ISMSとは？

ISMSの意味

情報セキュリティを組織的に管理する仕組み。方針の策定、リスクアセスメント、管理策の適用、運用、監視・レビュー、改善というサイクルを回す。JIS Q 27001が要求事項を、JIS Q 27002が管理策の実践規範を示す。

ISMSの具体例

適用宣言書で採用する管理策を明示し、内部監査とマネジメントレビューを経て継続的に改善する。

ISMSは試験でどう引っ掛けられる？

27001が「要求事項（認証の基準）」、27002が「管理策の手引」。番号と役割の対応が問われる。

ISMSと関連する用語

• JIS Q 27001
• 適用宣言書
• 情報セキュリティ監査

ISMSが出た過去問

• JIS Q 27000:2014(情報セキュリティマネジメントシステム-用語)における情報セキュリティリスクに関する記述のうち,適切なものはどれか。

  正解：リスク特定とは,リスクを発見,認識及び記述するプロセスのことであり,リスク源,事象,それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスク源や事象と結果を発見し記述する過程

  JIS Q 27000では用語が明確に定義されている。リスク特定はリスクを発見し認識して記述する過程であり、リスク源や事象、その原因と起こり得る結果を洗い出すことを含む。脅威は損害を与えうる望ましくないインシデントの潜在的原因、脆弱性は悪用されうる資産や管理策の弱点で、選択肢では両者が入れ替えられている。

  出典：令和1年度 春期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価

  JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。

  正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

  要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める

  JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。

  出典：令和5年度 秋期 システム監査技術者試験 am2 問19（IPA）

• CRYPTRECの主な活動内容はどれか。

  正解：暗号技術の技術的検討、国際競争力の向上及び運用面での安全性向上に関する検討を行う。

  要点：CRYPTRECは暗号技術の安全性評価と推奨暗号リストの策定を担う

  CRYPTREC（Cryptography Research and Evaluation Committees）は、電子政府で利用する暗号技術の安全性を評価・監視し、推奨する暗号リストを策定する活動を行っている。暗号技術の技術的な検討に加え、国際競争力の向上や運用面での安全性向上も対象とする。情報セキュリティ政策の立案はNISC、ISMS認証の運用は認定機関、暗号モジュールの試験はJCMVP関連の試験機関が担う。

  出典：令和6年度 秋期 システム監査技術者試験 am2 問19（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。

  正解：リスクを修正するプロセス

  要点：リスク対応はアセスメント後にリスクを修正するプロセス

  リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。

  出典：令和7年度 秋期 システム監査技術者試験 am2 問19（IPA）