ISMS適用範囲

ISMSを確立して運用する対象として組織が定める範囲。組織の課題や利害関係者の要求、他の組織とのインタフェースや依存関係を考慮して、対象とする事業、部署、拠点、資産などを決め、文書化する。

ISMSを確立し運用する対象として、組織が決める範囲。事業、組織、所在地、資産、技術などの観点で境界を定め、文書化する。ISMS認証は適用範囲ごとに取得するもので、範囲外の部署や拠点には及ばない。

ISMSを適用する組織、拠点、業務、情報資産の境界。外部委託や他システムとの接点を踏まえて定め、認証取得時には範囲の妥当性が審査される。範囲を狭く取りすぎると実効性を欠く。

組織が情報セキュリティリスクを管理し、情報の機密性・完全性・可用性を維持するための、方針、体制、プロセスなどの仕組み。要求事項はJIS Q 27001（ISO/IEC 27001）で定められ、リスクアセスメントに基づいて管理策を選び、PDCAサイクルで継続的に改善する。第三者の審査を受けてISMS認証を取得できる。

リスクの重大性を評価するための判断の基準。JIS Q 27001では情報セキュリティリスクアセスメントの前に確立することを求めており、リスクを受容するかを決めるリスク受容基準と、アセスメントを一貫した方法で繰り返し実施するための基準（発生可能性や影響の尺度など）から成る。

マネジメントシステムの適切性、妥当性及び有効性を、繰り返し向上させていく活動。ISMSやサービスマネジメントシステムでは、パフォーマンス評価、内部監査、マネジメントレビューの結果や、不適合に対する是正処置をもとに、PDCAサイクルを回して改善を続けることが求められる。

マネジメントシステムの要求事項の箇条の一つで、マネジメントシステムのパフォーマンスと有効性を評価すること。ISMSでは、何をどの方法で監視・測定し、いつ誰が分析・評価するかを定めて実施するほか、内部監査とマネジメントレビューもこの箇条に含まれる。

組織が自ら、又は組織に代わって独立した立場の者が、マネジメントシステムや業務が規定や基準に適合し、有効に運用されているかを評価する監査。ISMSでは、あらかじめ定めた間隔で実施し、監査員の客観性と公平性を確保すること、結果を関連する管理層に報告することが求められる。

情報セキュリティマネジメントシステム。組織の情報セキュリティを管理するための仕組みで、JIS Q 27001（ISO/IEC 27001）に基づき、リスクアセスメントを行い、管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。