ISMSとは？（ITパスポート・テクノロジ系）

最近、「セキュリティ強化のためにISMSを取得しました！」って言ってる企業、多くない？
でも「ISMS」って… 名前からしてちょっと難しそうだよね。

今回は、「ISMS」ってなに？ってところから、
情報セキュリティを守るための考え方や、PDCAサイクルとの関係まで、わかりやすく解説するよ〜！

ISMSとは？

ISMS（Information Security Management System）は、
情報セキュリティマネジメントシステムの略で、
かんたんに言うと「会社全体で情報を安全に守るためのしくみ」のこと！

「セキュリティ対策」って、ただのウイルス対策ソフトだけじゃなくて、
社員の教育、ルールづくり、監査など、いろんなことをバランスよく進めないといけないの。

その全体のマネジメントを仕組み化するのが「ISMS」なんだよっ！

情報セキュリティの7要素とは？

ISMSでは、ただ「機密性」だけを守るんじゃなくて、以下の7つの要素を大切にしてるの。

要素	内容
機密性	関係ない人には見せないようにする
完全性	情報が改ざんされていない状態を保つ
可用性	必要なときにすぐ使えるようにする
真正性	相手やデータが本物か確認できるようにする
責任追跡性	誰が何をしたかが記録されていること
否認防止	「やってないよ」って言い逃れできないように
信頼性	情報がいつも安定してること

PDCAサイクルとISMSの関係

ISMSは「やって終わり」じゃないの。
PDCAサイクル（Plan→Do→Check→Act）を回して、継続的に改善することが大事！

たとえばね、

• Plan：どんな情報をどう守るか、ポリシーやルールを決める段階
• Do：決めたルールをもとに、実際に教育したりシステムを動かしたり
• Check：本当に守れてる？ログを見たり、監査したりして確認！
• Act：問題があったら、ルールを修正してもっと良くしていくよ！

つまり、「会社のセキュリティ、守れてるかな〜？」って常に見直すことが、ISMSではとっても重要！

メリットとデメリット

メリット

• セキュリティ体制が会社全体で整う
• 顧客や取引先からの信頼度がUP
• 社内のルールが明確になってミスが減る

デメリット

• 取得や運用に手間やコストがかかる
• 定期的な見直しが必要（PDCA回しつづける）

ISMSに関するITパスポート試験の過去問！

ISMSの「確立・実施・維持および継続的改善」において、最初に行うべき項目として、適切なものはどれか。

ア：情報セキュリティリスクアセスメント
イ：情報セキュリティリスク対応
ウ：内部監査
エ：利害関係者のニーズと期待の理解

正解は『エ』

→ 運用開始前に、まず利害関係者（顧客・従業員・取引先など）が何を求めているかを理解することが、ISMS構築の最初のステップだよ～！

他の選択肢

• アのリスクアセスメントは、何がリスクかを洗い出す作業。でもその前に「誰のために」守るのかを明確にしないとね。

• イのリスク対応は、リスクに対して「どう対処するか」を決める段階。リスクを特定した後にやることだよ。

• ウの内部監査は、ISMSを運用してからちゃんと機能してるかチェックするプロセス。いわば“見直し”のタイミング！

ITパスポート試験をスマホで手軽に勉強！

「えろ勉」も戦略的に開発＆運営してるよ～！この記事が勉強になったり、ためになったよ〜って思ったら、なにかアクションをお願い！！「えろの力で勉強するゲーム：えろ勉」