変更要約: 初版
2.2ISMSと情報セキュリティポリシ
ISMS（情報セキュリティマネジメントシステム）と国際規格ISO/IEC 27001、運用の基本サイクルPDCA、情報セキュリティ方針・対策基準・実施手順の3階層、認証取得時に作成する適用宣言書（SoA）、そしてISMS認証の意味を学びます。
個々のリスク対応を場当たり的に積み重ねるだけでは、組織全体としてのセキュリティ水準を維持できません。継続的に管理する仕組みとしてISMSを構築し、国際規格ISO/IEC 27001に沿ってPDCAサイクルを回すことで、リスクの変化や事業環境の変化に応じてセキュリティ対策を見直し続ける体制を作ります。方針を頂点とする文書の階層構造を正しく理解することも、SGの実務理解に直結します。
2.2.1ISMSとISO/IEC 27001
- ISMS（Information Security Management System）＝組織が情報資産の機密性・完全性・可用性を維持するために、方針の策定から運用・見直しまでを継続的に管理する仕組み全体を指します。単発の対策導入ではなく、マネジメントシステムとして回し続ける点が特徴です。
- ISO/IEC 27001＝ISMSの要求事項を定めた国際規格。この規格に適合していることを第三者機関が審査し認証するISMS認証（ISO/IEC 27001認証）を取得することで、組織は取引先や利用者に対して客観的な信頼の証を示せます。認証は特定の情報資産・部門・拠点を対象範囲（適用範囲）として限定できるため、認証範囲がどこまでかを確認することが実務上重要です。
2.2.2PDCAサイクル
- PDCA＝Plan（計画）→Do（実行）→Check（点検）→Act（処置・改善）を繰り返す運用サイクル。ISMSではPlanでリスクアセスメントに基づき方針・管理策を計画し、Doで管理策を導入・運用し、Checkで内部監査や監視により運用状況を点検し、Actで発見された問題を是正し次のPlanに反映します。
- PDCAの意義＝情報セキュリティを取り巻く脅威や事業内容は変化し続けるため、一度作った対策を固定的に運用し続けるのではなく、点検結果に基づき継続的に改善することが前提になります。Checkを飛ばしてDoからいきなり次のDoに進んでしまう（点検なき運用）は、ISMSの趣旨に反する典型的な誤りです。
「ISMS＝継続的な管理の仕組み、ISO/IEC 27001＝その要求事項を定めた国際規格」「PDCAはPlan→Do→Check→Actの順で繰り返す」「文書階層は方針（最上位・経営層が承認）→対策基準（分野別ルール）→実施手順（具体的な作業手順）」「適用宣言書（SoA）＝採用した管理策とその理由を明記した文書」が最頻出です。文書階層の上下関係の取り違え（対策基準と実施手順の逆転など）が典型的な誤答パターンです。
2.2.3情報セキュリティ方針・対策基準・実施手順の3階層
- 情報セキュリティ方針（ポリシ）＝組織の情報セキュリティに対する基本姿勢・目的を経営層が承認して示す最上位文書。抽象度が高く、「なぜ情報セキュリティに取り組むか」を宣言する内容で、頻繁には改定されません。
- 対策基準（スタンダード）＝方針を実現するために分野ごとに定める具体的なルール（例：「パスワードは12文字以上とする」「重要データは暗号化して保存する」）。実施手順（プロシージャ）＝対策基準を現場で実行するための具体的な作業手順（例：「パスワード変更画面での操作手順」「暗号化ソフトの設定手順」）。方針が「何を目指すか」、対策基準が「何をすべきか」、実施手順が「どうやるか」という段階的な具体化と理解します。
- 適用宣言書（SoA・Statement of Applicability）＝ISO/IEC 27001の付属書（管理策の一覧）から自組織が採用する管理策とその理由、不採用とした管理策の理由を明記した文書。ISMS認証審査では、リスクアセスメントの結果と適用宣言書の整合性が確認されます。
あるIT企業がISMS認証の取得を目指す過程を例に、文書階層とPDCAのつながりを見てみます。まず経営層が「当社は顧客から預かる情報資産を適切に保護し、事業継続と信頼確保に努める」という情報セキュリティ方針を承認・公表します。この方針を実現するため、情報システム部門は分野ごとに対策基準を整備します。例えば「アクセス管理基準」では「業務上必要な権限のみを付与し、退職・異動時は速やかに権限を削除する」という具体的なルールを定めます。さらに現場の担当者向けに、この基準を実行するための実施手順として「アカウント発行申請フォームの記入方法」「退職者の権限削除を人事異動情報と連動して実施する手順」を作成します。この一連の整備がPDCAのPlanにあたります。次にDoの段階で、実際にこれらの手順に沿ってアカウント管理を運用します。数か月後のCheckの段階で内部監査を実施したところ、「退職者の一部でアカウント削除が数日遅延していた」という不備が発見されました。Actの段階では、この不備の原因（人事異動情報の連携タイミングの遅れ）を分析し、実施手順を「人事システムとの自動連携により即日削除する」よう改定し、次のPlanに反映します。並行して、ISMS認証の審査に向けては、ISO/IEC 27001の管理策一覧のうち「アクセス制御」「暗号化」など自社のリスクアセスメント結果に基づき採用した管理策と、逆に「特定の暗号アルゴリズムの要求事項」のように自社の事業内容には該当せず不採用とした管理策とを整理し、その理由とともに適用宣言書にまとめます。審査員はこの適用宣言書とリスクアセスメントの結果、実際の運用記録（Check・Actの証跡）を突き合わせて整合性を確認し、問題がなければ認証が付与されます。
| 階層 | 内容 | 例 |
|---|---|---|
| 情報セキュリティ方針 | 基本姿勢・目的（最上位・経営層承認） | 「情報資産を適切に保護する」 |
| 対策基準 | 分野ごとの具体的ルール | 「パスワードは12文字以上」 |
| 実施手順 | 現場での具体的作業手順 | 「パスワード変更画面の操作手順」 |
ひっかけ： 「対策基準は現場担当者が使う具体的な操作マニュアルである」は誤りです。現場の具体的な操作手順は実施手順であり、対策基準は分野ごとのルール（実施手順よりは抽象度が高い）です。また「ISMS認証を取得すれば組織内の情報セキュリティインシデントは発生しなくなる」も誤り＝認証は管理の仕組みが規格に適合していることの証明であり、インシデントの発生をゼロに保証するものではありません。さらに「PDCAはCheckで問題がなければActは不要」も誤り＝Actは継続的改善の要であり、問題の有無にかかわらず次のPlanへの反映（維持も含む）を検討する工程です。
2.2.4この節のまとめ
- ISMS＝継続的な管理の仕組み全体、ISO/IEC 27001＝その要求事項を定めた国際規格。PDCA＝Plan→Do→Check→Actを繰り返し継続的に改善
- 文書階層＝方針（最上位・経営層承認）→対策基準（分野別ルール）→実施手順（現場の作業手順）
- 適用宣言書（SoA）＝採用/不採用の管理策とその理由を明記。ISMS認証は管理の仕組みが規格に適合していることの証明でありインシデントゼロの保証ではない
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 情報システム部門が「パスワード変更画面での具体的な操作手順」を文書化した。この文書は情報セキュリティの文書階層のどれに当たるか。
Q2. ISMSを運用する組織が、内部監査でアカウント削除の遅延という不備を発見し、原因を分析した上で実施手順を改定して次の計画に反映した。この一連の活動はPDCAのどの段階に相当するか。
Q3. ISMS認証の審査に向けて、ISO/IEC 27001の管理策一覧のうち自組織が採用する管理策とその理由、不採用とした管理策の理由を整理して文書化したい。作成すべき文書として最も適切なものはどれか。