ITパスポート｜ISMSとは？情報セキュリティの7つの要素

2026年7月17日 12:28

※ 本記事にはアフィリエイトリンク（PR）を含みます。

ISMS（情報セキュリティマネジメントシステム）とは、情報セキュリティを、思いつきではなく「仕組み」として回し続ける考え方です。 そして、その仕組みで守るものを見る観点が、情報セキュリティの要素。……じつはこれ、7つあるんですよ。

「セキュリティって、結局は難しい技術の話でしょう？」と思っていた方へ。今日はちがいます。 今回の主役は、機械ではなく組織と人です。この回だけは、ITの知識がほとんど要りません。 ずっとお預けにしてきた約束も、今日ぜんぶ回収しますよ。

この記事でわかること

リスクマネジメントの流れ（特定→分析→評価→対応）と、リスク対応の3つの選択肢
情報セキュリティの要素（シラバスに並んでいるのは7つ）と、情報セキュリティポリシーの役割
ISMSと継続的改善（PDCA）の考え方、個人情報保護の取組、代表的な組織・機関と基準・ガイドライン

この記事の要点（先に結論！）

ISMS（情報セキュリティマネジメントシステム）とは、情報セキュリティを組織の仕組みとして継続的に回していく考え方です。シラバスVer.6.5は「ISMSの考え方」を理解対象としています（小分類62(2)。2026年7月時点）。
シラバスVer.6.5の用語例にある「情報セキュリティの要素」は、機密性・完全性・可用性・真正性・責任追跡性・否認防止・信頼性の7つです（2026年7月時点）。「3要素」「CIA」という語はシラバスにはありません。
リスクマネジメントは、リスクの特定・分析・評価・対応という流れで実施されます（シラバスVer.6.5 小分類62(1)。2026年7月時点）。
セキュリティの単元のリスク対応は、リスク回避・リスク共有（リスク移転、リスク分散）・リスク保有の3つです（2026年7月時点）。プロジェクトマネジメントの単元とは使う言葉が違います。
情報セキュリティポリシーは組織の中に向けたルール、プライバシーポリシーはお客さんに向けた約束で、向いている方向がちがいます。

なお、この記事の出題範囲は、シラバスVer.6.5のテクノロジ系「大分類9 技術要素／中分類23 セキュリティ／小分類62 情報セキュリティ管理」にあたります（2026年7月時点）。第15章の3本目、そしてこのシリーズの最終回です。いってみましょう！

1. 前回のつづき：道具は、持っているだけでは働かない

前回の記事の最後に、こうお伝えしました。

道具は、持っているだけでは働きません。だれが、いつ、どう使うのか。それを決めるのが、組織のルールです。
……今日は、そのルールの回です。そして、1回目からお預けにしていた「情報セキュリティの要素」も、今日ぜんぶ回収していきます。

1.1 セキュリティの地図：いまここは3回目

セキュリティは3回に分けて進んできました。最後に、もう一度だけ地図を出しますね。

1回目＝敵を知る回…どんな脅威があり、どんな攻撃手法があるのか（完了）
2回目＝守り方の回…対策の3分類と、暗号・認証・公開鍵基盤（完了）
今回（3回目）＝ルールの回…組織として、どう管理するか

シラバスも、この回の【説明】で、こう3つ並べています。「リスクマネジメントの必要性を理解する」「情報セキュリティ管理と個人情報保護の目的や基本的な考え方を理解する」「組織内外の代表的な情報セキュリティ組織・機関、及び関連する制度を理解する」（2026年7月時点・シラバスVer.6.5）。
この3文が、そのままこの記事の設計図です。 前半はリスク、真ん中は管理と個人情報、後半は組織と制度。それだけですよ。

1.2 技術用語がほとんど出てこない回

この回のシラバスには、技術用語がほとんど出てきません。 暗号も、認証も出てこない。代わりに出てくるのは、委員会・方針・保険・ガイドラインです。つまり、会社のルールづくりの話なんですね。なので、いちばん肩の力を抜いて読める回かもしれません。
そして、シラバスの【目標】はこう書かれています。「リスクマネジメント、情報セキュリティ管理に関する考え方、情報セキュリティ管理策の基本を理解する」（2026年7月時点・シラバスVer.6.5）。

原文の言葉は「考え方」と「基本」です。 制度の条文を暗記する回ではありません。安心していきましょう。

2. リスクマネジメント＝健康診断と、そのあと

まずは1つ目、リスクマネジメントからです。

2.1 リスクとは「これから起こるかもしれない、困ること」

リスクとは、これから起こるかもしれない、困ることです。ポイントは、まだ起きていないという点。
起きてしまったものは「事故」です。起きる前のものが「リスク」。まだ起きていないから、手を打てるんですね。

2.2 特定→分析→評価→対応という流れ

シラバスは、こう書いています。「リスクマネジメントは、リスクの特定・分析・評価・対応という流れで実施されること」（小分類62(1)。2026年7月時点・シラバスVer.6.5）。

この1文が、この節の骨格そのものです。 たとえるなら、健康診断と、そのあと。

リスク特定……どこが悪くなりそうかを、洗い出す（＝検査を受ける）
リスク分析……どれくらい起こりそうか、起きたらどれくらい痛いかを見る（＝どれくらい深刻かを測る）
リスク評価……どれから手をつけるかを決める（＝どれを先に治すか決める）
リスク対応……実際に手を打つ（＝治療する、生活を改める）

調べて終わりではありません。対応まで含めて、1セット。 健康診断も、結果を見て何もしなければ意味がないですよね。それと同じです。

2.3 前の3つをまとめた名前が、リスクアセスメント

ここで、用語例を見てみましょう。62(1)の用語例は、たった2つの親語でできています。

リスクアセスメント（リスク特定，リスク分析，リスク評価），リスク対応（リスク回避，リスク共有（リスク移転，リスク分散），リスク保有）（2026年7月時点・シラバスVer.6.5）

……よく見てください。「特定・分析・評価」の3つが、リスクアセスメントの括弧の中に入っています。 そして、「対応」だけが、その外に出ている。

つまり、こう読めます。さっきの4ステップのうち、前の3つをまとめて呼ぶ名前が「リスクアセスメント」。 調べて、測って、順番を決めるところまでが、アセスメントというわけですね。

（正確に言うと、シラバスが「アセスメント＝前の3つをまとめたもの」と明言しているわけではありません。用語例の括弧の中に、この3つが並んでいる、という事実です。）

2.4 見落としやすい、もう1つの本文

62(1)には、もう1文あります。ここ、見落としがちなので拾っておきますね。
「事故などが発生した際に対処するために、対応マニュアルの整備や教育・訓練などの準備が必要であること」（2026年7月時点・シラバスVer.6.5）
……事故は、起きないほうがいい。でも、起きたときにどうするかを、あらかじめ決めておく。 これも、りっぱなリスクマネジメントなんですね。

「起きたら終わり」ではなく「起きても立て直せるようにしておく」。 この単元は、そういう前向きな顔をしています。

3. リスク対応は、3つ（回避・共有・保有）

さあ、ここがこの記事の山場その1です。

3.1 シラバスの語は、この3つ

リスク対応の中身を、もう一度出します。リスク回避、リスク共有（リスク移転、リスク分散）、リスク保有（小分類62(1)。2026年7月時点・シラバスVer.6.5）。

リスク回避……そもそも、やらない（危ないサービスを閉じる、危ない作業を廃止する）
リスク共有……自分ひとりで抱えない。その中に、さらに2つあります
- リスク移転……ほかへ移す（たとえば、保険に入る）
- リスク分散……分けて置く（1か所にまとめない）
リスク保有……小さいので、受け入れて持っておく

ここ、構造に注目してください。「リスク共有」が親で、「移転」と「分散」は、その括弧の中に入っています。 つまり、4つが対等に並んでいるのではありません。 3つのうちの1つが、さらに2つに分かれているんですね。

3.2 プロジェクトマネジメントの回とは、言葉がちがう

……ここで、「あれ？」と思った方。するどいです。

プロジェクトマネジメントの回で、リスクの対応策を「回避・軽減・受容・転嫁」の4つでお伝えしました。旅行の雨リスクで覚えましたよね。傘を持つのが軽減、キャンセル保険が転嫁、というあれです。あの4つと、今日の3つ。違いますよね。
じつは、シラバス自身が、単元によって違う言葉を使っています（2026年7月時点・シラバスVer.6.5）。

プロジェクトマネジメントの単元（中分類10）の用語例……リスクの対応策（回避，軽減，受容，転嫁）＝4つ
セキュリティの単元（小分類62(1)）の用語例……リスク対応（リスク回避，リスク共有（リスク移転，リスク分散），リスク保有）＝3つ

どちらかが間違い、ではありません。単元が違うと、使う言葉も違う。それだけなんですね。

参考書によっては「回避・低減・移転・受容」の4つで教えているものもあります。それも、指しているものは近いですよ。ただ、セキュリティの単元の用語例に並んでいる語は、上の3つです。そこだけ、頭の片すみに置いておいてください。

そして、この記事の中で、うれしいつながりが1つあります。サイバー保険という語が、このあと出てきます（62(3)の用語例）。保険に入る＝リスクを、ほかへ移す。 ……そう、リスク移転そのものですよね。こう考えると、バラバラの用語がつながります。（※シラバスが「保険は移転の例です」と書いているわけではありません。こう並べると分かりやすいですよ、という整理です）

4. 情報セキュリティの要素は、7つ並んでいます

お待たせしました。この記事の目玉です。

1回目の記事で、「守るべきものの中身をどんな観点で見るか（情報セキュリティの要素）は、3回目のルールの回で扱います」とお約束していました。……ここで回収します。

4.1 「3要素」「CIA」は、シラバスにはない

まず、いちばん大事な事実から。シラバスVer.6.5の小分類62(2)の用語例には、こう書かれています（2026年7月時点）。

情報セキュリティの要素（機密性，完全性，可用性，真正性，責任追跡性，否認防止，信頼性）

……7つ、あります。

「え、3つじゃないの？」と思いましたよね。参考書やネットの記事の多くは「情報セキュリティの3要素」「CIA」と教えます。でも、シラバスVer.6.5に「3要素」「CIA」という語はありません（2026年7月時点）。原文の名前は「情報セキュリティの要素」で、括弧の中に7つが並んでいます。

なお、一般には、先頭の3つ（機密性・完全性・可用性）の英語の頭文字をとって「CIA」と呼ばれることがあります。 よく聞くあの3つは、7つの先頭3つだった、というわけですね。（この「頭文字」の話は一般的な説明で、シラバスの記述ではありません。）

4.2 7つの意味

ここで、正直にお伝えしておきます。シラバスには、7つそれぞれの定義は書かれていません。 括弧の中に、名前が並んでいるだけなんです。

なので、以下は一般的な言葉での説明として読んでくださいね。

機密性……見ていい人だけが、見られる（関係ない人には見せない）
完全性……中身が正しいまま、勝手に書き換えられていない
可用性……使いたいときに、ちゃんと使える
真正性……「本人・本物」だと確かめられる
責任追跡性……だれが、いつ、何をしたかを、あとからたどれる
否認防止……「やってない」と言い逃れできない
信頼性……やった結果が、期待どおりに間違いなく出る

……どうでしょう。どれも、漢字を素直に読んだとおりですよね。真正性は「真に正しい」、責任追跡性は「責任を追跡する」、否認防止は「否認を防止する」。 覚えるというより、読めば分かるようにできています。

4.3 1回目の脅威とつないでみる

ここで、少し気持ちのいい整理を。1回目に出てきた脅威を、この7つに当ててみます。

情報が漏れる……機密性が失われた状態
なりすまされる……真正性が確かめられていない状態
サービスが止められる……可用性が失われた状態

……つながりましたね。

脅威の名前は「何が失われるか」を言っていて、要素の名前は「何を守るか」を言っている。 表と裏なんです。7つは、暗記するものではなく、守るものを見る7つの観点、と考えてみてください。

（※この対応づけは、シラバスに書かれているものではありません。こう並べると分かりやすいですよ、というこちらの整理です。）

5. 情報セキュリティポリシー＝ルールを、文書にする

1回目でも2回目でも、「情報セキュリティポリシーの中身は、3回目のルールの回で」とお約束していました。ここで回収します。

5.1 用語例の表記

シラバスVer.6.5の小分類62(2)の用語例、その先頭にあるのがこれです（2026年7月時点）。
情報セキュリティポリシー（情報セキュリティ方針）：情報セキュリティポリシーとは、組織として、情報セキュリティをどう守るのかを決めた文書のこと。言い換えの「情報セキュリティ方針」も、括弧に入っています。

5.2 一般には、3つの層で作られる

「ポリシーって、具体的に何が書いてあるの？」と思いますよね。一般には、ポリシーは3つの層で作られると説明されます。たとえるなら、憲法・法律・マニュアルの関係です。

いちばん上の層……「わが社は情報を守ります」という宣言（＝憲法にあたる）
真ん中の層……「そのために、こういう決まりを守ります」という基準（＝法律にあたる）
いちばん下の層……「具体的には、こう操作します」という手順（＝マニュアルにあたる）

上にいくほど抽象的で、下にいくほど具体的。 だから、下は変わっても、上はめったに変わりません。 憲法と、職場のマニュアル。変わる頻度がちがいますよね。
なお、この3つの層という整理は、一般的な説明です。シラバスの用語例にあるのは「情報セキュリティポリシー（情報セキュリティ方針）」という語までで、層の分け方は書かれていません（2026年7月時点・シラバスVer.6.5）。

5.3 用語例の並びが、そのまま1本の線になる

ここからが、この節のいちばんおもしろいところです。62(2)の用語例を、原文の並び順のまま見てください（2026年7月時点・シラバスVer.6.5）。

情報セキュリティポリシー（情報セキュリティ方針），情報セキュリティの要素（…7つ…），情報セキュリティリスク，リスクコミュニケーション，情報セキュリティインシデント，継続的改善（PDCA など）

……これ、順番に読むと、1本の線になっていませんか。

情報セキュリティポリシー……ルールを決めて、文書にする
情報セキュリティの要素……何を守るのか（7つの観点）を決める
情報セキュリティリスク……そのうえで、リスクを見る
リスクコミュニケーション……関係者どうしで、リスクの情報を伝え合う
情報セキュリティインシデント……事故が起きたら、対処する
継続的改善（PDCA など）……そして、改善し続ける

ルールを決め、何を守るかを決め、リスクを見て、伝え合い、事故に備え、改善し続ける。 ……これが、「ポリシーの中身」の正体です。

ポリシーとは、この一連の流れを文書にしたもの、と考えてみてください。3つの層を暗記するより、こちらのほうがずっと大事ですよ。

なお、ここに出てくる表記の注意を1つ。シラバスの語は「情報セキュリティインシデント」です（2026年7月時点）。「コンピュータセキュリティインシデント」ではありません。インシデントとは、セキュリティ上の「困った出来事」のこと。事故そのものだけでなく、ヒヤリとした出来事も含む言い方ですね。

6. ISMS＝仕組みとして、回し続ける

さあ、ISMSです。じつはもう、下ごしらえは終わっています。

6.1 ISMSとは、思いつきでやらないこと

シラバスの62(2)の項目本文には、こう書かれています。「情報セキュリティ管理の必要性と情報セキュリティマネジメントシステム（ISMS：Information Security Management System）の考え方」（2026年7月時点・シラバスVer.6.5）。

ISMS（アイエスエムエス。Information Security Management System：情報セキュリティマネジメントシステム）とは、情報セキュリティを、思いつきではなく「仕組み」として回し続けるやり方のことです。
ここ、原文の言葉に注目してください。求められているのは「考え方」。認証の取り方でも、規格の条文でもありません。 肩の力を抜いて大丈夫ですよ。

6.2 継続的改善（PDCA）＝あの味見の話

では、どう回すのか。答えは、用語例の最後に書いてあります。継続的改善（PDCA など）（2026年7月時点・シラバスVer.6.5）。

……PDCA、覚えていますか。IT戦略の回で、計画→実行→評価→改善のくり返し。料理の味見と改善のイメージ、とお伝えしました。作って、味見して、直して、また作る。 ISMSは、それをセキュリティでやることなんです。
一度きりの大掃除ではありません。決めて、やって、見直して、また決める。それを、ずっと続ける。 ……だから「継続的改善」なんですね。

ここも表記に注意を。用語例の親は「継続的改善」で、PDCAはその括弧の中、しかも「など」つきです（2026年7月時点）。PDCAは、回し方の一例、というわけですね。

7. 個人情報保護：法律を守るために、組織は何をするか

3つ目のテーマ、個人情報保護です。

7.1 まず、線を引いておく

「あれ、個人情報保護法って、前にやりましたよね？」……そのとおりです。個人情報保護法そのもの（要配慮個人情報や第三者提供のルールなど）は、法務の回でくわしく扱いました。あちらは、法律の中身の話。

こちらの回は、「法律を守るために、組織が何をするか」の話です。

実はこの線引き、シラバス自身が引いています。 62(3)の項目本文はこうです。「個人情報保護の必要性、法律やプライバシーマーク制度などの取組の目的」（2026年7月時点・シラバスVer.6.5）。

……「法律や」とだけ書いて、個々の法律名を1つも挙げていないんです。 法律の名前は、法務の単元にずらりと並んでいます。シラバスが、法律を法務側に置いているというわけですね。そして、ここでも原文の言葉は「目的」まで。制度の細かい要件ではありません。

7.2 プライバシーポリシー＝社外向けの「貼り紙」

62(3)の用語例は、たった3つです（2026年7月時点・シラバスVer.6.5）。順に見ていきましょう。

プライバシーポリシー（個人情報保護方針）とは、「うちは、あなたの個人情報をこう扱います」と、会社が外に向けて出す約束の文書です。

……アプリの登録画面で「プライバシーポリシーに同意する」にチェックを入れたこと、ありませんか。 あれです。もう、毎日のように見ているんですよ。

たとえるなら、お店の入口の貼り紙。お客さんに見せるためのものですね。

ここで、5節のポリシーと並べてみましょう。

情報セキュリティポリシー……社内に向けたルール（うちの社員は、こう守ります）
プライバシーポリシー……社外に向けた約束（お客さんの情報を、こう扱います）

名前が似ていますが、向いている方向がちがう。 ここ、混同しやすいので、セットで覚えてしまいましょう。

（※ この対比も、シラバスに書かれているものではなく、覚えやすくするための整理です。）

7.3 安全管理措置とサイバー保険

安全管理措置とは、個人情報を安全に管理するために、実際に講じる手立てのことです。
シラバスには、この語の中身は書かれていません。ただ、個人情報保護委員会のガイドライン（通則編）では、講ずべき安全管理措置として組織的・人的・物理的・技術的の4つが示されています（2026年7月時点）。

……ここ、ちょっと感動しませんか。

人的・技術的・物理的。……この3つの棚、2回目の記事でずっと使ってきた棚ですよね。そこに「組織的」が1つ加わって、4つになる。

そして、その「組織的」こそが、今日のテーマです。シリーズの最後に、棚が1段ふえた、というわけですね。

（※くり返しますが、この4つはシラバスの記述ではなく、個人情報保護委員会のガイドラインの整理です〈2026年7月時点〉。）

用語例の最後は、サイバー保険。サイバー攻撃で被害が出たときに備える保険です。3.1でお伝えした「リスク移転」の、まさに実例ですね。火災保険のセキュリティ版、と考えると分かりやすいですよ。

7.4 プライバシーマーク＝適切だと認められた証

項目本文にもう1つ、名前が出ています。プライバシーマークです。

プライバシーマークとは、個人情報の取り扱いが適切だと認められた事業者が使える、あのマークのこと。第三者の団体が審査して付与しています（2026年7月時点）。
企業のWebサイトの下のほうで、見かけたことがあるかもしれませんね。「うちは、ちゃんとやっています」を、第三者に認めてもらった証というわけです。

シラバスが求めているのは「取組の目的」まで。制度の細かい要件は、追わなくて大丈夫ですよ。

8. 情報セキュリティ組織・機関：だれが、何をしてくれるのか

ここは、この単元でいちばん名前の多い場所です。用語例が10個並びます。でも、大丈夫。まとめて眺めると、すっと入ります。
なお、以下のグループ分けは覚えやすくするためのこちらの整理です。シラバスがそう分類しているわけではないので、そこだけご注意くださいね。

8.1 社内に置くもの：情報セキュリティ委員会・CSIRT・SOC

まずは、自分の組織の中に置くものから。ここは少していねいにいきますよ。

情報セキュリティ委員会……組織の中で、セキュリティの方針や対策を決める会議体
CSIRT（シーサート）……セキュリティの事故が起きたときに、対応するチーム
SOC（ソック。Security Operation Center）……ふだんから、システムを監視するチーム

CSIRTとSOC、この2つは混同しやすいペアです。でも、たとえで一発です。

SOC＝警備室のモニターを、ずっと見ている人
CSIRT＝119番で駆けつける、消防隊

ふだん見張るのがSOC。起きたら駆けつけるのがCSIRT。 ……役割が、はっきり分かれていますね。

ここで、表記の注意を2つ。シラバスの用語例は「CSIRT」の5文字だけで、正式名称も日本語訳も書かれていません（2026年7月時点）。また、SOCの原文表記は「SOC（Security Operation Center）」と英字のみです。（※「見張る／駆けつける」という対比は、一般にそう説明されるもので、シラバスに定義や違いは書かれていません）

8.2 届け出るところ：3つの届出制度

次は、「やられたら／見つけたら、知らせる」窓口です。3つセットで並んでいます。

コンピュータ不正アクセス届出制度……不正アクセスされたら、届け出る
コンピュータウイルス届出制度……ウイルスに出会ったら、届け出る
ソフトウェア等の脆弱性関連情報に関する届出制度……ソフトの穴を見つけたら、届け出る

名前が、そのまま中身ですよね。この3つは、IPA（情報処理推進機構）が受付の窓口になっています（2026年7月時点）。1回目に出てきた「脆弱性」、覚えていますか。見つけた人が黙っていると、直りません。だから、知らせる先が用意されているんですね。

8.3 国や業界の仕組み：ISMAP・J-CSIP・J-CRAT・SECURITY ACTION

残りは、名前と一言で十分です。さらっといきましょう。

ISMAP（イスマップ。政府情報システムのためのセキュリティ評価制度）……政府が使うクラウドサービスを、あらかじめ評価しておく制度
J-CSIP（ジェイシップ。サイバー情報共有イニシアティブ）……サイバー攻撃の情報を、参加組織で共有する枠組み。2011年10月に、経済産業省の協力のもとIPAが発足させました（2026年7月時点）
サイバーレスキュー隊（J-CRAT。ジェイ・クラート）……標的型サイバー攻撃の相談を受け付け、被害の拡大や連鎖を防ぐ支援をする（2026年7月時点）
SECURITY ACTION……中小企業が「情報セキュリティ対策に取り組みます」と自ら宣言する制度。一つ星・二つ星の2段階があります（2026年7月時点）

J-CRATは、名前がそのまま答えです。サイバーレスキュー隊。 ……助けに来てくれる人、というわけですね。8.1のCSIRTが社内の消防隊なら、J-CRATはその国版、と考えるとつながりますよ。

表記に注意を1つ。シラバスの原文は「J-CSIP（サイバー情報共有イニシアティブ）」と略称が先、「サイバーレスキュー隊（J-CRAT）」と日本語が先です（2026年7月時点）。この2つ、語順が逆なんですね。

9. 各種の基準・ガイドライン：名前と、だれ向けか

9.1 シラバスの言葉は「利用されていること」

62(5)の項目本文は、こうです。「コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準、システム管理基準などが、情報システムに関する規範として利用されていること」（2026年7月時点・シラバスVer.6.5）。

……文末を見てください。「利用されていること」。

中身を暗記しろ、とは書いていません。 「そういうものが使われている」と知っていればいい、という書き方なんですね。名前と、だれ向けかが言えれば十分ですよ。

9.2 名前と、だれ向けか

用語例は6つ。項目本文の3つと合わせて、こう並べておきます（2026年7月時点・シラバスVer.6.5）。

サイバーセキュリティ経営ガイドライン……経営者向け
中小企業の情報セキュリティ対策ガイドライン……中小企業向け（8.3のSECURITY ACTIONと関係が深い制度です）
情報セキュリティ管理基準……管理のものさし
サイバー・フィジカル・セキュリティ対策フレームワーク……リアルとITがつながる時代向け（中黒が入るのが原文の表記です）
IoTセキュリティガイドライン……IoT（アイオーティー。モノがネットにつながる仕組み）向け
PCI DSS（ピーシーアイ・ディーエスエス）……クレジットカード業界向け
コンピュータウイルス対策基準／コンピュータ不正アクセス対策基準／システム管理基準……情報システムの規範として利用されている3つ

9.3 「監査基準」と「管理基準」は、別ものです

ここだけ、線を1本引かせてください。名前がそっくりで、担当する単元がちがうものがあります。

システム監査基準……システム監査の回の担当
システム管理基準／情報セキュリティ管理基準……この回の担当

情報セキュリティ監査そのものも、システム監査の回で扱いました。あちらは「調べる側」の話。こちらは「調べるときの、ものさし」の側というわけですね。

10. 最後に：ここまで、36本

この記事で、セキュリティの3回が完結します。そして、じつはそれだけではありません。

10.1 セキュリティは、これで一周しました

まず、3回分の地図を、もう一度。

1回目＝敵を知る回……脅威と攻撃手法
2回目＝守り方の回……対策・暗号・認証・公開鍵基盤
3回目＝ルールの回……組織として、どう管理するか（今回・完了）

敵を知り、道具を持ち、ルールを決めた。 ……これで、セキュリティは一周です。

10.2 そして、この記事がシリーズの最終回です

ここまで、36本。おつかれさまでした。

はじめの回で、「サーバってなに？」からスタートした方も多いはずです。そして、いま。あなたは、リスクマネジメントとISMSの話を、最後まで読み終えました。そして、セキュリティが最後に来たのには、理由があります。 今日の記事を思い出してください。

PDCA……ストラテジ系（企業活動の単元）にも出てきた語
個人情報保護法……ストラテジ系（法務の単元）の担当
システム監査・内部統制……マネジメント系（システム監査の単元）の担当
暗号・認証……テクノロジ系（前回の単元）の担当

……気づきましたか。

セキュリティは、3分野の知識が全部あつまってくる場所なんです。 ストラテジ系も、マネジメント系も、テクノロジ系も、最後にここで合流する。だから、最終回にふさわしい単元だったというわけですね。

ITパスポートには、分野ごとの基準（各300点）もあります（2026年7月時点）。3分野を一周したことには、ちゃんと意味があるんですよ。

10.3 次の一歩

では、ここから何をしましょうか。3つ、置いておきますね。

1つ目は、地図に戻ること。 シリーズの目次は、出題範囲の全体地図です。最初に渡したあの地図を、いまのあなたが見ると、景色が変わっているはずですよ。抜けているところがあれば、そこだけ拾いに行けば大丈夫です。

2つ目は、解いてみること。 解説は、これで全部無料でお届けしました。 もっと解きたくなったら、ストラテジ系・マネジメント系の問題集を用意しています（末尾のリンクから）。なくても合格できます。でも、あると近道です。

3つ目は……これは、まだ読まないでください。

ITパスポートに受かったら、次は何を取るのか。 その話も、じつは1本用意してあります。……でも、それは、合格してから読んでください。 今日は、ここまでで十分です。

11. まとめ：3行でふりかえり

リスクマネジメントは、リスクの特定・分析・評価・対応という流れで実施されます。前の3つをまとめた名前がリスクアセスメントで、リスク対応の選択肢は、リスク回避・リスク共有（リスク移転、リスク分散）・リスク保有の3つです。
情報セキュリティの要素は、機密性・完全性・可用性・真正性・責任追跡性・否認防止・信頼性の7つ。そのルールを文書にしたのが情報セキュリティポリシーで、それを仕組みとして回し続ける考え方がISMS（継続的改善＝PDCA）です。
個人情報保護では、プライバシーポリシー・安全管理措置・サイバー保険・プライバシーマーク制度を押さえ、組織・機関はCSIRT（起きたら駆けつける）とSOC（ふだん見張る）の対比から入るのがおすすめです。

いかがでしたか？　「情報セキュリティの要素は7つ」。 ……これだけでも、今日は持ち帰ってもらえたら十分です。

そして、36本、おつかれさまでした。 ここまで読み通せた人は、もう「ITはよく分からない」人ではありませんよ。

12. よくある質問（FAQ）

Q1. 情報セキュリティの3要素とは何ですか？

A. シラバスVer.6.5の用語例にある語は「情報セキュリティの要素」で、機密性・完全性・可用性・真正性・責任追跡性・否認防止・信頼性の7つです（小分類62(2)。2026年7月時点）。じつは「3要素」「CIA」という語は、シラバスにはありません。一般に、先頭の3つ（機密性・完全性・可用性）の英語の頭文字をとって「CIA」と呼ばれることがあり、それが「3要素」と紹介されているようです。7つ並んでいる、と覚えておくのがいちばん安全ですよ。

Q2. ISMSとは何ですか？

A. 情報セキュリティマネジメントシステム（Information Security Management System）のことで、情報セキュリティを思いつきではなく「仕組み」として継続的に回していく考え方です。シラバスVer.6.5は、小分類62(2)で「ISMSの考え方」を理解対象としています（2026年7月時点）。回し方の代表が、用語例にある「継続的改善（PDCA など）」。一度きりの大掃除ではなく、決めて・やって・見直して・また決める、という点がポイントです。

Q3. リスク対応の4つとは何ですか？

A. シラバスVer.6.5では、単元によって使う言葉がちがいます（2026年7月時点）。セキュリティの単元（小分類62(1)）の用語例は「リスク回避，リスク共有（リスク移転，リスク分散），リスク保有」で、リスク対応は3つです。一方、プロジェクトマネジメントの単元（中分類10）の用語例は「リスクの対応策（回避，軽減，受容，転嫁）」で、こちらは4つ。どちらかが間違いというわけではなく、単元が違うと言葉も違う、というだけですよ。

Q4. 情報セキュリティポリシーとは何ですか？

A. 組織として情報セキュリティをどう守るかを決めた文書のことです。シラバスVer.6.5の用語例の表記は「情報セキュリティポリシー（情報セキュリティ方針）」です（小分類62(2)。2026年7月時点）。一般には、基本方針・対策基準・実施手順の3つの層で作られると説明されます（※この3層はシラバスの記述ではありません）。同じ用語例の並びを見ると、何を守るか（要素）を決め、リスクを見て、伝え合い、事故に備え、改善し続ける、という流れが読み取れますよ。

Q5. CSIRTとSOCの違いは何ですか？

A. どちらもシラバスVer.6.5の小分類62(4)の用語例です（2026年7月時点）。一般には、SOC（Security Operation Center）がふだんからシステムを監視する役割、CSIRTが事故が起きたときに対応する役割と説明されます。たとえるなら、SOCは警備室のモニターを見ている人、CSIRTは119番で駆けつける消防隊。なお、シラバスに定義や違いの記述はありません（CSIRTは原文では5文字の略称のみです）。

Q6. ITパスポートのセキュリティは、どこまで覚えればいいですか？

A. シラバスVer.6.5の中分類23（セキュリティ）に「〜は問わない」という限定はありません（2026年7月時点）。ただし、小分類62の【目標】は「情報セキュリティ管理策の基本を理解する」、62(2)は「ISMSの考え方」、62(3)は「取組の目的」、62(5)は基準・ガイドラインが「規範として利用されていること」という書き方です。原文の言葉が「基本」「考え方」「目的」で止まっているので、まずは名前と、何のためのものかを言えることを目標にするのがおすすめですよ。