ISMSとは？あいえすえむえす
ISMSとは、情報セキュリティを個別の対策の寄せ集めではなく、経営が承認した方針のもとで計画・運用・点検・改善を回し続ける管理の仕組み。適用範囲を定め、リスクアセスメントの結果を経営が受容し、適用宣言書で管理策の採否と理由を示すところまでが型になる。要求事項はJIS Q 27001、管理策の実践手引はJIS Q 27002が持つ。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策を担当者の判断で足していくと、人が代わり事業が増えるたびに抜けが生まれ、なぜその対策で足りるのかを社外へ説明できない。取引先や官公庁の調達が安全性の証明を求めるようになり、対策そのものより「決め方と見直し方」を仕組みとして持つことが問われるようになった。支援士試験でも、施策の巧拙ではなく、それが計画・運用・評価・改善のどの段階の活動かを識別させる設問が多い。
具体例
国内ではJIPDECのISMS適合性評価制度が認証を運用し、クラウドサービスを扱う組織はJIS Q 27017の管理策を上乗せした認証を取ることが多い。委託先の審査では、認証書の有無だけで済ませず適用範囲の記載を読み、対象の事業所とサービスに自社が委託する業務が含まれているかまで確かめる。
試験での引っ掛け
認証の取得が目的化しやすいが、審査で見るのは仕組みが回っているかであって、事故が起きない保証ではない。適用範囲は組織全体とは限らず、一部門だけの認証もありうる。JIS Q 27001が認証の要求事項、JIS Q 27002は手引で認証の基準ではない、という役割の入れ替えも定番。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発過程の中で実施する
JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。