ISMS構築SaaSの選び方｜6サービスを自社の目的・運用方法から比較

「ISMS構築SaaS」と検索すると、多くのセキュリティ・コンプライアンスの規格を扱うサービスが見つかります。しかし機能表だけを見ても違いが分かりにくいのではないでしょうか。導入を検討中だったとしても、結局何を選んだらよいのか判断できないことも少なくないでしょう。

この記事では主要な6サービスを紹介しつつ、単純にランキング形式にするのではなく「自社はISMS認証取得の何をラクにしたいのか」から候補を整理する方法について解説します。SaaSでISMS構築をご検討中のご担当者様はぜひ参考にしてみてください。

ISMS構築SaaSは「何をラクにしたいか」で選択肢が変わる

初めに、「ISMS」と「ISO/IEC27001」「ISMS認証」の違いを確認しておきます。ISMSは情報セキュリティのリスクを管理するための「仕組み」で、ISO/IEC27001はそのISMSを確立・運用・維持・改善するための要求事項を定めた「規格」です。またISMS認証は、構築したISMSについて第三者機関の審査を受ける「制度」であり、「ISMS」と「ISMS認証」は区別する必要があります。

ISMSの構築では「何を効率化したいか」で、どの負担を減らすか、どんなサービスを利用するべきかが異なります。以下に自社がラクにしたいことと減らしたい負担をもとに、サービスの候補を一覧にまとめました。

なお上記は診断表ではありません。そのため複数に当てはまる可能性があります。業種だけでサービスを決めず、自社で負担になっている作業から比較候補を絞ることが大切です。

ISMS認証の取得・維持をラクにしたい

続いて、ケース別に見たISMS認証の取得・維持をラクにするサービス選びの基準を解説します。以下のケースについてまとめます。

・初めて取得するケース
・人の支援も必要なケース

それぞれについて見ていきましょう。

初めて取得するなら「取得まで何をすればよいか」が分かるか

初めて取得するなら、「取得まで何をすればよいか」が分かるかどうかでサービスを比較しましょう。

初回取得では、適用範囲の設定、情報資産の整理、リスクアセスメント、文書整備、教育、内部監査、マネジメントレビューなどの作業を行う必要があります。そのためサービスを比較するときは、機能の有無だけでなく必要な作業をどの順番で進めるかまで把握できるかを確認します。

たとえば「ISMSアシスト」は、取得計画・適用範囲から情報資産管理、リスク分析、教育、内部監査、審査準備までを手順化できます。「SecureNavi」もタスク管理、文書、情報資産、リスクアセスメント、内部監査などをシステム上で管理可能です。

また「LRM＋Notion」は、Notion上に情報資産台帳、リスク管理表、教育管理、内部監査記録などを用意する方式です。専用SaaSとは管理方法が異なるため、「ISMS専用システムで進めるか、Notionを管理基盤にするか」も比較点になります。

ツールだけで進めるか、人の支援も必要か

ツールだけで進めるか、人の支援も必要かも考えてサービスを選ぶ必要があります。

ISMS構築SaaSを導入しても、規格要求の解釈や自社への当てはめまで完全に自動化できるとは限りません。担当者の経験が少ない場合は、システム機能と併せて相談できる範囲を確認しておきましょう。

「ISMSアシスト」はSaaS利用と無制限のチャット相談を提供し、Web会議による導入・運用サポートも標準のサービスとして組み込まれています。コンサルタントによる併走は別プランです。「LRM＋Notion」では、新規取得プラン自体がNotion環境とコンサル支援を組み合わせた構成になっています。

自社が必要とする支援の程度を把握してから選びましょう。ツールとコンサルの二者択一にしないことがポイントです。

クラウドや開発環境の確認・証跡収集まで減らしたい

クラウドや開発環境の確認・証跡収集まで減らしたい場合は、関係する機能があるかどうかチェックします。

「Vanta」「Drata」「Secureframe」は、ポリシーやリスク管理だけでなくクラウド・ID管理・開発環境などとの連携による証跡取得や管理策の確認まで自動化する点が大きな特徴です。Drataでは接続したAWSやAzureなどを対象にモニタリングテストを実行し、その結果を管理策やISO 27001などのフレームワークと関連付けることができます。Vantaも外部サービスとの連携から証跡を収集し、継続的なテストを行います。

なお「連携できる」と言っても「必要な証跡をすべて自動取得できる」ことではありません。自社が必要な証跡が取得できるのかを確認することが必要です。

ISMS認証の先まで管理するなら、必要な範囲を確認する

続いて、ISMS認証取得以外にも管理したいことがある場合についてケース別に解説します。以下の場合についてまとめます。

・ISO27001以外の認証・規格も管理する
・顧客へのセキュリティ情報提示まで効率化する

順に見ていきましょう。

ISO27001以外の認証・規格も管理する

ISO27001以外の認証・規格も管理する場合は、「複数規格に対応しているか」「同じ管理策や証跡を複数の規格に再利用できるか」を確認しましょう。規格ごとに同じ資料を別々に管理する負担を減らせる可能性があります。

「Drata」では、フレームワークを横断し、要求事項などを関連付けることが可能です。「Vanta」も複数フレームワーク間で管理策・証跡を再利用する仕組みを持っています。

複数の規格を管理できても、規格ごとに管理機能が独立している場合もあります。負担を減らすためには、個別管理ではなく一元管理できるかどうかを確認することがポイントです。

顧客へのセキュリティ情報提示まで効率化する

BtoB企業では、ISMS認証取得とは別に、商談や取引開始時にセキュリティ資料・認証状況・質問票への回答を求められる場合があります。この作業まで効率化する機能がTrust Centerや質問票自動化です。

「Vanta」「Drata」「Secureframe」はいずれもTrust Center系機能を提供しています。顧客自身が公開されたセキュリティ・コンプライアンス情報や許可された資料を確認できるため、個別の資料送付を減らすことが可能です。

ただし取引先からこうした情報を頻繁に求められない企業では、上記の機能の重要度は低いと言えます。ISMS取得に必須の機能ではなく、営業・顧客審査対応まで含めて効率化したい場合の追加の選定軸として考えてください。

6つのISMS構築SaaS・サービスを比較

主要な6つのISMS構築SaaS・サービスの特徴を一覧でまとめました。

※GCERTI-JAPANはISMS認証の認証機関です。本記事では、各サービスの公開情報をもとに、公平・中立な立場から特徴や違いを整理しています。特定のサービスを推奨するものではありません。

各サービスの機能範囲は重なっているため、「ISMS構築型／コンプライアンス自動化型」と完全に二分せずに検討することが大切です。たとえば「Vanta」「Drata」「Secureframe」にもISO 27001のポリシー、リスク管理、従業員管理などの機能があり、新規取得にも利用できます。VantaにはISO 27001をゼロから取得するために利用した公開事例もあります。

また、SecureNaviには外部サービスとの連携機能があります。そのため、「国内サービスは外部連携なし」「海外サービスは証跡収集中心」といった単純な区分もできません。

6サービスはどんな企業が比較候補にしやすい？

続いて6つのサービスについて、それぞれどんな企業が比較候補にしやすいか解説します。

ISMSアシスト

「ISMSアシスト」は、ISO27001取得の手順がわからない場合の比較候補です。項目に沿って入力していくだけで、取得計画から情報資産、リスク分析、文書、教育、内部監査、審査準備を行うことができます。

月額3万円でチャット相談が無制限。チャット・Webサポートによる導入・運用支援も標準であり、自社主体で進めつつ疑問点を質問したい場合の比較材料になります。取得後も、教育・内部監査・リスク見直しなどを記録できます。価格比較では月額だけでなく、取得までの利用期間や別プランの併走支援を含めて確認しましょう。

SecureNavi

「SecureNavi」は、ISMS認証の取得・維持に必要なタスク・文書・情報資産・リスク・教育・内部監査などを専用クラウド上で一元管理したい場合の比較候補です。

情報資産に関連するリスクと対応策をシステムから提案する機能があり、リスクアセスメントの実施負担を減らす設計となっています。また内部監査も、計画作成・チェックリスト・監査実施などをシステム上で進められます。そのため、取得時だけでなく取得後のISMS運用方法まで確認して選ぶとよいでしょう。

LRM＋Notion

「LRM＋Notion」は、ISMS専用SaaSではなく、Notion上にタスク・文書・情報資産台帳・リスク管理表・教育管理・内部監査記録などをまとめて構築する方式です。新規取得プランではコンサルタントの支援も組み合わせるため、ツールだけで進めるより「管理環境＋専門家の伴走」を求める場合に検討しやすいサービスです。

Notionをすでに使っているかだけで判断せず、ISMS専用SaaSとNotionベースの管理のどちらが担当者・社内メンバーに定着しやすいかで判断しましょう。

Vanta

「Vanta」は、ISO27001のISMS構築に必要なリスクやポリシーなどに加え、外部システムからの証跡収集、自動テスト、継続監視までまとめて管理したい場合の比較候補です。ISO27001だけでなく複数のコンプライアンスフレームワークを扱い、既存の管理策・証跡を別フレームワークにも活用する機能を備えています。

すでに複数認証を持つ企業向けだけではありません。Vantaを利用してISO27001をゼロから取得した事例もあり、新規取得でも証跡収集の負担が大きければ比較対象になります。

Drata

「Drata」は、ISO27001のポリシー・リスク、管理策から外部システムとの接続、証跡、Monitoring Testsまで一つの基盤で関連付けて管理したい場合の比較候補です。

Monitoring Testsは接続したシステムの状態を継続的に確認し、テスト結果を管理策の準備状況へ反映します。単なる証跡保管庫ではありません。Drata Control Frameworkではフレームワーク固有の要求事項と共通管理策を関連付けることができます。将来SOC2などにも対応する場合、ISO27001で整備した管理策・証跡をどう再利用できるかを確認しましょう。

Secureframe

「Secureframe」は、ISO27001のリスク・ポリシー等に加え、クラウド、HR、セキュリティ等のシステムと接続して証跡収集・テストまで管理したい場合に比較候補になります。

一般的なクラウドサービスだけでなく、オンプレミスや独自システムについてもCustom Data IntegrationやAPI等からデータを取り込むことが可能です。自動連携できない場合は手動証跡にも対応できます。従業員のオンボーディング、教育、ポリシー承認などもシステム連携から管理可能です。

候補を2～3サービスに絞ったら、デモで確認する

機能表だけでは「自社の作業が実際にどこまで減るか」は判断しにくいため、候補を絞った後は同じ条件・同じ作業を各社のデモで確認しましょう。いくつか確認の例を挙げます。

確認のうえ、必要な機能が多いサービスを選ぶのではなく、自社が減らしたい負担を実際に減らせるサービスを選ぶことがポイントです。条件を満たす2～3社へ、同じ自社条件を伝えてデモ・見積もりを依頼しましょう。

まとめ

ISMS構築のSaaSを選ぶ際は、自社が減らしたい負担を明確にしてその作業が楽になるかどうかで判断することが重要です。機能の数や表面的なスペックで機械的に判断しないようにしましょう。

まずは自社のリソースや環境を確認のうえ、どの作業を効率化したいかを検討してください。そしてその作業の効率化に最適化するつもりでサービスを選ぶことが大切です。