ISMSとは？

ISMSとは、組織が情報セキュリティを継続的に維持・改善するための管理の仕組み全体を指す。技術的対策だけでなく、方針の策定・体制の整備・リスクアセスメント・教育・監査といった組織的な活動を含む。

情報セキュリティマネジメント試験の過去問では30回出題されています（2016年度〜2026年度）。

あいえすえむえす

情報セキュリティマネジメント試験の頻出用語／全分野／別名：情報セキュリティマネジメントシステム、Information Security Management System、ISMS（情報セキュリティマネジメントシステム）

ISMSの意味

組織が情報セキュリティを継続的に維持・改善するための管理の仕組み全体を指す。技術的対策だけでなく、方針の策定・体制の整備・リスクアセスメント・教育・監査といった組織的な活動を含む。

ISMSの具体例

企業がISMSを構築する際は、まず情報セキュリティ方針を定め、リスクアセスメントを実施し、必要な管理策を選んで実施し、内部監査とマネジメントレビューで見直すという一連の活動を継続的に回す。

ISMSは試験でどう引っ掛けられる？

「ISMSを構築する＝認証を取得する」ではない。認証は第三者が評価するISMS適合性評価制度の話で、認証を取らずにISMSを運用することもできる。またISMSは技術的対策の集合ではなく、方針・体制・教育・監査を含む管理の仕組み全体を指す。

ISMSと関連する用語

ISMSが出た過去問

JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成28年度秋期情報セキュリティマネジメント試験午前問37（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントより先に定める
JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。
出典：平成30年度秋期情報セキュリティマネジメント試験午前問37（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…
正解：監査プログラムは前回までの監査結果を考慮しなければならない。
要点：内部監査計画は前回の監査結果を踏まえて立てる
JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。
出典：平成30年度春期情報セキュリティマネジメント試験午前問38（IPA）
ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発期間中に計画的に実施する
セキュリティ機能の試験は開発の各段階で計画的に行い、問題を早い段階で見つけて是正することが求められる。開発期間が終わってからまとめて実施する運用では、不具合の発見が遅れ、修正の負担も大きくなるため、管理策に照らして不備と判断できる。他の三つは管理策に沿った望ましい実施状況である。
出典：令和1年度春期情報セキュリティマネジメント試験午前問38（IPA）
組織がJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）への適合を宣言するとき，要求事項及び管理策の適用要否の考え方として，適切…
正解：規格本文の箇条4〜10に規定された要求事項：全て適用が必要である。附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる。
要点：本文の要求事項は必須、附属書Aの管理策は理由があれば除外可
JIS Q 27001への適合を宣言するには、規格本文の箇条4〜10の要求事項をすべて満たす必要があり、適用除外は認められない。一方、附属書Aの管理策は必要性を検討したうえで選択するもので、不要と判断した理由を適用宣言書に記載すれば除外できる。
出典：平成29年度秋期情報セキュリティマネジメント試験午前問2（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。