変更要約: 初版
3.2ISMSと管理策
組織的な情報セキュリティ管理の枠組みであるISMS（情報セキュリティマネジメントシステム）、要求事項を定めるJIS Q 27001と管理策を例示するJIS Q 27002の役割分担、情報セキュリティポリシーの方針・対策基準・実施手順の3階層構造、継続的改善のPDCAサイクル、認証取得時に作成する適用宣言書を学びます。
個々の技術的対策（暗号化やアクセス制御）がいくら優れていても、それを組織全体で一貫して運用する仕組みがなければセキュリティレベルは維持できません。ISMSは、その「組織として継続的にセキュリティを管理・改善する仕組み」を体系化したものです。情報処理安全確保支援士は、規格の条文を暗記するだけでなく、「どの規格が何を定めているか」「ポリシーのどの階層に何を書くべきか」を実務の中で正しく使い分ける必要があります。
3.2.1ISMSとは
- ISMS（Information Security Management System）＝組織が情報資産を守るために、リスクアセスメントに基づいて管理策を選定・実施し、継続的に見直すマネジメントの仕組み全体を指す。個別の技術対策ではなく、それらを組織的に運用するための枠組みである点が特徴。
- ISMS認証を取得する組織は、自組織の状況に応じてリスクアセスメントを行い、必要な管理策を選び、その理由（適用する/しない理由）を文書化した上で第三者機関の審査を受ける。認証取得自体が目的ではなく、継続的な改善サイクルの土台として位置づけられる。
3.2.2JIS Q 27001とJIS Q 27002の役割分担
- JIS Q 27001＝ISMSの要求事項を定める規格（ISO/IEC 27001に対応）。「組織はリスクアセスメントを行わなければならない」「経営層はISMSの有効性をレビューしなければならない」等、認証審査の合否判定基準となるmust（義務）を規定する。
- JIS Q 27002＝管理策の実践のための規範（ISO/IEC 27002に対応）。JIS Q 27001が要求する「管理策を選定せよ」に対し、具体的にどのような管理策の選択肢があるか（アクセス制御・暗号・物理的セキュリティ等）を例示・解説する位置づけで、それ自体は認証要求事項ではない。
- 実務での使い分け＝「認証に合格するために何をしなければならないか」を確認するときはJIS Q 27001を、「実際にどんな管理策を導入すればよいか」を検討するときはJIS Q 27002を参照する。両者は要求事項と実践規範という補完関係にある。
「JIS Q 27001＝要求事項（must）」「JIS Q 27002＝管理策の実践規範（例示）」の違いが最頻出です。「認証審査で不適合を指摘されるのはどちらの規格の不遵守か」と問われたらJIS Q 27001（要求事項の不遵守）が答えになる点に注意しましょう。
3.2.3情報セキュリティポリシーの3階層とPDCA
- 情報セキュリティポリシーは方針・対策基準・実施手順の3階層で構成される。方針（ポリシー）＝経営層が定める最上位の宣言で「なぜセキュリティに取り組むか」「組織としての基本姿勢」を示す抽象度の高い文書。改訂頻度は最も低い。
- 対策基準＝方針を具体化し、「何を・どこまで」守るべきかの基準を定める中間層（例：パスワードは12文字以上、重要データは暗号化必須等）。実施手順＝対策基準をさらに具体化し、「誰が・いつ・どのように」実行するかを定める最下層の手順書（例：パスワード変更の操作手順）。実施手順は業務やシステムの変更に応じて改訂頻度が最も高い。
- PDCAサイクル＝Plan（ISMSの計画・リスクアセスメント）→Do（管理策の導入・運用）→Check（内部監査・マネジメントレビューによる有効性確認）→Act（是正処置・継続的改善）を繰り返す構造。ISMSは一度構築して終わりではなく、このサイクルを回し続けることで実効性を維持する。
ある中堅企業のISMS担当者が、内部監査で「テレワーク時の私物端末からの社内システムアクセスについて、守るべき基準が明文化されていない」という指摘を受けたとします。この担当者がまず判断すべきは、この基準をポリシー階層のどこに書くべきかです。「テレワークを認めるか否か・組織としてどこまでリスクを許容するか」という抽象的な方向性はすでに方針に含まれているはずなので、ここで新たに書き加えるべきは、「私物端末は組織が承認したMDM（モバイルデバイス管理）ソフトウェアを導入したものに限る」「社内システムへのアクセスは多要素認証必須」といった具体的な基準＝対策基準です。さらに、その基準を現場で徹底するには「MDMソフトウェアの導入手順」「多要素認証の設定手順」を定めた実施手順まで整備する必要があります。ここで管理策の選び方についても判断が要ります——JIS Q 27002を参照すると、モバイル機器や在宅勤務に関する管理策の例示があり、そこから自組織のリスクアセスメント結果（私物端末経由の情報漏えいリスクが高いと分析された）に見合った管理策（MDM導入・多要素認証）を選定し、それをJIS Q 27001が要求する適用宣言書に反映します。仮に「導入しない」と判断した管理策があれば、その理由（例：代替の管理策で同等のリスク低減を達成しているため）も適用宣言書に記録する必要があります。この一連の流れ全体がPDCAサイクルのPlan〜Doにあたり、次回の内部監査（Check）で有効性を再確認し、必要なら是正（Act）する、という継続的改善につながります。
| 階層 | 内容 | 改訂頻度 |
|---|---|---|
| 方針 | 経営層が定める基本姿勢（なぜ取り組むか） | 最も低い |
| 対策基準 | 何を・どこまで守るかの基準 | 中程度 |
| 実施手順 | 誰が・いつ・どのように実行するか | 最も高い |
ひっかけ： 「JIS Q 27002は認証審査の合否基準になる」は誤りです——合否基準はJIS Q 27001の要求事項であり、JIS Q 27002はあくまで管理策の実践規範（参考例）です。また「適用宣言書には採用した管理策だけを書けばよい」も誤り＝採用しなかった管理策とその理由も記載が必要です。
3.2.4この節のまとめ
- ISMS＝組織的な情報セキュリティ管理の仕組み。JIS Q 27001＝要求事項（must）、JIS Q 27002＝管理策の実践規範（例示）
- ポリシーは方針（抽象・低頻度）→対策基準（何を・どこまで）→実施手順（誰が・いつ・どう）の3階層
- PDCAサイクル（Plan-Do-Check-Act）を回し続けて有効性を維持し、適用宣言書には採用/非採用の管理策と理由を記録する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ISMS認証審査で「リスクアセスメントの実施記録が存在しない」ことを理由に不適合が指摘された。この不適合はどの規格の不遵守に該当するか。
Q2. テレワークにおける私物端末の利用について、「私物端末は組織承認済みのMDMソフトウェアを導入したものに限る」という基準を新たに定めたい。この基準を情報セキュリティポリシーのどの階層に記載するのが最も適切か。
Q3. ISMSにおけるPDCAサイクルのうち、内部監査やマネジメントレビューによってISMSの有効性を確認する段階はどれか。