ISMSとは何か？
ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティのリスクを把握し、対策を決めて実行し、その結果を確かめて改善し続けるための「仕組み」 です。個々の技術（ファイアウォールや暗号）の話ではなく、方針・体制・手順・見直しを含む管理の枠組みを指します。
ISMS は、計画（Plan）・実行（Do）・点検（Check）・処置（Act）の PDCA を回して改善し続ける考え方で説明されることが多い仕組みです。一度対策を入れて終わりではなく、状況の変化に合わせて見直す点が問われます。
日本では、情報マネジメントシステム認定センター（ISMS-AC）が認定した認証機関が、組織の ISMS が JIS Q 27001（ISO/IEC 27001）に適合しているかを審査する ISMS 適合性評価制度 があります。
最近の事例と対策の優先度は2026年の脅威と最新の注意喚起、AIを使う業務の具体例は生成AIのセキュリティで確認できます。
リスクを実施計画へ変える例は中小企業の対策計画、制度の準備はSCS評価制度、説明の根拠は取引先の質問票で補えます。
具体的な判断へ進むにはリスク台帳の書き方を確認してください。
- P
計画
リスクを把握し、対策を決める
- D
実行
決めた対策を実行する
- C
点検
その結果を確かめる
- A
処置
見直して改善する
状況の変化に合わせて繰り返す
ISMS は一度対策を入れて終わりではなく、PDCA で見直し続ける 管理の仕組み。個々の技術のことではない。
ISO/IEC 27001と27002はどう違う？版はどれ？
2つの規格の違いは 「要求事項」か「手引き」か です。27001 は ISMS として満たすべきことを定めた規格で、認証審査の基準になります。27002 は、管理策を選んで実施するときの参考にする手引きです。
- 表現の変更や拡張58
- 統合24
- 新規11
旧版の114管理策は、2022年版で 93管理策・4分類 に整理された（58＋24＋11＝93）。
数値は JQA「ISO/IEC 27001:2022が発行されました」による（2026年9月27日確認）。
| 規格 | 役割 | 現在の版と発行日 |
|---|---|---|
| ISO/IEC 27001 | ISMS の要求事項（認証の基準） | 2022年版。2022年10月25日発行 |
| JIS Q 27001 | ISO/IEC 27001 の一致規格（IDT） | 2023年版。2023年9月20日発行 |
| ISO/IEC 27002 | 情報セキュリティ管理策の手引き | 2022年版。2022年2月発行 |
| JIS Q 27002 | ISO/IEC 27002:2022 に対応する JIS | 2024年版。2024年6月21日発行 |
2022年版の主な変更は附属書A（管理策）です。管理策の数は114から93に減り、内訳は表現の変更や拡張が58、統合が24、新規が11で、分類は「組織的管理策」「人的管理策」「物理的管理策」「技術的管理策」の4つに整理されました（JQA「ISO/IEC 27001:2022が発行されました」、2026年9月27日確認）。
2013年版からの移行期間は2025年10月31日までで、2013年版に基づく認証はこの日をもって失効しました（同）。古い教材の「附属書Aは14分類・114管理策」は旧版の数字です。
リスクアセスメントはどんな流れで行う？
リスクアセスメントは、リスク特定 → リスク分析 → リスク評価 の3段階で進めます。その前に守るべき情報資産を洗い出し、評価のものさし（リスク基準）を決めておきます。
- 1
情報資産の洗い出し
資産を一覧にし、機密性・完全性・可用性の重要度を付ける
- 2
リスク特定
どんな脅威が、どんな脆弱性につけこむかを見つける
- 3
リスク分析
起こりやすさと影響の大きさから、リスクの大きさを見積もる
- 4
リスク評価
リスク基準と比べ、対応の要否と優先順位を決める
- 5
リスク対応
低減・回避・移転・保有から選び、残留リスクをリスク所有者が受け入れる
リスクアセスメントは 特定 → 分析 → 評価 の3段階。分析＝大きさを見積もる、評価＝基準と比べて決める。
- 情報資産の洗い出し：顧客データ、設計書、サーバ、クラウドのアカウント、紙の書類、人の知識などを一覧にし、機密性・完全性・可用性の重要度を付ける。
- リスク特定：資産ごとに、どんな脅威（不正アクセス、誤送信、災害など）が、どんな脆弱性（パッチ未適用、ルールの不備など）につけこむかを見つける。
- リスク分析：起こりやすさと、起きたときの影響の大きさから、リスクの大きさ（レベル）を見積もる。
- リスク評価：分析した結果をリスク基準と比べ、対応が必要か、どれを優先するかを決める。
- リスク対応：低減・回避・移転・保有から選び、対応後に残るリスク（残留リスク）をリスク所有者が受け入れる。
「リスク評価」と「リスク分析」の入れ替えは、4択の定番のひっかけです（当サイトの作問の観点）。分析＝大きさを見積もる、評価＝基準と比べて決める と区別してください。
情報資産の性質（機密性・完全性・可用性など）は情報セキュリティの3要素と7要素で整理しています。
リスク対応の4つはどう使い分ける？
| 対応 | 考え方 | 例 |
|---|---|---|
| 低減（軽減） | 対策を入れて、起こりやすさや影響を小さくする | 多要素認証の導入、パッチの適用、バックアップ |
| 回避 | リスクの原因になる活動そのものをやめる | 個人情報を扱う新サービスを中止する、危険な機能を廃止する |
| 移転（共有） | リスクの一部を他者に移す | サイバー保険に入る、専門の事業者に運用を委託する |
| 保有（受容） | 対策をせず、リスクを受け入れる | 影響が小さく対策費の方が高いリスクを、承認を得て受け入れる |
移転しても、責任まで消えるわけではありません。委託すれば委託先の監督の責任が残り、保険は損害の金銭面を補うだけです。また 保有は「何もしない放置」ではなく、評価したうえで意思決定として受け入れること です。残留リスクはリスク所有者が承認します。
事業が止まるリスクへの備え（BCP）は第5章で扱います。先に知りたい場合はBCP（事業継続計画）とはへ。
情報セキュリティポリシーはどう構成する？
情報セキュリティポリシーは、一般に 基本方針・対策基準・実施手順 の3層で説明されます。総務省の「情報セキュリティポリシー策定のための指針」でも、基本方針で組織としての取組の基本的な考え方を示し、対策基準で具体的な対策を定める形がとられています（2026年9月27日確認）。
| 層 | 内容 | 誰が決めるか・誰に向けるか |
|---|---|---|
| 基本方針 | なぜ情報セキュリティに取り組むか、組織としての姿勢 | 経営者が決め、社内外に示す |
| 対策基準 | 守るべきルール（何をするか） | 組織として定め、全従業員に適用する |
| 実施手順 | 部署や業務ごとの具体的なやり方（どうするか） | 部署ごとに作り、担当者が使う |
「基本方針と対策基準をまとめてポリシーと呼び、実施手順は含めない」とする整理もあります。どこまでをポリシーと呼ぶかは資料によって違うため、問題文の定義に合わせて読んでください。
ポリシーは作って終わりではなく、ISMS の PDCA の中で定期的に見直します。経営者の関与（トップのコミットメント）が求められる点も、ISMS の要求事項の考え方と共通です。
ストラテジ・QC手法とはどうつながる？
課題Ⅰには、ISMS やリスクと並んで ストラテジ、QC七つ道具、新QC七つ道具 も挙がっています（2026年9月27日確認）。一見セキュリティと離れて見えますが、ISMS の点検と改善（PDCA の C と A）で使う道具と考えるとつながります。
- インシデントの件数を原因別に並べ、多い順に対策する → パレート図 の考え方
- 情報漏えいの原因を「人・手順・設備・環境」などに分けて洗い出す → 特性要因図 の考え方
- 対策の選択肢を費用と効果で比べて優先度を決める → ストラテジ（経営の意思決定）の考え方
QC七つ道具と新QC七つ道具の違いはQC七つ道具と新QC七つ道具の違いで比べています。
間違えやすいのはどこ？
| よくある誤解 | 正しい整理 |
|---|---|
| 27002 に基づいて認証を受ける | 認証の基準は要求事項の 27001。27002 は管理策の手引き |
| 附属書Aは114管理策・14分類 | 2022年版は93管理策・4分類（旧版の数字と混同しない） |
| リスク分析で対応の優先順位を決める | 優先順位を決めるのはリスク評価。分析は大きさの見積もり |
| 保険に入ればリスクはゼロになる | 移転は一部を移すだけ。残留リスクは残る |
| 保有は対策の放置 | 評価したうえで承認を得て受け入れる意思決定 |
| ポリシーは一度作れば見直し不要 | PDCA の中で定期的に見直す |
確認問題1
リスク評価の説明は？
リスクアセスメントの過程のうち、「リスク評価」の説明として最も適切なものはどれか。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解：1。リスク評価は、分析の結果をリスク基準と比べて、対応が必要か、どれを優先するかを決める段階です。
2 はリスク特定、3 はリスク分析の説明です。4 はリスク対応の後の残留リスクの受容で、アセスメントの3段階（特定・分析・評価）には入りません。
確認問題2
リスクの移転に当たるものは？
次のリスク対応のうち、「リスクの移転（共有）」に当たるものとして最も適切なものはどれか。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解：3。保険への加入は、損害の金銭的な負担の一部を保険会社に移すので、移転（共有）に当たります。
1 は起こりやすさを下げる低減、2 はリスクの保有（受容）、4 は原因となる活動をやめる回避です。
確認問題3
ISMSの規格の関係は？
ISMS に関する規格の説明として、最も適切なものはどれか（2026年9月時点）。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解：2。JIS Q 27001:2023 は2023年9月20日に発行された、ISO/IEC 27001:2022 の一致規格（IDT）です。
1 は 27001 の説明で、27002 は管理策の手引きです。3 は2013年版の構成で、2022年版は4分類・93管理策です。4 について、2013年版に基づく認証は移行期間の終わる2025年10月31日で失効しました。
確認問題のあとは何をすればいい？
迷った問題は、「規格の役割（要求事項か手引きか）」「リスクの段階（特定・分析・評価・対応）」のどちらを問われているかで見直してください。
本番は180問を120分で解き、○×と4択が混ざります。登録不要の無料お試し20問で形式を確かめ、章別ドリルは対策ページから進めてください。次は人の対策を扱う第4章 組織・人のセキュリティです。