情報セキュリティ管理（ISMS・リスクアセスメント）とは？わかりやすく解説

情報セキュリティ管理（ISMS・リスクアセスメント）をイメージでつかむ

情報セキュリティは技術だけでなく、組織として管理する仕組みが重要です。まずリスクアセスメントで危険を洗い出し（特定）、発生可能性と影響度から大きさを見積もり（分析）、優先度を決めます（評価）。次にリスクへの対応を回避・低減・移転（共有）・受容（保有）から選びます。これらを方針（情報セキュリティポリシー）にまとめ、PDCAで継続的に改善する仕組みがISMS（情報セキュリティマネジメントシステム）で、国際規格はISO/IEC 27001です。

たとえると：家の防犯と同じ。どこが危ないか調べ（特定）、被害の大きさを見積もり（分析）、優先順位を決め（評価）、鍵を増やす・保険に入る・諦めるなどを選び（対応）、定期的に見直す（PDCA）流れです。

情報セキュリティは、機器やソフトの対策だけでなく「組織としての管理のしくみ」が重要です。その中心がリスクアセスメントで、①どんな危険があるか洗い出す（リスク特定）、②発生のしやすさと影響の大きさから危険度を見積もる（リスク分析）、③どれから対処するか優先順位を決める（リスク評価）、の順に進めます。対応は4分類から選びます。危険な行為自体をやめる「回避」、対策で被害を減らす「低減」、保険や委託で他者に負担してもらう「移転」、小さいリスクは承知の上で受け入れる「受容」です（移転＝保険、が取り違えやすいポイント）。試験の問題文では、JIS Q 27000 の用語で「回避・共有・低減・保有」と書かれることも多く、共有＝移転、保有＝受容と同じ意味です。こうした方針をまとめ、PDCAサイクルで回し続けるしくみがISMSで、国際規格はISO/IEC 27001です。ISMSで最初に行うのは適用範囲の決定で、情報セキュリティポリシーはトップマネジメントが定める基本方針・守るルールの対策基準・具体的なやり方の実施手順の3層です。運用中は、入退室管理や遠隔地のバックアップなどの物理的対策、教育などの人的対策、通信の遮断などの技術的対策を組み合わせ、事故が起きたら決めてある経路で速やかに報告し、CSIRTが被害の拡大を防ぎます。C（パフォーマンス評価）では内部監査が適合性と有効性を確かめ、A（改善）では是正処置で直します。一度作って終わりではなく継続的に見直す、という点も試験で問われます。

押さえどころ

• 最初にISMSの適用範囲を決める。経営者は丸投げせず自ら主導
• 脅威＝損害の原因／脆弱性＝つけ込まれる弱点。アセスメントは特定→分析→評価
• 対応は 回避／低減／共有（移転）／保有（受容） から選ぶ
• 内部監査＝C（パフォーマンス評価）、是正処置＝A（改善）