ISMSの取得は必須ではありません。 本質的にどのように情報を取得しているのか、その情報はシステム上どのように管理しているのか、アクセスできる人間は限られているか、どのように利用しているのか、ということのルールを決め、守ることが重要です。