情報セキュリティマネジメントシステム
セキュリティ > ガイドライン、標準規格、法制度等 > 情報セキュリティマネジメントシステム
セキュリティ > リスクマネジメント > 情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステム(じょうほうセキュリティマネジメントシステム、ISMS: Information Security Management System)は、組織における情報資産のセキュリティを管理するための枠組み。情報セキュリティマネジメントとは、ISMSを策定し、実施すること。
ISMSの目標は、リスクマネジメントプロセスを適用することによって、情報の機密性、完全性及び可用性を維持し、かつ、リスクを適切に管理しているという信頼を利害関係者に与えることにある。
ISMSの標準がISO 27001およびそれと同等なJIS Q 27001に規定されているので、本稿では2016年現在におけるこれらの標準の最新版であるISO/IEC 27001:2013(JIS Q 27001:2014と同等)を基に、ISMSを説明する。
JIS Q 27001:2014におけるISMSにおけるリスクマネジメントはJIS Q 31000:2010(ISO 31000:2009)およびJIS Q 0073:2010(ISO Guide73:2009)との整合性が図られているので、本説ではこれらの資料も参考にリスクマネジメントを説明する。
リスクマネジメント(risk management)とは、リスクについて,組織を指揮統制するための調整された活動であり、これを取り扱うリスクマネジメントの枠組み(risk management framework)は組織全体にわたって,
リスクマネジメントの枠組みの設計,
リスクマネジメントの実践,
枠組みのモニタリングとレビュー,
枠組みの継続的改善
の4つを順に行いつつリスクを運用管理するための方針,目的,指令,コミットメントなどの基盤組織内の取決めを提供する構成要素の集合体を指す。 その基盤としてリスクを運用管理するための方針,目的,指令,コミットメントなどが含まれる。