情報セキュリティマネジメントシステム
ISMSを規定したISO/IEC 27001:2013は、ISOのさまざまなマネジメントシステム規格(MSS Management System Standard)の一つであり、MSSの共通化を図った附属書SLに沿って規格化されている。これにより、品質、環境、ITサービス、事業継続のマネジメントシステムを規定したQMS、EMS、ITSMS、BCMSとの整合性が図られている。
また、2013年の改定以降、リスクマネジメントの国際規格であるISO 31000:2009(JIS Q 31000:2010)との整合性も図られている。
ISO/IEC JTC 1 (情報技術)の SC27委員会 (セキュリティ技術副委員会)には、情報セキュリティのためのマネジメントシステム規格の開発を担当する作業グループがあり、そこでISMSの構築のしかたと認定の基準を審議して国際規格 ISO/IEC 27001になり、その翻訳が日本産業規格 (JIS) になっている。SC27は、ISMS関連の国際規格を他にもいくつか標準化しており、それらの規格は、ISMS ファミリ規格と呼ばれる(ファミリ規格の詳細はJIS Q 27000 箇条 0.2 を参照)。
ISMSにおいて参照されることの多いISO/IEC TR 13335-3(JIS TR X 0036-3:2001に対応。有効期限切れ)、およびそれを引き継いだISO/IEC 27005では、以下の4種類のリスク分析方法を定義している:
ベースラインアプローチ:既存の標準や基準をベースラインとして策定し、チェックする方法
非形式的アプローチ:熟練者の知識や経験に頼ったアプローチ
詳細リスク分析:情報資産ごとに資産価値、脅威、セキュリティ要件を識別して評価する手法
上述の方法を複数組み合わせたものを組み合わせアプローチという。
ISMSを実施する組織は、組織の能力に影響を与える内部および外部の課題や、ISMSに関連する利害関係者の情報セキュリティに関する要求事項、他の組織との依存関係などを特定し、これらをもとにしてISMSの適応範囲の境界線や適応可能性を決定する。 こうした作業を行ったあと、トップマネジメントは、資産の情報セキュリティを担保するため、経営陣や管理者からなる管理層の承認のもと、情報セキュリティのための方針群を定める。これらの方針群の中で最も高いレベルに1つの情報セキュリティ方針を定めねばならない。
情報セキュリティ方針は
情報セキュリティに関連する適用される要求事項
ISMSの継続的改善へのコミットメント
が含まれねばならず、以下を含むことが望ましい
情報セキュリティに関する全ての活動の指針となる,情報セキュリティの定義,目的及び原則
情報セキュリティマネジメントに関する一般的な責任及び特定の責任の,定められた役割への割当て
逸脱及び例外を取り扱うプロセス
なお、JIS Q 27001:2006では上位概念のISMS基本方針と下位概念の情報セキュリティ基本方針の2つがあったがJIS Q 27001:2014ではこれらは情報セキュリティ方針として統合された。
情報セキュリティ方針は情報セキュリティ目的もしくはそれを設定するための枠組みを含まねばならない。
情報セキュリティ目的は情報セキュリティ方針との整合性や実行可能な場合の測定可能性が求められ、「適用される情報セキュリティ要求事項,並びにリスクアセスメント及びリスク対応の結果を考慮に入れる」必要がある。
組織は,関連する部門及び階層において,情報セキュリティ目的を確立しなければならない