経費精算サービスでISO27001（ISMS）を取得しているものはある？

経費精算サービスの中には、ISO/IEC 27001（ISMS）を取得している事業者が提供するものがあります。ただし、認証を取得しているのがサービスそのものではなく、運営会社や特定の事業・組織である場合もあります。

そのため、「会社がISO27001を取得している」という表示だけで、利用する経費精算サービス全体が認証対象だと判断するのは避けてください。認証範囲、対象サービス、証明書の有効期限を確認することが重要です。

ISO27001（ISMS）を取得した経費精算サービスはある

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。情報の管理方法、アクセス権限、事故対応、リスク評価などを組織的に管理する仕組みが、審査を受けて認証されたことを示します。

経費精算サービスでは、会社情報、従業員情報、取引先情報、領収書、銀行口座情報などを扱うことがあります。そのため、運営会社がISMS認証を取得しているかどうかは、サービス選定時の確認項目の一つになります。

ただし、ISMS認証は「情報漏えいが絶対に起きない」「すべての機能が認証済み」という意味ではありません。認証の対象となる組織、サービス、拠点、業務範囲を確認する必要があります。

確認すべきなのは「認証の有無」より認証範囲

経費精算サービスのセキュリティを確認するときは、次の項目を分けて見ます。

特に注意したいのは、認証の対象が「情報システム部門」や「特定の開発拠点」に限られているケースです。この場合、経費精算サービスの本番環境や問い合わせ対応まで認証範囲に含まれるとは限りません。

経費精算サービスのISO27001取得状況を確認する方法

サービスの公式なセキュリティページや資料で、次の順番で確認します。

1. 「ISO/IEC 27001」「ISMS」の記載を探す。単に「高いセキュリティ」「安全に管理」と書かれているだけでは、認証取得の根拠にはなりません。
2. 認証証明書または認証登録の概要を確認する。認証を取得した会社名、認証規格、登録番号、認証範囲などを確認します。
3. 経費精算サービスが認証範囲に含まれるか確認する。会社全体の認証なのか、特定のサービス・部門だけの認証なのかを見ます。
4. 証明書の有効期限を確認する。過去に取得した情報だけでは、現在の認証状況を判断できません。
5. 不明点は提供会社に問い合わせる。「経費精算サービスの本番環境はISO27001の認証範囲に含まれますか」と具体的に確認します。

ISO27001だけで経費精算サービスを決めてよい？

ISO27001の取得だけで、経費精算サービスの安全性を判断することはできません。ISMSは情報セキュリティを管理する仕組みの認証であり、個別の機能やすべての運用上のリスクを保証するものではないためです。

導入前には、次の項目も確認してください。

• 通信中・保存時のデータ暗号化
• 二要素認証やシングルサインオンへの対応
• 管理者権限や閲覧権限の設定方法
• 操作ログ・承認履歴の保存と確認方法
• 退職者や異動者のアカウント停止方法
• 解約後のデータ返却・削除方法
• 障害や情報漏えいが発生した場合の通知方法
• 外部クラウドや再委託先の管理状況

たとえば、ISO27001を取得していても、自社の運用で管理者アカウントを共有していれば、利用者側の設定によるリスクは残ります。認証の有無と、サービスの機能・自社の運用ルールを合わせて判断することが必要です。

選定時に提供会社へ確認する質問

認証範囲が資料だけでは分からない場合は、次のように質問すると確認しやすくなります。

• ISO/IEC 27001またはISMSの認証を取得していますか。
• 認証を取得している法人名と、認証の対象範囲を教えてください。
• 利用する経費精算サービスの開発・運用環境は認証範囲に含まれますか。
• 認証証明書や登録情報を確認できますか。
• 認証の有効期限と、直近の更新状況を教えてください。
• データの保管場所と、利用している外部委託先を確認できますか。

回答が「会社として取得している」という内容だけの場合は、経費精算サービス自体が認証範囲に含まれるかを追加で確認しましょう。

まとめ

ISO27001（ISMS）を取得している事業者が提供する経費精算サービスはあります。ただし、確認すべきなのは認証マークの有無だけではなく、経費精算サービスの本番環境や運用業務が認証範囲に含まれているかです。

候補サービスを比較するときは、認証証明書の対象法人・認証範囲・有効期限を確認し、暗号化、権限管理、操作ログ、データ削除などの仕様も合わせて判断してください。