ISO27001の予備知識

ISO27001とは、情報セキュリティマネジメントシステム(Information Security Management System 以降ISMS）を構築・運用し、継続的に改善するための規格です。

ISMSとは、情報セキュリティマネジメントシステム（Information Security Management System）の略称で、情報セキュリティを最適化するための仕組みのことです。なお、マネジメントシステムとは、単純な管理のための仕組みではなく、継続的に改善を持続するための要素を取り込んだ仕組みです。

JIS Q 27001は、ISO27001の翻訳に近いものです。内容は同じものとお考えいただいて支障はございません。

認証そのものは別ですが、同じ価値のものとお考えいただいて支障はございません。

また、日本における審査の際の適用規格は一般的にはJIS Q 27001なのですが、JIS Q 27001の改訂が間に合っていない場合は、改訂版が発行されるまでの繋ぎで例外的にISO27001が適用されることがあります。

セキュリティパフォーマンスの向上により、損害の予防・発生時の損害抑制に繋がりますので、セキュリティの事故を無くしたり、減らすことが可能となります。

また、情報の管理をすることで業務の効率を上げ、「誰がどの情報をどこに持っているのか」という状況を把握して、適切な共有をすることが業務の冗長性向上へと繋がります。

プライバシーマークが個人情報の保護をテーマとしているのに対して、ISO27001は、情報セキュリティリスクのマネジメントをテーマとしております。また、ISO27001で言う情報資産は、個人情報を含んだ情報全般を対象としています。

目的とその組織が何を重視するかによって結論は変わるのではないでしょうか。ご質問いただいた場合は、少なくとも目的をお聞かせいただいたうえでアドバイスさせていただいております。

ISO27001は規格要求、ISMSは「仕組み」です。どのようにISMSを構築して運用するのかを、規格として定めたものがISO27001なので、そもそも比較すべきものではありません。

ちなみに、ISO27001が発行される前、日本では「ISMS適合性評価制度」という名称の制度が運用されていました。その名残がISMS＝ISO27001という認識であろうかと思われます。

一般財団法人日本規格協会の書籍販売サイトで販売されています。

ISMSの目標とは、目的を達成する過程でのパフォーマンスを改善するための指標のようなものです。

例えば、特定のミスの件数を昨年比で減らすといった目標が考えられます。