ISMSとは？

ISMSの意味

情報セキュリティを、方針の策定・リスクアセスメント・管理策の適用・監視・改善というPDCAの枠組みで継続的に運用する仕組み。要求事項をJIS Q 27001（ISO/IEC 27001）が定め、実践のための管理策の手引をJIS Q 27002が示す。

ISMSの具体例

リスクアセスメントの結果と適用宣言書（SoA）で、どの管理策を採用し、除外した場合はその理由を説明できる状態にする。

ISMSは試験でどう引っ掛けられる？

認証を受けること自体が目的ではない。守るべきは機密性・完全性・可用性（さらに真正性、責任追跡性、否認防止、信頼性を含めることがある）。

ISMSと関連する用語

• リスクアセスメント
• JIS Q 27017
• 内部監査

ISMSが出た過去問

• 不適合への対応のうち，JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の“是正処置”の定義はどれか。

  正解：不適合の原因を除去し，再発を防止するための処置

  要点：是正処置は原因を除去して再発を防ぐ処置

  JIS Q 27000における是正処置は、不適合の原因を除去して再発を防止するための処置と定義される。単に不適合そのものを取り除く「修正」とは区別され、原因分析を経て根本原因に手を打つ点が要点である。ISMSではPDCAのA（改善）に位置付けられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクの発見・認識・記述のプロセス

  JIS Q 27000では、リスク特定を「リスクを発見し、認識し、記述するプロセス」と定義し、リスク源・事象・原因・起こり得る結果の特定を含むとしている。なお脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に悪用され得る資産や管理策の弱点であり、両者の定義を取り違えないことが重要である。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…

  正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。

  要点：セキュリティ機能の試験は開発過程の中で実施する

  JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見し認識し記述する最初の工程

  リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述するプロセス

  JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）