ISMSとは
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）とは、企業や組織が自らの情報セキュリティを維持・向上させるための計画的な仕組みのことです。特定のセキュリティ機器を導入するだけでは、社員の操作ミスや管理不足による情報漏洩を防ぎきれません。そのため、情報の「機密性」「完全性」「可用性」をバランスよく保つためのルール（方針）を定め、組織全体でそのルールを維持・改善していく仕組みが必要になります。この一連の管理フレームワークをISMSと呼びます。
具体例
ISMSを導入している会社では、以下のような体制が整備されます。
- ポリシーの策定：「会社のデータは許可なく社外に持ち出してはならない」といった全社共通の基本方針を定めます。
- 組織の役割分担：情報管理を行う責任者（CISO）を配置し、各部署にセキュリティ担当者を置きます。
- 定期的な見直し：年に一度、セキュリティ対策が機能しているかをチェックし、見つかった課題をもとに次の計画を立てます。
もう少し詳しく
ISMSは、組織が保有するすべての情報資産を対象として、技術的対策（ファイアウォールなどの導入）だけでなく、人的対策（社員教育）、組織的対策（ルールの策定や責任体制の明確化）、物理的対策（入退室管理など）を組み合わせた総合的な管理体系です。セキュリティ事故は、どれほど優れたシステムを導入していても、社員の一度のメール誤送信やパスワード使い回しといった「人的要因」から容易に発生します。そのため、ISMSでは経営陣が主導して「情報セキュリティ基本方針」を宣言し、これに基づいて具体的な「対策基準」や「実施手順」を文書化し、全社に浸透させることが基本となります。さらに、運用状況を客観的にチェックするための内部監査を実施し、セキュリティ環境の変化（新たな脅威の出現や業務内容の変更）に合わせ、PDCAサイクルを回しながら継続的にルールや技術的対策を改善し続けるプロセス自体が、ISMSの最も重要な本質と言えます。
試験でのポイント
試験対策としては、ISMSが「技術的対策だけでなく、組織全体で取り組むマネジメント（管理）の仕組みである」という本質を理解することが大切です。また、ISMSの運用は「PDCA（Plan-Do-Check-Act）サイクル」に基づいて継続的に改善されるものであること、経営陣のリーダーシップが不可欠であることなどが頻繁に出題されます。よくある間違いの選択肢として「ISMSの目的は、情報漏洩などのリスクを完全にゼロにすることである」というものがありますが、現実的にリスクをゼロにすることは不可能なため、「リスクを組織の許容できるレベルまで低減し、維持すること」が正しい目的であることを押さえておきましょう。
関連する用語
ISMSに関連する用語には、ISMS認証を取得するための国際規格である「ISO/IEC 27001」、セキュリティ対策を継続改善する手法である「PDCAサイクル運用」、そしてセキュリティ管理全体の最高責任者である「CISO」があります。