ISMS（情報セキュリティマネジメントシステム）とは、組織が自らのリスクアセスメントでセキュリティレベルを決め、計画・運用・評価・改善を回す仕組みです。機密性・完全性・可用性、JIS Q 27001、認証制度、PDCAとの対応を整理し、ITパスポート過去問の問われ方を令和3〜8年度の問題で確認します。
目次
結論：ISMS（情報セキュリティマネジメントシステム）は、組織が自らのリスクアセスメントで必要なセキュリティレベルを決め、計画・運用・評価・改善を繰り返して、情報の機密性・完全性・可用性を保つ管理の仕組みです。要求事項を定めた規格が ISO/IEC 27001（日本では JIS Q 27001）で、第三者の認証機関による審査に合格すると ISMS 認証を取得できます。ITパスポートでは、ISMSの活動の内容、PDCAの各フェーズ、内部監査、情報セキュリティの要素、クラウドの認証・規格との違いが、公表された問題に出ています。
ISMSとは：技術対策ではなく「管理の仕組み」
ISMS は Information Security Management System の略で、日本語では情報セキュリティマネジメントシステムです。情報マネジメントシステム認定センター（ISMS-AC）は、次のように説明しています（要旨）。
- 個別の問題ごとの技術対策のほかに、組織のマネジメントとして行うもの
- 自らのリスクアセスメントにより、必要なセキュリティレベルを決める
- プランを持ち、資源を配分して、システムを運用する
また、ISMSが達成すべきことは、リスクマネジメントプロセスを適用して、情報の機密性、完全性及び可用性をバランス良く維持・改善し、リスクを適切に管理しているという信頼を利害関係者に与えることだとされています。
つまり ISMS は、ファイアウォールやウイルス対策のような「道具」の名前ではありません。どの情報をどの水準で守るかを組織として決め、運用し、見直し続ける「やり方」の名前です。
出典：ISMS-AC「ISMS（情報セキュリティマネジメントシステム）とは」。
ITパスポートのシラバスでの位置づけ
IPAのシラバス Ver.6.5（令和8年1月）では、ISMS は次の項目に載っています。
| 項番 | 分野 | 内容 |
|---|---|---|
| 62(2) 情報セキュリティ管理 | 技術要素 ＞ セキュリティ | 情報セキュリティ管理の必要性と、情報セキュリティマネジメントシステム（ISMS）の考え方。用語例に、情報セキュリティポリシー、情報セキュリティの要素（機密性、完全性、可用性、真正性、責任追跡性、否認防止、信頼性）、情報セキュリティリスク、リスクコミュニケーション、情報セキュリティインシデント、継続的改善（PDCAなど） |
| 8(3) 標準化団体と規格 | ストラテジ系 ＞ 企業と法務 ＞ 法務 | 用語例に ISO/IEC 27000（情報セキュリティマネジメントシステム） |
出典：IPA ITパスポート試験 シラバス Ver.6.5（PDF）（項番62はp.58〜59、項番8はp.13）。
用語集では、ISMSの項目でも短く確認できます。
情報セキュリティの3要素：機密性・完全性・可用性
ISMS-ACは、JIS Q 27000:2019を引用して、情報セキュリティの主な3要素を次のように定義しています。
| 要素 | 定義（ISMS-ACの引用） | 守るもの |
|---|---|---|
| 機密性 | 認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性 | 見てはいけない人に見せない |
| 完全性 | 正確さ及び完全さの特性 | 内容が正しく、欠けていない |
| 可用性 | 認可されたエンティティが要求したときに、アクセス及び使用が可能である特性 | 必要なときに使える |
さらに、真正性、責任追跡性、否認防止、信頼性などの特性を維持することを含める場合もあります。令和3年度の問題（問67）は、この「3要素＋その他の特性」の文章の空欄を埋める形でした。空欄aは可用性、空欄bは信頼性が正解（ア）です。「保全性」「保守性」という似た語を選択肢に並べ、定義語を取り違えないかを確かめる作りです。
作例（当サイトの作例）：どの要素が損なわれたかを考える練習です。
| 場面 | 損なわれた要素 | 理由 |
|---|---|---|
| 権限のない従業員が、人事のフォルダを開けてしまった | 機密性 | 認可されていない者に開示された |
| 保存した在庫表の数字が、誤操作で書き換わったまま気づかれなかった | 完全性 | 正確さが失われた |
| 受付時間中にシステムが止まり、利用者が操作できなかった | 可用性 | 必要なときに使えなかった |
JIS Q 27001とISMS認証：何を決めている規格か
ISMS-ACは、JIS Q 27001（ISO/IEC 27001）を、ISMSの要求事項を定めた規格で、組織がISMSを確立し、実施し、維持し、継続的に改善するための要求事項を提供するものと説明しています。また、どのように実現するかという方法ではなく、組織が何を行うべきかを主として記述した規格です。
規格は、次の構成です。
| 章 | 名称 |
|---|---|
| 0〜3 | 序文、適用範囲、引用規格、用語及び定義 |
| 4 | 組織の状況 |
| 5 | リーダーシップ |
| 6 | 計画策定 |
| 7 | 支援 |
| 8 | 運用 |
| 9 | パフォーマンス評価 |
| 10 | 改善 |
| 附属書A（規定） | 情報セキュリティ管理策 |
どの組織でも必ず適用する要求事項が「本文」で、事業の特性によって適用除外が可能なのが「附属書Aの管理策」です。適用した管理策と、適用しない場合の理由を書いた文書が適用宣言書です。
認証の取得：ISMS-ACが認定した認証機関の審査を受け、認証基準に適合していると認められると、ISMS認証を取得できます。
出典：ISMS-AC「ISMS制度の概要」、同「ISMSとは」。
ISMS認証の基準となる規格の版：ISMS-ACは、JIS Q 27001:2025（ISO/IEC 27001:2022＋Amd 1:2024）が令和7年（2025年）5月20日に公示され、JIS Q 27001:2023を追補1の内容で改正したものであり、JIS Q 27001:2023と併せて適用する必要があると案内しています。最終確認日：2026-10-21。出典：ISMS-AC お知らせ、ISMS-AC「ISMS制度の概要」。
PDCAと各章の対応、過去問の問い方
シラバスの用語例には、継続的改善（PDCAなど）があります。令和7年度の問83は、サーバ監視に関する4つの作業を、PDCAモデルの各フェーズに対応づける問題でした。
| 作業の内容 | フェーズ |
|---|---|
| 具体的な目的と手順を定める | P（計画） |
| 定められた手順に従って実施する | D（実行） |
| 作業内容を第三者が客観的に評価する | C（評価） |
| 発見された問題点の是正処置として、方法を変更する | A（改善） |
答えは、P→D→C→Aの順に(1)(3)(2)(4)と並べたウです。「第三者が評価する」はC、「是正処置として変更する」はAと読み分けます。
規格の章との対応は、次のように整理できます（当サイトの整理。規格の条文そのものではありません）。
| PDCA | 規格の章（上の表） |
|---|---|
| P | 6 計画策定 |
| D | 8 運用 |
| C | 9 パフォーマンス評価 |
| A | 10 改善 |
令和4年度の問58は、「ISMSの計画、運用、パフォーマンス評価及び改善」のうち、パフォーマンス評価で実施するものを選ぶ問題で、答えは内部監査（イ）です。ほかの選択肢（運用の計画及び管理、不適合の是正処置、リスクの決定）は、章の名前と結びつけて消去します。
内部監査・情報セキュリティ方針・活動内容の問い方
公表されたITパスポートの問題で、ISMSがどう問われているかを、問題の趣旨のみ整理します（選択肢の文章は転記しません）。
| 年度・問番号 | 問われていること | 正解 |
|---|---|---|
| 令和8年度 問100 | ISMSの活動として適切な記述。情報資産を洗い出し、リスクの特定・分析・評価を行って管理する内容が正解 | ウ |
| 令和8年度 問93 | ISMSの実施項目4つのうち、最初に行うもの（適用範囲の決定、リスクアセスメント、リスク対応、内部監査から選ぶ） | ア（ISMSの適用範囲の決定） |
| 令和7年度 問59 | ISMSの内部監査。JIS Q 27001の要求事項と組織自身の要求事項による基準への適合性だけでなく、ISMS活動の有効性も判定する、という記述が正解 | ア |
| 令和7年度 問84 | 情報セキュリティ方針。一度実施したら終わりではないため、ISMSを継続的に改善するコミットメントを含める必要がある、という記述が正解 | イ |
| 令和5年度 問56 | ISMSクラウドセキュリティ認証。クラウドサービス固有の管理策が適切に導入・実施されていることを認証する、という記述が正解 | イ |
| 令和7年度 問2 | 従来の情報セキュリティマネジメントシステム規格を基礎に追加で制定された、クラウド向けガイドライン規格 | ウ（ISO/IEC 27017） |
出典：IPA「ITパスポート試験 公開問題・解答例」の令和8年度・令和7年度・令和5年度・令和4年度・令和3年度の問題冊子と正解（IPA ITパスポート試験の過去問題）。
選択肢を見分けるときは、ISMSが「情報セキュリティ」の管理の仕組みであることから、次のように消去します。
- 業務プロセスの改善や、ITサービスの品質改善を言っている記述は、情報セキュリティの管理（ISMS）とは別の活動です。令和8年度の問100の他の選択肢は、そうした改善活動の記述でした
- 「部門ごとに定める」「社内に限定する」のように範囲を狭める記述は、方針の記述としては注意が必要です。令和7年度の問84では、いずれも不適切とされています
- 一度で終わると読める記述は、継続的改善というISMSの考え方と合いません
クラウド・個人情報・政府調達との違い
ISMSの周辺にある制度・規格は、対象で区別します。
| 名称 | 対象 | 確認先 |
|---|---|---|
| ISMS認証（JIS Q 27001） | 組織の情報セキュリティ管理の仕組み全般 | ISMS-AC |
| ISMSクラウドセキュリティ認証 | ISMS認証に加えて、クラウドサービス固有の管理策（ISO/IEC 27017）が適切に導入・実施されていること | ISMS-AC |
| プライバシーマーク | 個人情報について適切な保護措置を講ずる体制 | JIPDEC（プライバシーマーク推進センター） |
| ISMAP | 政府情報システムのためのセキュリティ評価制度（シラバスの表記） | ISMAPポータル |
ISMS-ACは、ISMSクラウドセキュリティ認証を、ISMS（JIS Q 27001）認証に加えて、クラウドサービス固有の管理策（ISO/IEC 27017）が適切に導入、実施されていることを、認証基準（JIP-ISMS517）に基づいて認証するものと説明しています。出典：ISMS-AC「ISMS適合性評価制度」。プライバシーマークの説明の出典：JIPDEC「プライバシーマークとは」。
ISMSクラウドセキュリティ認証の基準：ISMS-ACは、ISO/IEC 27017が改訂されて2026年7月27日にISO/IEC 27017:2026として発行されたことに伴い、認証基準が「JIP-ISMS517-2.0」として2026年10月14日に発行されたと案内しています。認証取得組織の移行期間は、2026年10月31日から3年間です。最終確認日：2026-10-21。出典：ISMS-AC お知らせ（2026年10月19日）。
間違えやすいポイント
- ISMSを製品名と考える：ISMSは管理の仕組みで、ウイルス対策ソフトやファイアウォールのような個別の技術対策そのものではありません
- ISMS認証とプライバシーマークの混同：前者は情報セキュリティ全般の管理の仕組み、後者は個人情報の取扱いの体制です
- 完全性と可用性の取り違え：正確さ・欠けのなさが完全性、必要なときに使えることが可用性です
- 「保全性」「保守性」を選ぶ：定義語は機密性・完全性・可用性です。令和3年度の問67は、似た語を選択肢に並べていました
- 内部監査を、規格への適合だけを見るものと読む：令和7年度の問59は、有効性の判定も含む記述が正解でした
- PDCAのCとAの取り違え：評価（第三者による評価・内部監査）がC、是正処置としての変更がAです
まとめ
- ISMS は、組織が自らのリスクアセスメントで必要なセキュリティレベルを決め、計画・運用・評価・改善を回す、情報セキュリティ管理の仕組みです
- 守る対象の基本は機密性・完全性・可用性で、真正性・責任追跡性・否認防止・信頼性を含める場合もあります
- 要求事項は JIS Q 27001（ISO/IEC 27001）。本文は必ず適用し、附属書Aの管理策は適用除外が可能で、理由を適用宣言書に書きます
- ISMS認証はISMS-ACが認定した認証機関の審査で取得します。クラウド向けには ISMSクラウドセキュリティ認証があります
- ITパスポートでは、活動の内容・最初に行う項目・PDCAのフェーズ・内部監査・方針・クラウド関連の認証や規格が、公表された問題に出ています
セキュリティ分野で何問出て、どの論点が問われたかは、ITパスポートのセキュリティ72問の内訳にまとめています。
よくある質問
QISMSとは何ですか？
ISMSは情報セキュリティマネジメントシステムのことです。情報マネジメントシステム認定センター（ISMS-AC）は、個別の技術対策のほかに、組織のマネジメントとして、自らのリスクアセスメントで必要なセキュリティレベルを決め、プランを持ち、資源を配分してシステムを運用することと説明しています。ウイルス対策ソフトのような個別の製品ではなく、組織の管理の仕組みを指します。
QISMSとISO/IEC 27001、JIS Q 27001の関係は？
ISMSの要求事項を定めた規格が ISO/IEC 27001 で、日本ではそれに対応する日本産業規格が JIS Q 27001 です。ISMS-ACは、JIS Q 27001を「ISMSを確立し、実施し、維持し、継続的に改善するための要求事項」を提供する規格と説明しています。認証の基準として使われるのも、この規格です。
Q機密性・完全性・可用性は、それぞれ何を守ることですか？
ISMS-ACが引用するJIS Q 27000:2019の定義では、機密性は認可されていない個人・エンティティ・プロセスに情報を使用させず開示しない特性、完全性は正確さ及び完全さの特性、可用性は認可されたエンティティが要求したときにアクセス及び使用が可能である特性です。
QISMS認証とプライバシーマークは同じものですか？
同じではありません。ISMS認証は組織の情報セキュリティ管理の仕組みを、ISMS-ACが認定した認証機関が評価するものです。プライバシーマークは、日本情報経済社会推進協会（JIPDEC）が、個人情報について適切な保護措置を講ずる体制を整備している事業者等を評価して、プライバシーマークの使用を認める制度です。
QITパスポートのシラバスでISMSはどこに載っていますか？
IPAのシラバス Ver.6.5（令和8年1月）では、技術要素の「セキュリティ」にある項番62「情報セキュリティ管理」の(2)に、情報セキュリティマネジメントシステム（ISMS）の考え方が載っています。標準化関連の項番8(3)「標準化団体と規格」の用語例にも、ISO/IEC 27000（情報セキュリティマネジメントシステム）があります。
法令や試験の数字は、改正や年度で変わります。この記事の最終確認日は2026年10月21日です。申込みや合格基準は、必ず試験団体の公式情報で確かめてください。
