ISMS（情報セキュリティマネジメントシステム）とは？あいえすえむえす
ISMS（情報セキュリティマネジメントシステム）とは、情報を守るための方針・体制・手順を組織として決め、点検して直し続ける管理の枠組み。守る対象は情報の機密性・完全性・可用性の3つで、機器やソフトの導入だけでなく、従業員が守る運用ルールまで含む。要求事項はJIS Q 27001（ISO/IEC 27001）が定め、審査に通れば認証を取得できる。
最終更新：2026-10-09
この語が出る過去問を解く →背景
技術的な対策だけでは情報漏えいは止まらない。持ち出し、設定の誤り、退職者の権限の残りなど、原因の多くは人と手順の側にあるためである。担当者の経験でしのいでいると異動でやり方ごと消えてしまうので、決め方と点検の手順を文書にして組織の仕組みにする必要があった。取引先から「安全に扱っているという証明」を求められる場面が増えたことも、認証という形が広まった理由である。
具体例
クラウド事業者のさくらインターネットは、データセンターの運用についてISO/IEC 27001の認証取得を公表している。認証はISMS-AC（情報マネジメントシステム認定センター）が認めた審査機関が、方針・リスク評価の記録・実際の運用状況を見たうえで与える。
試験での引っ掛け
認証が付くのは組織の「管理の仕組み」であって、製品や個人ではない。要求事項を定めた規格がJIS Q 27001、実践の手引きとなる管理策集がJIS Q 27002という役割の違いも問われる。個人情報の取扱いだけを対象とするプライバシーマーク（JIS Q 15001）との取り違えも定番。
関連用語
出た過去問
出典：平成30年度 秋期 基本情報技術者試験 午前 問39（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。 〔定…
正解：真正性:b, 信頼性:a
要点：真正性＝名乗りどおり、信頼性＝意図と結果が一貫
真正性は、利用者や機器などの主体が名乗ったとおりの存在であることを保証する特性である。信頼性は、意図した動作とその結果が食い違わず一貫していることを指す。可用性や機密性とは別の概念として区別して覚える。
出典：平成30年度 春期 基本情報技術者試験 午前 問39（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において、“エンティティは、それが主張するとおりのものであるという特性”と定義され…
正解：真正性
要点：真正性はエンティティが主張どおり本物であるという特性
真正性（authenticity）は、利用者やシステムなどのエンティティが、自ら主張するとおりの本人・本物であるという特性である。認証によって確保され、なりすましを防ぐことにつながる。
出典：平成31年度 春期 基本情報技術者試験 午前 問41（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベルは結果の大きさと起こりやすさの組合せ
リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。
出典：令和7年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。