ISMS適合性評価制度とは？

ISMS適合性評価制度の意味

組織が構築したISMSがJIS Q 27001の要求事項に適合しているかを、第三者の認証機関が審査し認証する制度。認証を取得することで、取引先や顧客に情報セキュリティ管理体制の信頼性を示せる。

ISMS適合性評価制度の具体例

ある企業が官公庁や大企業との取引条件としてISMS認証の取得を求められ、審査機関の審査を受けて認証を取得し、以後は定期的な維持審査を受け続ける。

ISMS適合性評価制度は試験でどう引っ掛けられる？

認証されるのは組織のISMS（仕組み）であって、製品やサービスそのものの安全性ではない。プライバシーマークとも取り違えやすく、Pマークの対象は個人情報の取扱い、ISMS認証の対象は情報資産全般という違いがある。

ISMS適合性評価制度と関連する用語

• JIS Q 27001
• ISMS

ISMS適合性評価制度が出た過去問

• ISMS適合性評価制度に関する次の記述中のa, bに入れる字句の適切な組合せはどれか。 企業などの組織において、[ a ]マネジメントシステムが適切に構築、運用…

  正解：a=情報セキュリティ, b=特定の第三者機関

  要点：ISMS適合性評価は第三者機関が情報セキュリティMSを認証

  ISMS適合性評価制度は、組織の情報セキュリティマネジメントシステムが認証基準の要求事項に適合して構築・運用されているかを、組織から独立した第三者の認証機関が審査し認証する制度である。第三者による客観的な審査だからこそ対外的な信頼につながる。個人情報の保護を対象とするのはプライバシーマーク制度であり、組織内部の監査部署による確認では第三者性が保てない。

  出典：平成28年度 春期 ITパスポート試験 問91（IPA）

• ISMS適合性評価制度において、組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成してい…

  正解：b

  要点：ISMS認証は仕組みの認証であり、無脆弱性の保証ではない

  ISMS認証は、組織が情報資産を適切に管理し、リスクに応じた管理策を定めて運用する仕組み（マネジメントシステム）を備えていることを第三者が認証する制度である。個々のシステムに脆弱性がないことや、製品の機能が適切に実装されていることを保証する制度ではない。

  出典：平成29年度 秋期 ITパスポート試験 問80（IPA）