ISMS適合性評価制度とは？

ISMS適合性評価制度の意味

組織の情報セキュリティマネジメントシステムが国際規格（ISO/IEC 27001）の要求事項に適合しているかを、第三者の認証機関が審査して認証する制度。方針の策定からリスクアセスメント、管理策の適用、監視・見直しまでを継続的に回すことを求める。

ISMS適合性評価制度の具体例

認証取得のため適用範囲を「クラウド開発部門」と定め、資産目録とリスク評価をもとに適用宣言書で採用・除外した管理策とその理由を示す。取得後も内部監査とマネジメントレビューを毎年行い、定期審査で維持を確認される。

ISMS適合性評価制度は試験でどう引っ掛けられる？

認証は「情報が漏れないことの保証」ではなく、管理の仕組みが規格に適合していることの証明。また認証範囲は組織全体とは限らず、部門や拠点を限って取得できるため、取引先評価では範囲の確認が要る点が問われる。

ISMS適合性評価制度と関連する用語

• リスクアセスメント
• プライバシーマーク（JIS Q 15001）
• 情報セキュリティの7要素

ISMS適合性評価制度が出た過去問

• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附…

  正解：ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。

  要点：セキュリティ機能の試験は開発過程の中で実施する

  JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）