ISMSとは
ISMS（Information Security Management System）とは、組織が保有する情報資産の安全性を保つために、セキュリティ対策のルールを定め、それを計画・実行・評価・改善していくための一連の管理体制（仕組み）のことです。日本語では「情報セキュリティマネジメントシステム」と呼ばれます。
セキュリティを保つには、単にウイルス対策ソフトを入れるような技術的対策だけでなく、「誰がデータにアクセスしてよいか」「書類を捨てる時はどうするか」といった組織全体でのルール作りと運用が不可欠です。ISMSでは、情報の「機密性（漏洩させない）」「完全性（改ざんされない）」「可用性（必要なときに使える）」の3つのバランスを取りながら、PDCAサイクル（Plan：計画、Do：実行、Check：点検、Act：改善）を回すことで、セキュリティ水準を継続的に高めていきます。
具体例
あるIT企業が顧客の個人情報を守るためにISMSを導入し、PDCAサイクルを回す流れの例です。
- Plan（計画）：個人情報を取り扱う部屋の入退室ルールと、データ暗号化の運用基準をマニュアルとして策定する。
- Do（実行）：マニュアルに基づき、セキュリティゲートを設置し、社員へのセキュリティ研修を実施する。
- Check（点検）：半年に一度、マニュアル通りに運用されているか内部監査を行い、ルールの不備（鍵の閉め忘れなど）がないか確認する。
- Act（改善）：監査で見つかった「パスワード更新の怠り」などの課題に対し、システムのパスワード自動強制変更機能を導入して対策を強化する。
もう少し詳しく
ISMS（情報セキュリティマネジメントシステム）の国際規格は「ISO/IEC 27001」であり、これに基づいて日本国内の適合性評価制度として「JIS Q 27001」が制定されています。
ISMSの目的は、情報セキュリティの3大要素である「CIA」をバランスよく維持・管理することです。
- 機密性（Confidentiality）: 許可された人だけが情報にアクセスできる状態（アクセス制御、暗号化など）。
- 完全性（Integrity）: 情報が改ざんされたり、破壊されたりせず、正確で最新の状態に保たれている状態（ハッシュ値による整合性確認、バックアップなど）。
- 可用性（Availability）: 許可された人が、必要なときにいつでも情報を利用できる状態（システムの冗長化、災害対策など）。
ISMSの運用では、まず組織内の情報資産を洗い出し、それぞれの資産に対するリスク評価（リスクアセスメント）を行います。その後、リスクに応じた「管理策（技術的、物理的、組織的、人的な対策）」を策定・実施し、定期的な内部監査やマネジメントレビューを通じて、PDCAサイクル（計画・実行・評価・改善）を回すことで、セキュリティ体制を永続的に向上させていきます。
試験でのポイント
試験では、情報セキュリティの3大要素（機密性・完全性・可用性）の定義と、それぞれに該当する具体的な対策が問われます（例：「データの暗号化は機密性の確保」「RAIDによるディスクの冗長化は可用性の確保」など）。
また、ISMSを運用する手順（PDCAサイクル）における各プロセスの活動内容（例：Plan段階でのリスクアセスメントと基本方針の策定、Check段階での内部監査、Act段階での是正処置）や、ISMSの適合性評価制度（第三者機関による認証）についてもよく出題されます。
関連する用語
関連する用語には、ISMSの国際規格である「ISO/IEC 27001」、セキュリティの脅威を洗い出して評価する「リスクアセスメント」、および企業のセキュリティ基本方針を示す「情報セキュリティポリシー」があります。