ISMS（情報セキュリティマネジメントシステム）

解説

ISMSは、情報の機密性、完全性、可用性を保つために、組織が自らのリスクアセスメントに基づいて必要な対策を決め、運用し、改善していくマネジメントの枠組みです。国際規格ISO/IEC 27001がISMSの要求事項を定めており、組織は第三者機関による認証を取得できます。ISMSは、個別の技術的な対策だけでなく、組織としての管理の仕組み全体を対象にする点に特徴があります。

仕組み

ISMSは、方針の策定、リスクの評価、役割と責任の明確化、教育、内部監査、マネジメントレビュー（経営層による点検）といった運用のサイクルを繰り返して、管理の水準を高めていきます。

日本のISMS適合性評価制度では、情報マネジメントシステム認定センター（ISMS-AC）が認証機関を認定し、認定を受けた認証機関が組織を審査して認証します。2026年9月時点の認証基準は、ISO/IEC 27001:2022と、気候変動への対応を加えた追補ISO/IEC 27001:2022/Amd 1:2024です。国内規格では、JIS Q 27001:2023と、その追補にあたるJIS Q 27001:2025を併せて適用します。なお、旧版（2013年版）から2022年版への移行期限は2025年10月31日で、すでに過ぎています。

実務での使われ方

ISMSの運用下では、応対部門も、アクセス権限の設計や事故発生時の報告手順などの定めに沿って業務を行います。問い合わせ対応の部署は、顧客情報、契約内容、応対履歴といった情報資産を大量に扱うためです。具体的には、アクセス権限の設計、持ち出しの制限、委託先の管理、インシデントが発生したときの報告手順などが文書化され、現場は文書化された手順に従います。

また、BtoBのサービスでは、取引先から自社のセキュリティ体制を問われる場面があります。その際、ISMS認証の有無が説明の材料として使われます。

注意点

ISMSとプライバシーマークは、守る対象の範囲が異なります。ISMSは情報資産全般を対象とする国際規格に基づく認証であり、プライバシーマークは個人情報の取り扱いを対象とする国内の制度です。そのため、両方を取得している事業者もあります。

出典

• ISMS適合性評価制度（情報マネジメントシステム認定センター（ISMS-AC））