ISMS（情報セキュリティマネジメントシステム）とは？

ISMS（情報セキュリティマネジメントシステム）の意味

組織が情報セキュリティを継続的に維持・改善していくための管理の枠組み。方針の策定（Plan）、対策の実施（Do）、実施状況の点検（Check）、見直し・改善（Act）というPDCAサイクルを回しながら運用する。国際規格ISO/IEC27001に基づいて認証を取得する組織も多い。

ISMS（情報セキュリティマネジメントシステム）の具体例

情報セキュリティ方針を定め、リスクアセスメントに基づいた対策を実施し、内部監査で運用状況を点検したうえで、必要に応じて方針や対策を見直す一連のサイクルがISMSの実践例。

ISMS（情報セキュリティマネジメントシステム）は試験でどう引っ掛けられる？

認証の対象は組織の「管理の仕組み」であって、製品や個人ではない。要求事項を定めた規格がISO/IEC27001、実践のための管理策集が27002。個人情報だけを対象とするプライバシーマーク（JIS Q 15001）との取り違えも定番。

ISMS（情報セキュリティマネジメントシステム）と関連する用語

• リスクアセスメントとリスク対応

ISMS（情報セキュリティマネジメントシステム）が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。 〔定…

  正解：真正性:b, 信頼性:a

  要点：真正性＝名乗りどおり、信頼性＝意図と結果が一貫

  真正性は、利用者や機器などの主体が名乗ったとおりの存在であることを保証する特性である。信頼性は、意図した動作とその結果が食い違わず一貫していることを指す。可用性や機密性とは別の概念として区別して覚える。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問39（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において、“エンティティは、それが主張するとおりのものであるという特性”と定義され…

  正解：真正性

  要点：真正性はエンティティが主張どおり本物であるという特性

  真正性（authenticity）は、利用者やシステムなどのエンティティが、自ら主張するとおりの本人・本物であるという特性である。認証によって確保され、なりすましを防ぐことにつながる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問39（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。

  正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ

  要点：リスクレベルは結果の大きさと起こりやすさの組合せ

  リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問41（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…

  正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO

  要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO

  RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）