ひとり会社が、AIと二人でISMSを取った話｜村山毅 Tim

2026年7月9日付で、ISMS（ISO/IEC 27001:2022）の認証を取得しました。登録番号は 50301853 ISMS22 です。 コンサルには頼んでいません。ISMS専用のSaaSも使っていません。設立1年目のひとり会社が、AI社員と二人三脚で、マネジメントシステムそのものを自社で作りました。 構築にかかった実質工数は約3日、審査対応は別に約2.5日。かかった費用は、数千円のAI利用料と審査費用だけです。 この夏、Xで「#ひとりISMS」として連載してきた内容を、この記事にまとめました。これからISMSを取ろうとしている方の参考になればうれしいです。 なぜ、ひとり会社がISMSを取るのか4649株式会社は、AI社員と一緒に運営する経理代行の会社です。会計事務所やお客様から、財務データを日常的にお預かりしています。 「AIに経理を任せて大丈夫か」「ひとりの会社に預けて大丈夫か

[splitaces]

最近は小規模組織のうちにISMS含めセキュリティ対応するのがトレンドっぽいけど、AIにやらせたとしても、情報セキュリティ管理者が網羅的に内容を理解し、継続的に対応できてるかが重要だよな。

[tofu-mental]

規格のAI利用は認められていないような

[doko]

ISMSより前の経営の設計　と言っているとおりで、逆にたぶん、取りやすいのだと思う。取る意味があるのかどうかはよくわからない。審査員の人（たち）も、身も蓋もない応対を受けたのだろうと想像する

[tpircs]

10/1より前ならセーフかな？「2026年10月1日より利用規約が変更になりました。特に、規格のAI利用は認められていない点、ご注意ください。」https://webdesk.jsa.or.jp/common/W10K0030/?post_type=book_common&page_id=b_j_libraryserver_riyoukiyaku

[komutan1]

すごい。同じこと考えてたけどオフィス（部屋）のセキュリティ要件を満たすのが難しそうで諦めてた。

[dot]

ISMSとかISO系は規格を取ること自体よりも、その過程での業務整理や改善に意味があると思うので、維持ならともかく取得でAI使うのは本末転倒感を感じる。

[hogetax]

ISMSの想定していない規模なんじゃないかなぁ...うまく使ったって感じでおもろい

[eagleyama]

昨今の情報漏洩発表してる企業の取得済みか一覧表がほしい

[miscmisc]

AIって平気で嘘つくからな。。

[strawberryhunter]

「審査会社は国内に約30社あり」「1年目はどこも50〜60万円前後」「3年で100万円ほどが目安」それで「AIで会計事務所向けのBPOをやってます。」か。結局この筆者を信用するかだと思う。

[wizardofpain]

ひとりだから情報資産の洗い出しやリスクアセスメントもやりやすいというのはあるだろうね。でも構築3日というのはすごい。

[mrmt]

適切な既存フレームワークの肩に乗るのは良いよね。

[IGA-OS]

適切な知識で育てたAI社員を置く

[himagination]

「AIに経理を任せて大丈夫か」「ひとりの会社に預けて大丈夫か」。ISMSを取れば人が死んでもAI社員だけで会社が回るってこと?

[t2y-1979]

社員がひとりしかいないのに isms なんかいらないでしょ

[dekasasaki]

とても素晴らしい

[ryudenx]

ちょうど考えていたところ。参考になる