ISMS適用範囲
ISMS Scope
あいえすえむえすてきようはんい
ISMSを確立し運用する対象として、組織が決める範囲。事業、組織、所在地、資産、技術などの観点で境界を定め、文書化する。ISMS認証は適用範囲ごとに取得するもので、範囲外の部署や拠点には及ばない。
Related
他の資格での定義
ISMSを確立して運用する対象として組織が定める範囲。組織の課題や利害関係者の要求、他の組織とのインタフェースや依存関係を考慮して、対象とする事業、部署、拠点、資産などを決め、文書化する。
ISMSを適用する組織、拠点、業務、情報資産の境界。外部委託や他システムとの接点を踏まえて定め、認証取得時には範囲の妥当性が審査される。範囲を狭く取りすぎると実効性を欠く。
組織がISMSを確立し運用する対象として定める範囲。組織の内外の課題や利害関係者の要求、自組織と他の組織との間のインタフェースや依存関係を考慮して、対象とする事業、組織、拠点、情報資産、技術などの境界を決め、文書化する。ISMS認証はこの範囲について与えられる。
Past Exams
過去問での出題
過去問で 1 回出題（情報セキュリティマネジメント試験 1）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
組織が情報セキュリティリスクを管理し、情報の機密性・完全性・可用性を維持するための、方針、体制、プロセスなどの仕組み。要求事項はJIS Q 27001（ISO/IEC 27001）で定められ、リスクアセスメントに基づいて管理策を選び、PDCAサイクルで継続的に改善する。第三者の審査を受けてISMS認証を取得できる。
リスクを運用管理することについて、説明責任と権限を持つ人または主体（JIS Q 27000）。ISMSでは、情報セキュリティリスク対応計画や残留リスクの受容を承認する役割を担う。
情報セキュリティ方針に沿って、組織が達成しようとする具体的な目標（JIS Q 27001）。可能な場合は測定できるものとし、達成のための実施事項、必要な資源、責任者、期限、結果の評価方法を決めて、ISMSの運用の中で達成度を確かめる。
組織のISMSがJIS Q 27001（ISO/IEC 27001）の要求事項に適合しているかを、第三者の認証機関が審査して認証する日本の制度。認定機関である情報マネジメントシステム認定センター（ISMS-AC）が認証機関を認定し、認定された認証機関が組織を審査する。
第三者の認証機関の審査によって、組織のISMSがJIS Q 27001（ISO/IEC 27001）に適合していると認められること。認証は定めた適用範囲ごとに与えられ、毎年のサーベイランス審査と3年ごとの再認証審査を受けて維持する。
情報セキュリティ管理策の実践の手引を示す日本産業規格で、国際規格ISO/IEC 27002を基に作られた。最新のJIS Q 27002:2024では93の管理策を組織的・人的・物理的・技術的の4つに分類し、それぞれの目的と実施の手引を示す。JIS Q 27001の附属書Aの管理策と対応している。