ISMS・ガバナンスと各種基準・ガイドライン

結論：規格番号と「何を守るか」をセットで覚える

このレッスンの問題は、ほとんどが名前と中身の組合せで解けます。計算はありません。

見分けのコツは「何を評価するか」です。組織の仕組みならISMS、個人情報ならPマーク、製品ならISO/IEC 15408、カード情報ならPCI DSS です。

ISMS とは：組織の「セキュリティを回し続ける仕組み」

ISMS（情報セキュリティマネジメントシステム）は、情報セキュリティを場当たりではなく、方針→計画→実行→見直しのサイクルで管理し続ける組織の仕組みです。要求事項を定めた規格が JIS Q 27001、用語の定義をまとめた規格が JIS Q 27000 です。

たとえると、ISMS適合性評価制度は「飲食店の衛生管理の仕組みを保健所ではなく第三者機関が監査して、合格証を出す」ようなものです。料理（個々の製品）ではなく、店の管理のやり方を見ます。

情報セキュリティ方針：経営陣の「方向性と支持」を示す文書

ISMS では、組織が情報セキュリティのための方針群を定めます。その役割は、経営陣の方向性及び支持を規定することです。つまり「経営陣がセキュリティをこう進める、だから全員協力してほしい」と宣言する文書です。

方針は従業員や関係者に周知するもので、隠しておく機密文書ではありません。また、ビジネス環境や技術の変化に合わせて定期的に見直すものです。特定システムの運用手順のような細かい内容は、方針ではなく下位の規程や手順書に書きます。

トップマネジメント：役職ではなく「指揮・管理する人（たち）」

JIS Q 27000 のトップマネジメントは、「最高位で組織を指揮し、管理する個人又は人々の集まり」です。複数名で構成されていてもよい点がポイントです。

「代表取締役でなければならない」「情報システム部門長でなければならない」のように特定の役職に限定する選択肢は誤りです。ISMS の適用範囲が一つの事業部なら、その事業部の長がトップマネジメントになることもあります。また、トップマネジメントは ISMS を率いる立場なので、「適用範囲から独立」している必要もありません。

情報セキュリティガバナンスと IT ガバナンス：「重複する場合がある」

ガバナンスとは、経営陣が組織の活動を方向付け、監視する仕組みのことです。JIS Q 27014 では、情報セキュリティガバナンスと IT ガバナンスの範囲は重複する場合があるとされています。

情報は紙や人の会話にもあるので、情報セキュリティは IT だけの話ではありません。逆に IT ガバナンスには、セキュリティ以外の投資判断なども含まれます。だから「一方が他方を包含する」でも「完全に独立」でもなく、一部が重なる関係です。

経産省のガイドライン2つ：誰に向けた何の文書か

サプライチェーンとは、原材料の調達から製造・販売まで、自社の事業を支える取引先のつながりのことです。委託先が攻撃されて自社の情報が漏れることがあるので、経営ガイドラインは取引先の対策も確認範囲に入れています。株主・個人利用者・地域社会は確認対象ではありません。

試験での問われ方

• 制度名と規格番号の入れ替え：「JIS Q 15001 に基づき組織の ISMS を評価」のように、Pマークの規格番号を ISMS に付けた選択肢を作る。
• 評価対象のすり替え：製品を評価する ISO/IEC 15408 や暗号モジュールの認証を、ISMS の説明として並べる。
• 方針の性質を逆にする：「機密文書」「変更してはならない」「特定システムの詳細」は誤り。
• 役職への限定：トップマネジメントを代表取締役や情報システム部門長に限定する選択肢は誤り。
• 他ガイドラインの目的を混ぜる：CPSF の問題に、テレワーク・クラウド・データセンタ向けのガイドラインの目的を並べる。