ISMS（ISO/IEC 27001）とPDCAサイクル｜情報セキュリティマネジメント試験対策

情報セキュリティマネジメント試験（科目A・科目B）の根幹となるのが「ISMS（情報セキュリティマネジメントシステム / JIS Q 27001）」です。

1. ISMSの概要と目的

ISMSとは、組織の情報資産について「機密性・完全性・可用性（CIA）」をバランスよく維持・改善するための包括的なマネジメント体系です。技術的なセキュリティ対策だけでなく、「経営陣のコミットメント」「組織体制」「規程の運用」「内部監査」といった組織的マネジメントを重視します。

フェーズ	主な活動内容	SG試験での出題論点
Plan (計画)	セキュリティ方針の策定、ISMSの適用範囲（スコープ）の決定、リスクアセスメント（リスク基準・特定・分析・評価）、リスク対応計画の策定	適用範囲は全社だけでなく特定事業部門に限定することも可能。
Do (導入・運用)	リスク対応策の実施、従業員への教育・訓練、セキュリティ規程の運用、インシデント発生時の対応	日常のログ記録や運用記録の証跡保持。
Check (監視・レビュー)	ISMSのパフォーマンス測定、内部監査の実施、セキュリティインシデントの分析	内部監査員は被監査部門から独立した客観的立場の者が担当する。
Act (改善)	マネジメントレビュー（経営陣への報告と指示）、不適合に対する是正処置、ISMSの継続的改善	経営陣がISMSの見直しと改善の指示を出す。