ISMS
Information Security Management System
ISMS（情報セキュリティマネジメントシステム）とは
ひとことで
組織が情報セキュリティを守るために、方針を定め、リスクアセスメントに基づいて対策を計画・実施し、点検と見直しを継続的に行う仕組み。PDCAサイクルを回して改善を続ける。要求事項の規格としてJIS Q 27001（ISO/IEC 27001）がある。
たとえると
家族の健康管理を「1回健康診断を受けて終わり」にせず、目標を決め（計画）、運動や食事に気を付け（実行）、定期的に検査し（点検）、生活を見直す（改善）、を毎年続けるようなものです。
現場ではこう使う
取引先から「情報管理の体制を示してほしい」と言われた中小企業が、ISMSの構築に取り組みました。経営者が情報セキュリティ方針を定め、総務部の社員がリスクアセスメントを実施して対策を決め、社員教育や内部監査を行いました。毎年見直しを続けた結果、第三者機関の審査を受けてISMS認証を取得しました。
試験のポイント
EXAM POINT「情報セキュリティのマネジメントシステム」「PDCA」「JIS Q 27001」と出てきたらISMSです。情報セキュリティの3要素である機密性・完全性・可用性を維持することが目的です。情報セキュリティ方針（基本方針）は経営者（トップマネジメント）が定める点、対策は一度で終わりではなく継続的に改善していく点が問われます。
混同しやすい用語との違い
- CSIRTインシデント発生時の対応を行うチーム。ISMSは組織全体のセキュリティ管理の仕組み
- Risk Assessmentリスクを特定・分析・評価するプロセス。ISMSの中で行う活動の一つ
- ITILITサービスマネジメントのベストプラクティス集。セキュリティに限らない