ISMS（ISO/IEC 27001）

よみがな: あいえすえむえす / あいそにまんななせんいち

英語名称・略称: Information Security Management System (ISO/IEC 27001)

1行要約（本質）

情報の機密性・完全性・可用性（情報セキュリティの3要素）をバランスよく維持・改善するための国際規格マネジメントシステム。

3つの重要ポイント

Plan（計画）➔ Do（導入運用）➔ Check（監視見直し）➔ Act（維持改善）のPDCAサイクルを回す。

単なるファイアウォール等の技術的対策だけでなく、組織的規程、物理的安全、人的教育を包括する。

午前II試験において、情報資産の特定、リスク受容水準、内部監査の実施が頻出する。

構造・プロセスの図解

図情報セキュリティの3大要素（CIA）

ISMSが保護すべき3つの基本特性

1. 機密性 (Confidentiality)

見せてはならない人に見せない

アクセス権限のある者だけが情報にアクセスできることを確実にすること。暗号化・認証。

2. 完全性 (Integrity)

正確・最新のまま改ざんさせない

情報および処理方法が正確であり、欠落や不正改ざんがないことを保護すること。ハッシュ・ログ。

3. 可用性 (Availability)

使いたい時にいつでも使える

認可された利用者が、必要な時に中断なく情報や関連資産にアクセスできること。二重化・バックアップ。

概要・背景・本質

ISMS（情報セキュリティマネジメントシステム）は、企業が保有するすべての情報資産（顧客データ、ソースコード、財務情報、従業員カルテ等）を漏えい、改ざん、滅失から守るための組織的枠組みです。ISO/IEC 27001認証を取得・維持することで、取引先に対する高い情報セキュリティ信頼性を対外証明できます。

コア概念と着眼点

3大要素（CIA）：機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）
真正性・責任追跡性・否認防止・信頼性：CIAを補完する追加の4要素
リスクアセスメントの実施：資産特定 ➔ 脅威・脆弱性の特定 ➔ リスク値の算定 ➔ 対策基準（SOA）の策定
内部監査とマネジメントレビュー：経営陣がセキュリティの運用状況を定期的に点検し改善指示を出す

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「情報セキュリティの3大要素（CIA）の定義」「リスクアセスメントの手順」「適用宣言書（SOA）の役割」が出題される。午後I記述では、ISMSのPDCAサイクルに則った運用改善手順（是正処置）が問われる。