ISMSとは？

ISMSの意味

情報セキュリティを組織的・継続的に運用管理する仕組み。JIS Q 27001に基づき、方針の策定、リスクアセスメント、管理策の選択、運用、監視と見直しというPDCAを回す。第三者による適合性評価（認証）制度がある。

ISMSの具体例

適用範囲を定めて情報資産を洗い出し、リスク対応方針を決めたうえで、附属書の管理策から必要なものを選んで適用宣言書にまとめる。残留リスクは経営層が承認し、内部監査とマネジメントレビューで見直す。

ISMSは試験でどう引っ掛けられる？

認証取得が目的化しやすいが、本質は継続的改善の運用にある。すべての管理策を採用する必要はなく、リスクに応じて選択・除外し、その理由を記録することが求められる点が問われる。

ISMSと関連する用語

• リスクアセスメント
• 情報セキュリティの7要素
• システム監査

ISMSが出た過去問

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

  正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

  要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す

  サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問14（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）において定義されている情報セキュリティの特性に関する説明のうち、否認防止の特性に関…

  正解：ある利用者があるシステムを利用したという事実が証明可能である。

  要点：否認防止は行為の事実を後から証明できる性質

  否認防止（non-repudiation）は、ある事象や行為が確かに行われたことを後から否定できないよう、その事実を証明できる性質である。利用者がシステムを利用した事実をログやデジタル署名で立証できることがこれにあたる。

  出典：令和3年度 秋期 高度共通_午前I試験 am1 問13（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…

  正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。

  要点：リスク受容基準はアセスメントより先に定めておく

  リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問21（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜dの組みのうち、適切なものはどれか。 〔定…

  正解：真正性：b　信頼性：a

  要点：真正性は主張どおり、信頼性は行動と結果の一貫性

  JIS Q 27000では、真正性は「エンティティは、それが主張するとおりのものであるという特性」、信頼性は「意図する行動と結果とが一貫しているという特性」と定義されている。したがって真正性がb、信頼性がaの組合せが正しい。

  出典：令和7年度 秋期 高度共通_午前I試験 am1 問14（IPA）