ISMSとは？あいえすえむえす
ISMSとは、組織が情報セキュリティを継続的に維持・改善していくための管理の仕組み全体を指し、日本語では情報セキュリティマネジメントシステムという。方針の策定、適用範囲の決定、リスクアセスメントとリスク対応、教育、内部監査、マネジメントレビュー、継続的改善といった活動をPDCAで回す。技術的対策はその中に含まれる一部であって、ISMSそのものではない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策を個別に導入していくやり方では、何を守るのか、どこまでやれば十分なのかが決まらず、担当者が代わると判断もぶれる。守るべき資産を決め、リスクを測り、方針として意思決定し、実施状況を確認して見直す、という一巡の型を組織に持たせるために整えられたのがISMSである。JIS Q 27001が要求事項を定め、第三者が同じ物差しで審査できるようにしたことで、取引先への説明手段としても機能するようになった。
具体例
ISMSを構築する企業は、まず情報セキュリティ方針を経営として定め、適用範囲内の情報資産を洗い出してリスクアセスメントを行い、必要な管理策を選んで適用宣言書にまとめる。運用開始後は内部監査とマネジメントレビューで有効性を確認し、不適合には是正処置を取るという流れを毎年繰り返す。
試験での引っ掛け
「ISMSを構築する＝認証を取得する」ではない。認証はISMS適合性評価制度に基づいて第三者が評価する別の話で、認証を取らずにISMSを運用することもできる。またISMSは技術的対策の集合ではなく、方針・体制・教育・監査を含む管理の仕組み全体を指す点も取り違えやすい。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントより先に定める
JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…
正解：監査プログラムは前回までの監査結果を考慮しなければならない。
要点：内部監査計画は前回の監査結果を踏まえて立てる
JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、ISMSに関するリーダーシップ及びコミットメントをトップマネジメント…
正解：ISMSの有効性に寄与するよう人々を指揮し、支援する。
要点：トップは方針を定め人々を指揮し、ISMSを本業に統合する
JIS Q 27001の箇条5.1は、トップマネジメントがISMSに対するリーダーシップとコミットメントを実証する方法を列挙しており、その一つに「ISMSの有効性に寄与するよう人々を指揮し、支援する」ことが挙げられている。トップマネジメント自身が方針を確立し、資源を用意し、人々を方向づける役割を担う点が要点である。逆に、ISMSを他の業務プロセスへ統合することも同じ箇条で求められている。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、…
正解：情報セキュリティ方針
要点：全員が認識すべきは方針・自らの貢献・不適合の意味
JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。