内部監査

組織が自らの業務やマネジメントシステムを対象として、監査対象から独立した組織内の監査人に行わせる監査。ISMSでは、規格や自組織の要求事項に適合しているか、有効に実施・維持されているかを、あらかじめ定めた間隔で確かめる。

サービスマネジメントシステムが規格要求事項に適合し、効果的に実施・維持されているかを定期的に評価する活動。パフォーマンス評価の一環として行われ、改善の機会を特定する。

組織自身が設置した監査部門が、業務やシステムの適切性を検証・評価する監査。実情に通じており改善指導につなげやすい一方、被監査部門からの独立性を組織上どう確保するかが課題となる。

組織内部の監査員が、SMSが計画通りに運用され、ISO/IEC 20000の要求事項に適合しているかを体系的に評価する活動。定期的な実施が求められ、改善の機会を特定する。

組織内部の独立した監査部門が、自組織の業務活動やシステムを対象として実施する監査。経営目標の達成に向けて、内部統制やリスク管理の有効性を評価・改善することを目的とする。

組織自らが、ISMSの要求事項及び組織の情報セキュリティ要求事項への適合状況を定期的に検証する活動。ISO/IEC 27001ではISMSの継続的改善のために内部監査の実施が要求されている。

組織が自ら、又は組織に代わって独立した立場の者が、マネジメントシステムや業務が規定や基準に適合し、有効に運用されているかを評価する監査。ISMSでは、あらかじめ定めた間隔で実施し、監査員の客観性と公平性を確保すること、結果を関連する管理層に報告することが求められる。

組織の情報セキュリティ対策が適切に実施されているかを独立した立場から検証・評価する活動。監査計画に基づき、管理策の有効性、諸規程の遵守状況を確認し、改善のための助言を行う。助言型監査と保証型監査がある。

経済産業省が策定した、情報セキュリティ監査を行う際の行為規範。情報セキュリティ管理基準とあわせて活用し、組織の情報セキュリティ対策の適切性・有効性を検証・評価する枠組みを提供する。

情報セキュリティ監査の結果を文書化した報告書。保証型の場合は保証意見、助言型の場合は指摘事項と改善提案を記載する。情報セキュリティ監査基準に定められた様式と要件に従って作成する。

経済産業省が公表する、情報セキュリティマネジメントの実践規範。JIS Q 27001・27002を基礎とし、情報セキュリティ監査の判断尺度（監査基準に対する管理策の一覧）として用いられる。

情報セキュリティマネジメントシステム。組織の情報セキュリティを管理するための仕組みで、JIS Q 27001（ISO/IEC 27001）に基づき、リスクアセスメントを行い、管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。

ISMSの要求事項を規定する日本産業規格。国際規格ISO/IEC 27001を翻訳したもの。組織がISMSを確立、実施、維持、継続的に改善するための要求事項を定め、ISMS認証の基準となる。