ISMS(Information Security Management System)とは何か

無料メルマガ登録でプレゼント！書籍「セキュリティ対策の基礎知識」

ISMS（Information Security Management System）、日本では一般にISO27001を基準に考えられていますので、この稿でもISO27001でのお話をさせていただきます。

とはいえ、正しくはISO27001に日本語版はありません。ISO27001と名乗れるのは英語・仏語・露語の三言語だと指定されているからです。

ですので、日本語版としては本当はJISQ27001と言います。ただ、日本語以外で説明するとわかりにくくなるでしょうから、英文解釈説明の必要が無い限りは、JISQ27001≒ISO27001で説明させていただきます。

この記事の目次

1 ISO27001について
2 リスク“０”が不可能な理由
3 ISO27001の本質とは
4 おわりに

ISO27001について

さて、ではまずISO27001は何のために構築するのでしょうか。そんなもの「情報を守るため」だろう、と思われるかも知れませんが、さにあらず。ISO27001では、序文の概要において、こう目的が定義されています。

リスクマネジメントプロセスを適用することによって情報の機密性，完全性及び可用性を維持し，かつ，リスクを適切に管理しているという信頼を利害関係者に与える。

なぜ、こんな書き方になっているのでしょう？

それはリスクマネジメントの考え方では、どんなに頑張っても、想定されるリスクの発生確率を“０”にすることはできない、と見なすからです。

リスク“０”が不可能な理由

例えば、原発事故を例に取ります。

福島では1000年に一度の津波が原因の電源喪失が起き、事故が発生しました。これは当然に想定しておくべきことであり、国民の怒りが集中しました。でも、電源喪失する可能性のあることは、何も津波だけではありません。例えば、ピンポイントで、隕石が原発に当たったらどうでしょう。確率はとてつもなく低いです。でも、“０”ではありませんし、対策のしようがありません。

地球規模・宇宙規模で考えればもっといろいろあります。今まで、経験のない大規模な磁気嵐、スーパープルーム、果ては宇宙人の襲来まで。荒唐無稽とは言えますが、“０”だと証明はできないのです。

つまり、「100％守り切る」と言い切ってしまう事は、嘘にしかならないんですね。「責任を持って守り切る」ならわかりますが。

ISO27001では、「この組織なら、情報を適切に扱ってくれるだろう」と利害関係者に信頼を持ってもらえるようにすることが目的なのです。