情報セキュリティ管理士 ISMSとリスクマネジメントの対策

ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティのリスクを把握し、対策を決めて実行し、その結果を確かめて改善し続けるための「仕組み」 です。個々の技術（ファイアウォールや暗号）の話ではなく、方針・体制・手順・見直しを含む管理の枠組みを指します。

ISMS は、計画（Plan）・実行（Do）・点検（Check）・処置（Act）の PDCA を回して改善し続ける考え方で説明されることが多い仕組みです。一度対策を入れて終わりではなく、状況の変化に合わせて見直す点が問われます。

日本では、情報マネジメントシステム認定センター（ISMS-AC）が認定した認証機関が、組織の ISMS が JIS Q 27001（ISO/IEC 27001）に適合しているかを審査する ISMS 適合性評価制度 があります。

2つの規格の違いは 「要求事項」か「手引き」か です。27001 は ISMS として満たすべきことを定めた規格で、認証審査の基準になります。27002 は、管理策を選んで実施するときの参考にする手引きです。

2022年版の主な変更は附属書A（管理策）です。管理策の数は114から93に減り、内訳は表現の変更や拡張が58、統合が24、新規が11で、分類は「組織的管理策」「人的管理策」「物理的管理策」「技術的管理策」の4つに整理されました（JQA「ISO/IEC 27001:2022が発行されました」、2026年9月27日確認）。

2013年版からの移行期間は2025年10月31日までで、2013年版に基づく認証はこの日をもって失効しました（同）。古い教材の「附属書Aは14分類・114管理策」は旧版の数字です。

リスクアセスメントは、リスク特定 → リスク分析 → リスク評価 の3段階で進めます。その前に守るべき情報資産を洗い出し、評価のものさし（リスク基準）を決めておきます。

1. 1情報資産の洗い出し：顧客データ、設計書、サーバ、クラウドのアカウント、紙の書類、人の知識などを一覧にし、機密性・完全性・可用性の重要度を付ける。
2. 2リスク特定：資産ごとに、どんな脅威（不正アクセス、誤送信、災害など）が、どんな脆弱性（パッチ未適用、ルールの不備など）につけこむかを見つける。
3. 3リスク分析：起こりやすさと、起きたときの影響の大きさから、リスクの大きさ（レベル）を見積もる。
4. 4リスク評価：分析した結果をリスク基準と比べ、対応が必要か、どれを優先するかを決める。
5. 5リスク対応：低減・回避・移転・保有から選び、対応後に残るリスク（残留リスク）をリスク所有者が受け入れる。

「リスク評価」と「リスク分析」の入れ替えは、4択の定番のひっかけです（当サイトの作問の観点）。分析＝大きさを見積もる、評価＝基準と比べて決める と区別してください。

情報資産の性質（機密性・完全性・可用性など）は情報セキュリティの3要素と7要素で整理しています。

移転しても、責任まで消えるわけではありません。委託すれば委託先の監督の責任が残り、保険は損害の金銭面を補うだけです。また 保有は「何もしない放置」ではなく、評価したうえで意思決定として受け入れること です。残留リスクはリスク所有者が承認します。

事業が止まるリスクへの備え（BCP）は第5章で扱います。先に知りたい場合はBCP（事業継続計画）とはへ。

情報セキュリティポリシーは、一般に 基本方針・対策基準・実施手順 の3層で説明されます。総務省の「情報セキュリティポリシー策定のための指針」でも、基本方針で組織としての取組の基本的な考え方を示し、対策基準で具体的な対策を定める形がとられています（2026年9月27日確認）。

「基本方針と対策基準をまとめてポリシーと呼び、実施手順は含めない」とする整理もあります。どこまでをポリシーと呼ぶかは資料によって違うため、問題文の定義に合わせて読んでください。

ポリシーは作って終わりではなく、ISMS の PDCA の中で定期的に見直します。経営者の関与（トップのコミットメント）が求められる点も、ISMS の要求事項の考え方と共通です。

課題Ⅰには、ISMS やリスクと並んで ストラテジ、QC七つ道具、新QC七つ道具 も挙がっています（2026年9月27日確認）。一見セキュリティと離れて見えますが、ISMS の点検と改善（PDCA の C と A）で使う道具と考えるとつながります。

• インシデントの件数を原因別に並べ、多い順に対策する → パレート図 の考え方
• 情報漏えいの原因を「人・手順・設備・環境」などに分けて洗い出す → 特性要因図 の考え方
• 対策の選択肢を費用と効果で比べて優先度を決める → ストラテジ（経営の意思決定）の考え方

QC七つ道具と新QC七つ道具の違いはQC七つ道具と新QC七つ道具の違いで比べています。

リスクアセスメントの過程のうち、「リスク評価」の説明として最も適切なものはどれか。

1. 1分析したリスクの大きさをリスク基準と比べ、対応の要否や優先順位を決める
2. 2守るべき情報資産に対して、どのような脅威と脆弱性があるかを見つけ出す
3. 3脅威の起こりやすさと影響の大きさから、リスクの大きさを見積もる
4. 4選んだ対策を実施した後に残るリスクを、リスク所有者が承認する

正解：1。リスク評価は、分析の結果をリスク基準と比べて、対応が必要か、どれを優先するかを決める段階です。

2 はリスク特定、3 はリスク分析の説明です。4 はリスク対応の後の残留リスクの受容で、アセスメントの3段階（特定・分析・評価）には入りません。

次のリスク対応のうち、「リスクの移転（共有）」に当たるものとして最も適切なものはどれか。

1. 1不正アクセスに備えて、全従業員のアカウントに多要素認証を導入する
2. 2影響が小さいため、対策をとらずに承認を得てそのまま受け入れる
3. 3情報漏えいによる損害賠償に備えて、サイバー保険に加入する
4. 4個人情報の漏えいを避けるため、顧客データを扱う新事業を中止する

正解：3。保険への加入は、損害の金銭的な負担の一部を保険会社に移すので、移転（共有）に当たります。

1 は起こりやすさを下げる低減、2 はリスクの保有（受容）、4 は原因となる活動をやめる回避です。

ISMS に関する規格の説明として、最も適切なものはどれか（2026年9月時点）。

1. 1ISO/IEC 27002 は ISMS の要求事項を定め、認証審査の基準になっている
2. 2JIS Q 27001:2023 は、ISO/IEC 27001:2022 に対応する日本の一致規格である
3. 3ISO/IEC 27001:2022 の附属書Aは、14分類・114の管理策で構成されている
4. 4ISO/IEC 27001:2013 に基づく認証は、2030年まで有効とされている

正解：2。JIS Q 27001:2023 は2023年9月20日に発行された、ISO/IEC 27001:2022 の一致規格（IDT）です。

1 は 27001 の説明で、27002 は管理策の手引きです。3 は2013年版の構成で、2022年版は4分類・93管理策です。4 について、2013年版に基づく認証は移行期間の終わる2025年10月31日で失効しました。

迷った問題は、「規格の役割（要求事項か手引きか）」「リスクの段階（特定・分析・評価・対応）」のどちらを問われているかで見直してください。

本番は180問を120分で解き、○×と4択が混ざります。登録不要の無料お試し20問で形式を確かめ、章別ドリルは対策ページから進めてください。次は人の対策を扱う第4章 組織・人のセキュリティです。