ISMSとは？あいえすえむえす
略語の意味
ISMS＝Information Security Management System
情報を守るためのルールを組織（会社・学校・役所など）として決め、見直しながら続けていく仕組み
- Information
- 情報
- Security
- 安全を守ること
- Management
- 管理
- System
- 仕組み
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、情報を守るための方針・体制・手順を組織として定め、守るべき情報の危険を洗い出して大きさを見積もるリスクアセスメントと、対策の実施、点検、見直しを繰り返して維持・改善していく管理の仕組み。認証規格はJIS Q 27001（ISO/IEC 27001）で、計画（Plan）・実行（Do）・点検（Check）・見直し（Act）を繰り返すPDCAによる継続的改善を回す運用が前提になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
ウイルス対策ソフトを入れる、パスワードを複雑にするといった個々の対策をいくら積んでも、守るべき情報が棚卸しされておらず責任者も決まっていない組織では抜けが残る。しかも脅威は年々変わるので、一度作った対策は放っておけば古びる。そこで、対策を単品で持つのではなく、方針から手順・点検・見直しまでを一つの仕組みとして組織に据え、第三者の審査で確認してもらえる形にしたのがISMSである。取引先から認証取得を求められる場面が増え、非IT企業の社員にも関わる話になった。
具体例
ISMS認証（ISO/IEC 27001）はIT企業だけでなく、印刷会社やコールセンターの運営会社なども取得している。取得した組織は、情報の分類と持ち出しの手順を規程として定め、毎年の内部監査と審査機関の審査を受けて認証を維持する。
試験での引っ掛け
「システム」を機器やソフトウェアの意味に取ると外す。指すのは組織の管理の仕組みで、認証は製品ではなく組織（の定めた適用範囲）に与えられる。規格番号の取り違えも頻出で、情報セキュリティはISO/IEC 27001（JIS Q 27001）、品質はISO 9001、環境はISO 14001。
関連用語
出た過去問
出典：平成22年度 秋期 ITパスポート試験 問58（IPA）
情報セキュリティマネジメントシステム（ISMS）のPDCA（計画・実行・点検・処置）において、処置フェーズで実施するものはどれか。
正解：ISMSの維持及び改善
要点：ISMSのActは維持と改善を行うフェーズ
ISMSのPDCAでは、計画（Plan）でISMSを確立し、実行（Do）で導入・運用し、点検（Check）で監視・レビューを行い、処置（Act）でその結果を踏まえて是正・予防を実施し維持と改善につなげる。処置フェーズは改善のサイクルを回す段階にあたる。
出典：平成24年度 春期 ITパスポート試験 問62（IPA）
情報セキュリティマネジメントシステム（ISMS）のPDCA（計画・実行・点検・処置）において、点検フェーズで実施するものはどれか。
正解：ISMSの監視及びレビュー
要点：ISMSの点検フェーズは監視及びレビュー（内部監査など）
ISMSのPDCAでは、Plan＝ISMSの確立、Do＝導入及び運用、Check＝監視及びレビュー、Act＝維持及び改善と対応する。点検フェーズは、決めたとおりに運用できているか、目標に達しているかを内部監査や有効性測定によって確かめる段階である。
出典：平成25年度 秋期 ITパスポート試験 問57（IPA）
ISMSを運用している組織において、退職者が利用していたIDを月末にまとめて削除していたことについて、監査で指摘を受けた。これを是正して退職の都度削除するように…
正解：A
要点：監査指摘を受けた是正はPDCAのA（改善）にあたる
ISMSのPDCAでは、Pで方針と計画を定め、Dで運用し、Cで監査などにより点検し、Aで指摘に基づく是正・改善を行う。今回は監査での指摘を受けて運用手順を改めているので、改善にあたるAに該当する。
出典：平成26年度 秋期 ITパスポート試験 問78（IPA）
ISMSを構築する組織において、企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは、ISMSのPDCAサイクルのどのプロセスで実施されるか。
正解：P
要点：情報セキュリティ基本方針の策定はPlanの段階
ISMSはPDCAサイクルで運用され、Pの段階で適用範囲の決定、基本方針の策定、リスクアセスメントと対応方針の決定などを行う。経営方針を踏まえた情報セキュリティ基本方針の策定は、この計画段階に位置付けられる。
出典：平成26年度 秋期 ITパスポート試験 問83（IPA）
社内のISMS活動の一環として、サーバのセキュリティについて監査を行うことになった。最初に実施することとして、適切なものはどれか。
正解：監査の計画書を作成する。
要点：監査はまず計画書の作成から始める
監査は、目的・範囲・対象・手続・日程・体制をあらかじめ定めた計画に基づいて進める。何をどの基準で確かめるかを決めずに現場の調査を始めると、確認漏れや評価のばらつきが生じるため、まず監査計画書の作成から着手する。
出典・参考
公式シラバスの1 企業と法務 ＞ 8. 標準化関連 ＞ (3) 標準化団体と規格に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。