ISMSとは

ISMSは、情報の機密性（見てよい人だけが見られる）、完全性（正しく欠けていない）、可用性（必要なときに使える）を、組織として守り続けるための仕組みです。ISO/IEC 27001:2022は、その仕組みの要求事項を決めた規格で、日本では JIS Q 27001 として出ています。2024年の追補1で、気候変動が組織にとって関連する課題かどうかを決めることが加わりました。

箇条の骨組み

箇条1〜3は適用範囲・引用規格・用語で、要求事項は箇条4〜10にあります。
- 箇条4 組織の状況 … 課題、利害関係者の要求、ISMSの範囲
- 箇条5 リーダーシップ … トップの関与、方針、役割と責任
- 箇条6 計画 … リスクと機会、情報セキュリティ目的、変更の計画
- 箇条7 支援 … 資源、力量、認識、コミュニケーション、文書化した情報
- 箇条8 運用 … 計画どおりの実施、リスクアセスメントとリスク対応の実行
- 箇条9 パフォーマンス評価 … 監視と測定、内部監査、マネジメントレビュー
- 箇条10 改善 … 継続的改善、不適合と是正処置

PDCAで読む

箇条4〜7が計画、箇条8が実行、箇条9が評価、箇条10が改善にあたります。監査では、事実を見つけたら「どの箇条の要求に合っていないか」を言えることが大切です。

• ISMSと、機密性・完全性・可用性
• 箇条4〜10の題名と要旨
• 箇条とPDCAの対応
• 見つけた事実を、どの箇条に当てるか