ISMS（ISO 27001）

ISMS（アイ・エス・エム・エス）とは、簡単に言うと組織が保有する情報資産を安全に保護するための仕組みのことです。より正確には「Information Security Management System」という英語の略で、日本語には「情報セキュリティマネジメントシステム」と訳されています。ISMSは、情報の機密性、完全性、可用性を守るための体系的な仕組みです。

情報の機密性、完全性、可用性は、合わせて「情報セキュリティの3要素」と呼ばれる概念で、それぞれ以下のような意味があります。

組織は、ISMSを国際規格であるISO/IEC 27001に沿って構築・運用・維持し、第三者機関の審査で同規格の定める要求事項に適合していることが認められると、「ISMS認証」を取得することができます。この認証制度は、「ISMS適合性評価制度」と呼ばれています。

ISMS認証を取得することにより、企業としてはその過程でセキュリティ体制を強化できるほか、第三者機関による審査で認められたことで対外的な信頼が向上することも期待できます。また、公共事業の入札のための条件として、あるいは他者との取引条件としてISMS取得が要求されている場合、認証を取得できればこの条件をクリアできることになります。そのほか、ISMS認証の取得により期待できるメリットには以下が挙げられます。

＜対外的メリット＞

• 顧客からの信頼が向上する
• 他者との差別化を図ることができる
• 情報セキュリティに関する説明責任を果たしやすくなる
• 取引条件をクリアできる

＜組織内におけるメリット＞

• 情報セキュリティリスクが低減する
• 従業員のモラルや意識が向上する
• 業務効率が向上する

ISO/IEC 27001とISMSはよく混同されがちですが、正確にはISO/IEC 27001とはISMS構築のための国際規格であり、ISMS認証を取得する際の認証基準です。ただし、場合によっては「ISMS」と「ISO/IEC 27001」が同じような意味合いで使われることも多々あります。この日本語版が「JIS Q 27001」というJIS規格です。

ISMSと比較されがちな別の認証制度にプライバシーマーク（Pマーク）制度があります。これは、日本国内の規格「JIS Q15001」に基づいて個人情報を適切に保護している事業者を第三者の審査により認定する制度です。ISMSが情報セキュリティ全般を対象とするのに対し、プライバシーマークは個人情報保護に特化した制度であるという点が両者の最大の違いです。

プライバシーマークやISMSとの違いについてさらに詳しくは、以下の記事もご覧ください：

「ISMSとPマークの違いは？取得のメリット・デメリット」