ISMSとは ― 情報セキュリティマネジメントシステム

企業のWebサイトで、ISMS認証を取得したという記載を見かけることがあります。ISMSとは、組織が情報セキュリティの管理の水準を高め、維持し、改善していく仕組みです。PDCAサイクルを継続的に回して進めます。

ISMS認証は、その仕組みが規格の要求事項に適合していると、第三者機関が評価したことを示します。ISMSは、暗号化やファイアウォールのような個別の技術ではありません。機密性・完全性・可用性を組織全体で守るための、管理の仕組みそのものを指します。

ISMSはInformation Security Management Systemの略です。日本語では情報セキュリティマネジメントシステムと訳します。

ISMSの要求事項を定めた規格が、JIS Q 27001（ISO/IEC 27001）です。この規格は、適用範囲の決定や経営層のリーダーシップを定めています。計画策定・運用・パフォーマンス評価・改善についても、箇条ごとに定めています。

PDCAサイクルは、計画（Plan）・実行（Do）・評価（Check）・改善（Act）を繰り返す進め方です。規格の計画・運用・パフォーマンス評価・改善の4つは、この4段階に当てはめると流れがつかめます。次の図で、小さな会社を例に、各段階で何をするかを1段ずつ確かめられます。

改善の段で見つかった対応は、次の計画の段に反映します。こうして1周で終わらせずに繰り返すので、ISMSは一度作って終わりの仕組みにはなりません。

計画の段でリスクを特定・分析・評価し、対応を選ぶ手順は、リスクアセスメントとリスク対応の記事にまとめました。決めた方針と対策は、基本方針・対策基準・実施手順の文書に分けて書きます。作り方は情報セキュリティポリシーの記事で説明しています。

ISMSで実施する情報セキュリティ管理策は、4種類に分かれます。組織的管理策・人的管理策・物理的管理策・技術的管理策です。この4分類は、2022年のISO/IEC 27001の改正でできた分け方です。このとき、規格の附属書Aにある管理策が整理されました。日本の規格ではJIS Q 27001:2023から使われ、管理策の数は114から93になりました。

組織的管理策は、規程や手順を定める管理策です。人的管理策は、社員への教育や誓約など、人に向けた管理策です。物理的管理策は、施錠や入退室管理など、場所や設備に向けた管理策です。技術的管理策は、暗号化やアクセス制御のように、技術で実施する管理策です。ファイアウォールのパケットフィルタリングも、技術的管理策の1つです。

次の図は、「退職した人のIDが残り、不正利用される」という1つのリスクを例にしています。4種類の管理策が、それぞれ別の方法で効く様子を示します。

管理策は、働き方によって予防・検知・是正の3タイプにも分けられます。施錠や規程は、問題が起きる前に防ぐ予防に当たります。ログの監視は問題を見つける検知、起きた後の対応は是正です。個人情報保護法は、個人データの安全管理措置を求めています。個人情報保護委員会のガイドラインも、この措置を組織的・人的・物理的・技術的に分けています。

組織が運用するISMSを、第三者機関が評価する制度があります。評価するのは、JIS Q 27001（ISO/IEC 27001）の要求事項に適合しているかどうかです。この制度をISMS適合性評価制度と呼びます。適合した組織に与えられる認証がISMS認証です。

ISMS認証は、組織の管理の仕組みが規格の要求事項に適合していることを示すものです。認証を取得したからといって、情報セキュリティ事故が起きなくなるわけではありません。