ISMSとは？ISO/IEC 27001認証の基礎を解説

用語解説
2026.07.23

ISMS（情報セキュリティマネジメントシステム）とは、組織が情報セキュリティのリスクを自ら評価し、対策を計画・運用・改善していく「仕組み」そのものを指す考え方です。その要求事項を定めた国際規格がISO/IEC 27001（日本語版はJIS Q 27001）で、第三者機関による認証の基準にもなっています。個々のツールや対策単体ではなく、組織全体で継続的に情報を守る「型」を作ることが本質です。

この記事でわかること：

  • ISMSとISO/IEC 27001の関係、なぜ「仕組み」なのか
  • 規格の中心にあるPDCAとリスクアセスメントの考え方
  • 附属書A（93の管理策・4テーマ）の概要と2022年版への移行
  • 認証を取る・維持する際に情シスが押さえるべき実務ポイント

ISMSとISO/IEC 27001の関係

用語が混同されやすいので最初に整理します。ISMSは前述のとおり「情報を守るためのマネジメントの仕組み」という概念です。その仕組みが満たすべき条件を文書化した国際規格がISO/IEC 27001で、日本ではこれを翻訳・技術的に一致させたJIS Q 27001が使われます。そして、その規格に適合していることを審査・証明するのがISMS適合性評価制度（ISMS認証）です。

日本の認証制度は、認定機関であるISMS-AC（情報マネジメントシステム認定センター）が認証機関を認定し、認定された認証機関が各企業を審査する二段構えで運用されています。「ISO/IEC 27001を取った」という表現は、正確には「ISMSを構築し、認証機関の審査に合格して認証を受けた」という意味です。

なぜ重要か──ツールではなく「仕組み」で守る

脅威は次々と変わり、ファイアウォールやEDRを入れただけでは守り切れません。ISMSが重視するのは、自組織にとってのリスクを洗い出し、優先度をつけ、対策を回し続けるという運用の型です。属人的な「担当者の頑張り」に依存せず、方針・手順・記録として組織に定着させることで、担当者が替わっても一定の水準を保てるようにするのが狙いです。

取引先の選定条件や入札の要件でISMS認証が求められる場面も増えており、対外的な信頼の証としての役割も大きくなっています。

仕組みの中心：PDCAとリスクアセスメント

ISO/IEC 27001は、マネジメントシステム共通の枠組みに沿って構成されており、PDCA（Plan-Do-Check-Act）で継続的に改善することを求めます。

  • Plan（計画）：適用範囲を決め、情報資産のリスクを評価（リスクアセスメント）し、対応方針を決める。
  • Do（運用）：決めた管理策を実際に導入・運用する。
  • Check（点検）：内部監査やマネジメントレビューで有効性を確認する。
  • Act（改善）：不備を是正し、次のサイクルに反映する。

この中でも土台になるのがリスクアセスメントです。守るべき情報資産に対し、機密性・完全性・可用性（CIA）の観点でリスクを見積もり、「受容する／低減する／回避する／移転する」を判断します。ここが自組織の実態に合っていないと、いくら立派な文書を作っても形骸化します。関連する実務は脆弱性管理とは？プロセスと情シスの進め方も参考になります。

附属書A：93の管理策と4テーマ

規格の巻末にある附属書Aには、リスク低減のために検討すべき管理策（コントロール）の一覧が示されています。2022年版（ISO/IEC 27001:2022 ／ JIS Q 27001:2023）では、管理策は93個に整理され、次の4つのテーマに分類されました。

テーマ 管理策の数 例
組織的管理策（A.5） 37 情報セキュリティ方針、供給者管理、脅威インテリジェンス
人的管理策（A.6） 8 雇用条件、教育・訓練、懲戒手続
物理的管理策（A.7） 14 入退管理、装置のセキュリティ、クリアデスク
技術的管理策（A.8） 34 アクセス制御、暗号、ログ、Webフィルタリング

旧2013年版（114管理策・14分類）から再編され、脅威インテリジェンスやクラウドサービス利用など、新しい管理策も加わりました。重要なのは、93個すべてを機械的に導入するのではなく、リスクアセスメントの結果に基づき「適用宣言書（SoA）」で採否と理由を明示する点です。

移行期限はすでに終了、これから取るなら当然2022年版

旧2013年版からの移行期限は2025年10月31日で、すでに終了しています。現在有効なISMS認証はすべて2022年版が前提であり、これから取得を目指す組織も2022年版に沿って構築することになります。

2024年の追補（気候変動）にも注意

2024年2月に発行された追補（Amd 1:2024）により、規格本文の箇条4.1・4.2に「気候変動が自組織のISMSに関係する課題かどうかを判断する」旨が加わりました。新しい附属書A管理策が増えたわけではありませんが、たとえば「異常気象によるデータセンターの停止」などが情報の可用性に関わると判断される場合、リスクとして考慮・記録することが求められます。

情シスの実務での扱い：取得・運用のポイント

実務者の率直な感覚として、ISMSは「取ること」より「回し続けること」のほうがはるかに大変です。認証取得時は勢いで文書を整えられても、日々の業務に追われる中で内部監査・記録・是正を毎年きちんと回すのは、限られた人員では相当な負担になります。認証マークだけが目的化し、現場の運用と乖離した「棚の中のISMS」になってしまうのが最大の落とし穴です。

  • 適用範囲は欲張らない：最初から全社・全拠点を対象にすると運用が破綻しがち。まず主要部門から始め、段階的に広げる選択肢もあります。
  • 文書は現場が守れる粒度に：理想を詰め込んだ手順書は守られません。実際の運用に合わせて書き、乖離したら手順のほうを見直します。
  • 記録を残す文化づくり：教育の実施記録、アクセス権のレビュー記録などは、審査で必ず問われます。日常業務の中に記録を組み込む工夫が要ります。
  • 経営層の関与を可視化：ISMSはトップマネジメントのコミットメントを前提とします。マネジメントレビューを形だけにしないことが、実効性を左右します。

体制面では、インシデント対応を担うCSIRTや監視を担う組織の整備、技術面ではゼロトラストの考え方など、個々の対策がISMSという枠組みの中でどう位置づくかを意識すると、管理策の取捨選択がしやすくなります。まず何から手をつけるか迷う場合は、IPA「中小企業の情報セキュリティ対策ガイドライン」のような公的指針から自組織の現状を点検するのが現実的です。

まとめ

  • ISMSは「仕組み」。ツール導入ではなく、リスクを評価し対策を回し続ける組織の型を指し、その要求事項がISO/IEC 27001（JIS Q 27001）です。
  • 中心はPDCAとリスクアセスメント。附属書Aの93管理策は、リスク評価の結果に基づき適用宣言書で採否を決めます。
  • 2022年版が前提。旧版の移行期限（2025年10月末）は終了済み。2024年追補で気候変動の考慮も加わりました。取ること以上に「回し続けること」が実務の勝負どころです。

出典

タイトルとURLをコピーしました