用語集・組織のルールと規格
ISMS
Information Security Management System
ISMS（Information Security Management System）は、リスクを評価して必要な対策を決め、運用と見直しを続ける、組織の情報セキュリティ管理の仕組みである。
別の呼び方 情報セキュリティマネジメントシステム
要点
- 意味 ISMS（Information Security Management System）は、リスクを評価して必要な対策を決め、運用と見直しを続ける、組織の情報セキュリティ管理の仕組みです。
- 中小企業にとって 個別の機器を入れるだけでは、委託先の管理や資産の把握など組織の運用の穴が残り、そこから事故が起きる。
- このサイトでは 攻撃手法 1 種、事例 3 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
個別の機器を入れるだけでは、委託先の管理や資産の把握など組織の運用の穴が残り、そこから事故が起きる。
取引先から認証の有無を問われることがあり、日本ではISMS-ACが認定した認証機関の審査を受けて第三者認証を取得できる。
認証を取らなくても、守る情報と資産の一覧を作り、リスクの高い順に対策を決めて年に一度見直すというISMSの考え方は小さな組織でも使える。
よくある誤解
- 誤解ISMSはセキュリティ製品を導入すれば満たせる
- 実際ISMS-ACは、ISMSを個別の技術対策だけでなく、リスク評価に基づいて必要な水準を決め、計画を立てて資源を配分し運用する仕組みと説明している。製品の導入は対策の一部にすぎない。
- 誤解ISMSの規格は一度決まったら変わらない
- 実際ISMS-ACによると、ISO/IEC 27001の2024年の追補1に対応する改正が2025年5月20日に公示され、JIS Q 27001は2023年版から2025年版になった。規格は国際規格の改正に合わせて見直されている。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法委託先経由の侵入
記録は委託先が正規の接続経路や高い権限を持ち監視が手薄になりやすいと示しており、ISMSで委託先の管理を仕組みにする理由に当たる。
- 事例イセトー
記録は受託データを取り扱ってはならないサーバに保管し、削除すべきデータも残していたとし、「保管期限を決めた業務後のデータ削除と監査」を対策に挙げている。
- 事例大阪急性期・総合医療センター
記録は外部接続の保守と脆弱性管理の責任分界が曖昧だったとし、台帳管理と役割分担の文書化を対策に挙げている。
- 事例アサヒ
記録にある「ネットワーク機器を含むIT資産の管理」は、ISMSの資産把握に当たる対策である。
出典
- 情報セキュリティマネジメントシステム(ISMS)適合性評価制度の概要 ISMS-AC
- JIS Q 27001：2025（ISO/IEC 27001：2022+Amd 1：2024)発行のお知らせ ISMS-AC・2025-05-20
- ISMS適合性評価制度 ISMS-AC
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）