ISMS（ISO/IEC 27001）とは？

01何を定めているか

ISMS（情報セキュリティマネジメントシステム）は、会社が情報を守るためのしくみを、経営の仕事として回すための考え方です。国際規格ISO/IEC 27001と、それを日本の規格にしたJIS Q 27001が要求事項を定めています。JIS Q 27001は2025年版が出ています。

ISMS-AC（情報マネジメントシステム認定センター）は、ISMSを次のように説明しています。個別の問題ごとの技術的な対策のほかに、組織のマネジメントとして、自らのリスクアセスメントで必要なセキュリティの水準を決め、計画を持ち、人や予算を配分して運用するもの、です。

つまり「この機器を入れれば合格」という基準ではありません。自社にとって何が危ないかを自分で評価し、対策を決め、運用し、見直す。その流れが回っているかが問われます。

02認証のしくみ

ISMS-ACのサイトでは、認証を取った組織を検索できます。結果には部門名と登録範囲が出ます。取引先が「ISMSを持っている」と言うときは、自社とやりとりする部門が範囲に入っているかを確かめられます。

関連する認証もあります。クラウドサービスに特有の管理策（ISO/IEC 27017）を加えた「ISMSクラウドセキュリティ認証」は、ISMS認証を取った組織が追加で受けるものです。

03会社がすること

1. 認証を取る範囲（会社全体か、特定の部門か）を決める
2. 守る情報を洗い出し、リスクを評価する
3. 対策と社内のルールを決め、運用する
4. 内部監査と経営層による見直しを行う
5. 認証機関の審査を受ける

手伝ってくれる会社はISMS・Pマーク取得支援から探せます。

04よくある誤解

• Pマークと同じではない。プライバシーマークは個人情報に絞った日本の制度で、法人単位で取ります。
• 取れば攻撃を防げるわけではない。しくみが回っていることの証明で、個々の技術対策の強さを示すものではありません。
• 小さな会社の入口としては重い。まずSECURITY ACTIONの二つ星で基本方針を作るところから始める方法もあります。