情報セキュリティマネジメントシステム
ISMSを行う組織には以下が求められる:
ISMSに関する方針を定め、要求事項を満たすことや継続的改善へのコミットメントを実証する。
リスクマネジメントなどISMSに関する計画を策定する。
必要な資源や力量を確保する。
策定した計画を運用する。
ISMSの実施に関するパフォーマンスと有効性を評価する。
不適合が発生した場合に是正措置を行い、ISMSを継続的に改善する。
これらを行うため、ISMSではプロセスアプローチという手法が取られる。プロセスアプローチでは経営活動をインプットをアウトプットに変換するプロセスとみなし、これらのプロセスをシステムとして組織に適応・管理する。
一方、2005年度版のISO/ETCでは強調されていたPDCAサイクルは2016年時点での最新版である2013年度版では大きく後退しており、ISMSの規格本体であるISO/IEC 27001:2013(JIS Q 27001:2014)にはPDCAに関する記述はない。ISO MSSの共通基盤を与える附属書 SLでも、既存のマネジメントシステム規格で様々なモデルが採用されているという理由でPDCAサイクルなど1つのモデルを採用する事を避けている。
ただし附属書 SL ではPDCA サイクルの概念を受け入れており、JIPDECもPDCAサイクルを採用する事でISMSのプロセスが整理されるとしている。
情報セキュリティ事象(information security event)とは、情報セキュリティ方針への違反若しくは管理策の不具合の可能性,又はセキュリティに関係し得る未知の状況を示す,システム,サービス又はネットワークの状態に関連する事象のことである。
情報セキュリティインシデント(information security incident)は、望まない単独若しくは一連の情報セキュリティ事象,又は予期しない単独若しくは一連の情報セキュリティ事象であって,事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの。
情報セキュリティインシデント管理(information security incident management)情報セキュリティインシデントを検出し,報告し,評価し,応対し,対処し,更にそこから学習するためのプロセス。
継続した情報セキュリティの運用を確実にするためのプロセスを情報セキュリティ継続(information security continuity)という。