ひとり会社がAIとISMS認証を取得　普通は1年の構築を、実質3日

4649株式会社が、2026年7月9日付でISO/IEC 27001の認証を取った。社員は代表の村山毅さん1人。仕組みを作るのにかかった実際の手間は、約3日だったという。

3日。打ち間違いではない。代表がnoteに書いた記事によると、審査への対応がさらに約2.5日。合わせて5日半だ。お金は、AIの利用料が数千円と、審査費用が50万〜60万円。1年目の話である。

普通は1年、200万円前後

ISMSは、ざっくり言えば「情報の守り方の仕組みが、ちゃんと回っているか」を外から確かめてもらう制度だ。日本では、ISMS-AC（情報マネジメントシステム認定センター）が審査機関を認定し、その審査機関の審査を通った会社が登録される。4649株式会社の登録番号は50301853 ISMS22。有効期限は2029年7月8日で、対象はソフトウェア開発だ。

では、普通はどれくらいかかるのか。審査機関のJQAは、よくある質問のページで「おおむね1年間かかります」と書いている。準備ができていれば半年ほどで取れることもある、とも添えてある。

お金の話も。ISMS取得を支援するFIXITの解説ページでは、社員50人までの会社で、伴走するコンサル費用が100万〜150万円、審査機関の審査費用が50万〜80万円。期間は4〜8か月としている。足すと、200万円前後が一つの目安になる。

4649株式会社は、このコンサル費用がまるごとない。3年で合計約100万円が目安だと代表は書いている。

3日で済んだ本当の理由

短くなった理由は、AIが速いことだけではない。

ISMSで一番時間を食うのは、情報資産台帳を作るところだ。先のFIXITの解説も、情報資産の棚卸しに3〜4週間を見込んでいる。

4649株式会社には、その手間がほとんどなかった。紙の書類がない。ExcelやWordも最小限。個人のパソコンの中にデータを置かない。使うSaaSは、Googleアカウントで入れるものだけ。IdPをGoogleアカウントに一本化してあった。

だから台帳は、Google Workspaceの管理コンソールにある「セキュリティ→APIの制御」から、全社で使っているSaaSの一覧を自動で抜き出して作れた。よその会社が1か月かけて探し回る部分が、最初から終わっていたわけだ。

AIがやったのは、規程の下書きと、管理策93項目と自社の実態の突き合わせ、それにリスクの洗い出し。方針を決める、リスクを判断する、最後に承認する。そこは本人がやった、と書いている。内部監査は、客観性を保つために外部の監査人に頼んだ。

ネットの評判

代表のnoteの記事を、はてなブックマークで270ユーザーが登録している。コメント欄では、見方が割れている。

褒める側は「すごい。同じこと考えてたけどオフィス（部屋）のセキュリティ要件を満たすのが難しそうで諦めてた。」「適切な既存フレームワークの肩に乗るのは良いよね。」と書く。一方で「ISMSとかISO系は規格を取ること自体よりも、その過程での業務整理や改善に意味があると思うので、維持ならともかく取得でAI使うのは本末転倒感を感じる。」という声もある。「AIって平気で嘘つくからな。。」と、作られた文書の中身を心配する書き込みも。規格そのものがAIの利用を認めていないのではないか、という指摘もあるが、何を根拠にしているかは書かれていない。そもそもISMSが想定していない規模の会社ではないか、という見方も出ている。

待ち時間のほうが、ずっと長い

もう一つ、審査機関選びの話が生々しい。国内の審査機関は約30社。そのうち8社に見積もりを頼み、6社が概算を出し、条件に合ったのが3社。2社とオンラインで面談して、1社に決めた。条件は、8月までに終わること、リモートで対応できること、ITに詳しい若手の審査員が付くこと。金額は1年目50万〜60万円で、各社ほぼ横並びだったという。

そして代表はこう書いている。声をかけてから実際の審査まで、6か月待つのが通常だと。受付を止めている審査機関も複数ある、とも。作業そのものは5日半で終わっても、順番待ちで半年が飛ぶ計算になる。

代表は、ISMSは終点ではなくスタートラインだとも書いている。運用に使ったアプリは、ほかの会社への提供も考えているそうだ。

紙をやめたから3日で取れた会社は、紙で届いた認定証に、2週間気づかなかった。