GD01_ISMSとは – ISMS恒進ラボ

•ISMSとは「情報セキュリティを管理する仕組み」のことです。

まずは「ISMSとはなんなのか」を簡潔にお伝えいたします。

ISMSは、Information Security Management Systemの略です。

「情報セキュリティを管理する仕組み」です。この世の中で情報を使っていない組織はないでしょう。

そして多くの組織が、情報セキュリティが破綻すると、損害が出ます。ですから、それぞれの組織で自組織の情報セキュリティを守るための管理の仕組みを持っていることでしょう。

「あそこの飲料会社では、世界に工場を持っているが、レシピの全容を知っているのは社長と工場長だけらしい」
というような噂を聞いた人もいるでしょう。情報セキュリティの守り方にはそれぞれの組織の置かれた状況によって、また経営者の考え方によってさまざまな形があります。
では、あなたの会社に取引を希望する会社の人が来て「わが社にはISMS＝『情報セキュリティを守るしくみ』があります。だから安心して取引してください」と言われて安心できますか？

信頼できるISMS

では、どんなISMSだったら信頼できるのでしょう？

単に「情報セキュリティを守る仕組みがある」というだけでは、どんなことをやっているのか分かりません。

どんな考え方で管理しているのか？運用の中でその考え方がちゃんと徹底されているのか？その管理状況の適切性を誰かが確認してくれているのか？など気になることがいろいろありますよね。

では、どんなISMSだったら信頼できるのでしょうか？いろいろな観点があるかと思いますが、私が考える主なポイントは以下のようなものです。

•適切な考え方で構築されていて
•適切に運用されていること
•信頼できる人がそれを確認していること

ISO/IEC 27001認証(certification)
・国際標準に沿って構築されていて
・組織運用の仕組み、内部監査の仕組みがあり
・第三者認証機関の認証がある

それに対する一つの答えとして、ISO/IEC 27001という国際標準とその認証の仕組みがあります。

世界の情報セキュリティ専門家が知恵を出し合って作った国際標準が発行されています。
その中には、組織自身が適切に運用していることを確認する仕組みが書かれています。
さらに、組織の外の第三者が適切に情報セキュリティを守っていることを審査して確認し認証を与える仕組みもあります。

これが、信頼できるISMSの基本と言えるでしょう。

ISO/IEC 27001とは

•ISOとIECが共同で定めた「情報セキュリティを管理する仕組みの構築方法」の国際標準

•組織として「情報セキュリティリスクにどう取り組むべきか」を示している。
•組織が情報セキュリティ体制を整備する際に参考にできる。
•構築したISMSは評価してもらえる

※国内ではJIS Q 27001としてJIS化されている。JIS Q 27001は、ISO/IEC 27001と同等の内容であることが認められている。

※当サイトでは規格名は基本ISO/IEC 27001:2022をISO/IEC 27001と略記することがあります。一方、内容の引用は日本語で行うためにJIS Q 27001:2023から行います（厳密にはJIS Q 27001:2025だが、追補を合わせたものの呼称であり、発行されている文書としてはJIS Q 27001:2023である）。年のずれについてはトピック解説参照。

•認証機関が審査を行い、審査に合格した組織を認証する（国際認証とのつながりはGlobal ACIの項で紹介）。