ISMSの適用範囲とは？

ISMSの適用範囲とは、管理の仕組みをどの組織・業務・拠点・情報システムに適用するかを定めた境界のこと。事業の内容、利害関係者の要求、外部に委託している業務との関係などを踏まえて決め、文書として明示する。ここが曖昧だと、資産の洗い出しも管理策の適用も範囲が定まらない。

情報セキュリティマネジメント試験の過去問では1回出題されています。

あいえすえむえすのてきようはんい

情報セキュリティマネジメント試験の頻出用語／テクノロジ系

ISMSの適用範囲の意味

管理の仕組みをどの組織・業務・拠点・情報システムに適用するかを定めた境界のこと。事業の内容、利害関係者の要求、外部に委託している業務との関係などを踏まえて決め、文書として明示する。ここが曖昧だと、資産の洗い出しも管理策の適用も範囲が定まらない。

「本社の営業本部と情報システム部が扱う受注業務、およびそこで利用する社内システム」と定め、工場と海外拠点は当面対象外とする。認証を取得する際も、この範囲が証明書に記載され、対外的な説明の前提になる。

範囲を狭めれば運用は楽になるが、外した部署が抜け道になり得る。また、範囲外にした業務でも、そこと情報をやり取りする接点は管理の対象として考慮する必要がある点が問われやすい。

JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における，トップマネジメントに関する記述として，適切なものはどれか。
正解：組織を指揮し，管理する人々の集まりとして複数名で構成されていてもよい。
要点：トップマネジメントは個人でも複数名の集まりでもよい
JIS Q 27000のトップマネジメントの定義は「最高位で組織を指揮し、管理する個人又は人々の集まり」であり、複数名の合議体でも構わない。役職名や部門で限定されるものではなく、代表取締役や情報システム部門長でなければならないという要件はない。またトップマネジメントはISMSの適用範囲内で権限をもつ立場であり、適用範囲から独立している必要もない。
出典：平成30年度秋期情報セキュリティマネジメント試験午前問2（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。