ISMS適合性評価制度とは？あいえすえむえすてきごうせいひょうかせいど
ISMS適合性評価制度とは、組織の情報セキュリティマネジメントシステム（ISMS）が国際規格ISO/IEC 27001（JIS Q 27001）の要求事項に適合しているかを、認定を受けた第三者の審査機関が審査して認証する制度である。日本ではISMS-ACが審査機関を認定し、認証は3年ごとの更新審査と年1回程度の維持審査で保たれる。適用範囲の決定、リスクアセスメント、適用宣言書、内部監査、マネジメントレビューが審査対象になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
取引先や委託先のセキュリティ水準を、発注者が毎回自分で確かめるのは負担が大きく、基準もばらつく。第三者が共通の規格で審査した結果を証明として使えれば、契約や入札の要件として横並びに比較できる。日本では2002年に制度が始まり、官公庁の調達や大手企業の委託先選定で「ISMS認証取得」が要件として広く使われるようになった。
具体例
NTTデータやSCSKなど大手SIerは、顧客データを扱う事業部門を適用範囲としてISMS認証を取得し、提案書に認証登録番号を記載する。委託先の選定時には、認証の登録証で「どの拠点・どの業務」が範囲に入っているかを確かめる手順が、支援士の午後問題でも問われる。
試験での引っ掛け
認証は「情報が漏れないことの保証」ではなく、管理の仕組みが規格に適合していることの証明である。適用範囲は組織全体とは限らず、部門や拠点を限って取得できるため、委託先評価では範囲の確認が要る。またISO/IEC 27001が「要求事項」でISO/IEC 27002は「管理策の実践の手引き」であり、認証審査の基準になるのは前者だけである。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。