ISMS（情報セキュリティマネジメントシステム）とは、組織内での情報資産の取り扱いについて、その確保すべきセキュリティ水準を定め、計画や規約、体制を整備して運用していく取り組みのことです。
ISMSは、国際規格のISO/IEC 27001、国内規格JIS 27001に定められた要求事項を満たす必要があります。
そのためには、これらの規格を満足する情報セキュリティポリシーを作成して、全社的な取り組みとして周知、実施を図る必要があります。
また、情報セキュリティポリシーは定期的に見直しして、各プロセスを繰り返す必要があります。
日本では、JIPDEC（Japan Institute for Promotion of Digital Economy and Community：日本情報経済社会推進協会）の情報マネジメントシステム認定センターが、ISMS適合性評価制度を運用しています。
組織は、この制度の審査認定を受けることで、ISMSが適切に整備されていることを公開することができます。
平成29年度 春期 情報セキュリティマネジメント試験 午前
ISMSの「リーダシップ」の項では、組織のトップマネジメントが実証すべきリーダシップとコミットメントについて、以下のように記載されています。
- 情報セキュリティ方針及び情報セキュリティ目的を確立し、それらが組織の戦略的な方向性と両立することを確実にする。
- 組織のプロセスへのISMS要求事項の統合を確実にする。
- ISMSに必要な資源が利用可能であることを確実にする。
- 有効な情報セキュリティマネジメント及びISMS要求事項への適合の重要性を伝達する。
- ISMSがその意図した成果を達成することを確実にする。
- ISMSの有効性に貢献するよう人々を指揮し、支援する。
- 継続的な改善を促進する。
- その他の関連する管理層がその責任の領域においてリーダーシップを実証するよう、その管理層の役割を支援する。
ア ISMSの有効性に寄与するよう人々を指揮し、支援する。
これが正解です。
イ ISMSを組織の他のプロセスと分けて運営する。
ISMSは、組織全体の情報セキュリティ確保の活動であり、他のプロセスとも連携して運営する必要があります。
ウ 情報セキュリティ方針に従う。
情報セキュリティ方針に従うのは、トップマネジメントだけでなく組織に所属する全員の義務です。
エ 情報セキュリティリスク対応計画を策定する。
情報セキュリティリスク対応計画の策定は、トップマネジメントによるリーダシップ及びコミットメントを実証するための行動ではありません。