情報セキュリティマネジメントシステム（じょうほうセキュリティマネジメントシステム、ISMS: Information Security Management System）は、組織における情報資産のセキュリティを管理するための枠組み。情報セキュリティマネジメントとは、ISMSを策定し、実施すること。
ISMSの目標は、リスクマネジメントプロセスを適用することによって、情報の機密性、完全性及び可用性を維持し、かつ、リスクを適切に管理しているという信頼を利害関係者に与えることにある。
ISOにおける位置づけ.
全般に関わる用語.
本節ではISMS全般を理解する上で必要となる用語を解説する。
リスク.
リスクとは、「目的に対する不確かさの影響」を指し、情報セキュリティリスクは、「脅威が情報資産のぜい弱性又は情報資産グループのぜい弱性に付け込み、その結果、組織に損害を与える可能性に伴って生じる。なお、ISMS の文脈においては、情報セキュリティリスクは、「情報セキュリティの目的に対する不確かさの影響」と表現することがある。
なお、情報資産は、ISOの原文では「資産」(asset)だが、誤解を招かぬようJISでは「情報資産」としている
リスクを起こす潜在的要因をリスク源といい、その典型例として脅威と脆弱性がある。
として算出する方法を例示している。
経済的な理由などにより、既知のリスクをすべて取り除くことが現実的でないこともあるので、ISMSでは組織が受容可能なリスクの水準を定め、リスク保有する事を許容している。
情報セキュリティインシデント.
情報セキュリティ事象（information security event）とは、情報セキュリティ方針への違反若しくは管理策の不具合の可能性，又はセキュリティに関係し得る未知の状況を示す，システム，サービス又はネットワークの状態に関連する事象のことである。
実施事項、組織体制、方針.
実施事項.
ISMSを行う組織には以下が求められる：
これらを行うため、ISMSではプロセスアプローチという手法が取られる。プロセスアプローチでは経営活動をインプットをアウトプットに変換するプロセスとみなし、これらのプロセスをシステムとして組織に適応・管理する。
組織体制.