登録の維持にも、それぞれ要件が設けられています。

上位グレードへの昇格には審査実績が必要

JRCAで「審査員」への格上げを申請するには、審査員補として登録されていることを前提に、一定期間内に審査チームのメンバーとして有効な審査実績を積む必要があります。さらに「主任審査員」を目指す場合は、審査チームをまとめる立場としての実績も求められます。必要な審査回数や日数は資格基準で細かく定められているため、最新の基準をJRCAの公式サイトでご確認ください。

資格を維持するには定期的な更新が必要

登録後も、定期的に資格を更新する必要があります。更新の際は、継続的な研鑽の実績や審査実績の提出などが求められます。情報セキュリティの分野は技術や脅威の変化が速いため、登録後も学び続ける姿勢が特に大切です。

ISO27001（ISMS）審査員に活かせるスキル

ISO27001（ISMS）の審査では、情報技術の知識に加えて、組織の仕組みを客観的に評価する力や、多様な立場の人から話を聞き出す力が求められます。これまでのキャリアで培った次のようなスキルは、審査の現場で大きな強みになります。

エンジニアとしての経験

Web制作やシステム会社での就業経験など、エンジニアとしてネットワーク・サーバー・OS・ミドルウェア関連の知識や経験があると役立ちます。また、内部監査や管理責任者、二者監査などの経験も、審査の視点を身につけるうえで役立ちます。

英語力

認証機関には、日系認証機関や外資系認証機関があり、国内の認定機関（ISMS-ACやJABなど）の認定を受けている機関のほか、海外の認定機関（UKASなど）の認定を受けている機関もあります。場合によっては英語で報告書を作成しなければならないこともあるため、英語力があると有利です。

コミュニケーション能力

審査では、企業や組織の経営者や現場で働く人たちからヒアリングを行うため、コミュニケーション能力は大事なスキルです。また、経営に関する知識や財務・法務に関する知識があると、組織の仕組みを多角的に理解するのに役立ちます。

ISO27001（ISMS）の審査員として活躍している方にインタビュー

まずは社員の話を聞いてみたい方へ
BSIグループジャパン採用担当者との
カジュアル面談応募申込フォーム

ここまでご紹介してきたISO27001（ISMS）審査員の仕事内容やキャリアパスを読んで、「自分の経験でも目指せるのだろうか」「実際の働き方は？」と感じた方は、まずはカジュアル面談からいかがでしょうか。

カジュアル面談は、選考ではありません。ISO27001審査員として実際に働くために、求人票やWebサイトだけではわからない話を、採用担当者へ直接お聞きいただける場です。

カジュアル面談では、こんなことをお話しできます

• ご自身の職務経歴が、審査員の登録要件や募集要件に当てはまるかどうか
• 入社後の研修から、メンバー審査員・主任審査員になるまでの具体的な流れと期間
• 審査当日の進め方や1日の過ごし方など、実際の業務イメージ
• 収入やキャリアパス、定年後の働き方といった、長期的に働くうえでの気になる点
• SE・情報システム部門・セキュリティエンジニアなど、前職の経験がどう活きるのか

まずは情報収集から、という段階の方も大歓迎です。カジュアル面談ののち、応募するかどうかをご自身でお決めいただけます。下記フォームより、お気軽にお申し込みください。