ISMSとは？

ISMSの意味

組織が情報セキュリティを継続的に維持・改善していくための管理の仕組み。方針の策定、リスクアセスメント、対策の実施、見直しというサイクル（PDCA）を回して運用する。

ISMSの具体例

企業がISMS認証（ISO/IEC 27001）を取得する場合、情報の取り扱いルールを整備し、定期的な監査・見直しを行って認証を維持する。

ISMSは試験でどう引っ掛けられる？

「システム」を機器や装置の意味に取ると外す。指すのは組織の管理の仕組みで、認証規格はJIS Q 27001（ISO/IEC 27001）。品質のISO 9001や環境のISO 14001と取り違えやすく、認証は製品ではなく組織に与えられる。

ISMSと関連する用語

• リスクアセスメント

ISMSが出た過去問

• 情報セキュリティマネジメントシステム（ISMS）のPDCA（計画・実行・点検・処置）において、処置フェーズで実施するものはどれか。

  正解：ISMSの維持及び改善

  要点：ISMSのActは維持と改善を行うフェーズ

  ISMSのPDCAでは、計画（Plan）でISMSを確立し、実行（Do）で導入・運用し、点検（Check）で監視・レビューを行い、処置（Act）でその結果を踏まえて是正・予防を実施し維持と改善につなげる。処置フェーズは改善のサイクルを回す段階にあたる。

  出典：平成22年度 秋期 ITパスポート試験 問58（IPA）

• 情報セキュリティマネジメントシステム（ISMS）のPDCA（計画・実行・点検・処置）において、点検フェーズで実施するものはどれか。

  正解：ISMSの監視及びレビュー

  要点：ISMSの点検フェーズは監視及びレビュー（内部監査など）

  ISMSのPDCAでは、Plan＝ISMSの確立、Do＝導入及び運用、Check＝監視及びレビュー、Act＝維持及び改善と対応する。点検フェーズは、決めたとおりに運用できているか、目標に達しているかを内部監査や有効性測定によって確かめる段階である。

  出典：平成24年度 春期 ITパスポート試験 問62（IPA）

• ISMSを運用している組織において、退職者が利用していたIDを月末にまとめて削除していたことについて、監査で指摘を受けた。これを是正して退職の都度削除するように…

  正解：A

  要点：監査指摘を受けた是正はPDCAのA（改善）にあたる

  ISMSのPDCAでは、Pで方針と計画を定め、Dで運用し、Cで監査などにより点検し、Aで指摘に基づく是正・改善を行う。今回は監査での指摘を受けて運用手順を改めているので、改善にあたるAに該当する。

  出典：平成25年度 秋期 ITパスポート試験 問57（IPA）

• ISMSを構築する組織において、企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは、ISMSのPDCAサイクルのどのプロセスで実施されるか。

  正解：P

  要点：情報セキュリティ基本方針の策定はPlanの段階

  ISMSはPDCAサイクルで運用され、Pの段階で適用範囲の決定、基本方針の策定、リスクアセスメントと対応方針の決定などを行う。経営方針を踏まえた情報セキュリティ基本方針の策定は、この計画段階に位置付けられる。

  出典：平成26年度 秋期 ITパスポート試験 問78（IPA）

• 社内のISMS活動の一環として、サーバのセキュリティについて監査を行うことになった。最初に実施することとして、適切なものはどれか。

  正解：監査の計画書を作成する。

  要点：監査はまず計画書の作成から始める

  監査は、目的・範囲・対象・手続・日程・体制をあらかじめ定めた計画に基づいて進める。何をどの基準で確かめるかを決めずに現場の調査を始めると、確認漏れや評価のばらつきが生じるため、まず監査計画書の作成から着手する。

  出典：平成26年度 秋期 ITパスポート試験 問83（IPA）