ISMSの活動はどれか ITILやCMMIとどう見分けるか
ITパスポート試験 令和8年度 問100 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSの活動に関する記述として，最も適切なものはどれか。
- ア
企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。
- イ
顧客の満足度を高めるために，ITサービスの品質を継続的に改善する。
- ウ
情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。
- エ
製品とサービスの開発プロセスの成熟度を評価し，改善する。
会話形式の解説
講師今回は、ISMSの活動にあたる記述を選ぶ問題です。ISMSは情報セキュリティマネジメントシステムの略です。似たような「管理の仕組み」の説明が選択肢に並んでいるので、それぞれの記述が何を目的にした活動なのかに注目してください。
受験者私はこういう略語がいつも混ざってしまいます。どの選択肢も「改善する」で終わっているので、どれもISMSに見えてしまいました。
講師まず目的を思い出しましょう。ISMSは、組織の情報資産の機密性・完全性・可用性を守るための仕組みです。つまり、守る対象は「情報」です。
受験者それなら、情報資産を洗い出して、リスクを特定・分析・評価して管理する、という記述がいちばん近そうです。
講師そのとおりです。それがISMSの中心となる活動です。情報資産の洗い出しから評価までの流れをリスクアセスメントといいます。リスクは、脅威と脆弱性、つまり「狙ってくるもの」と「守りの弱いところ」を踏まえて見積もります。ISMSはISO/IEC 27001（JIS Q 27001）で規格化されています。
受験者顧客満足度を高めるためにITサービスの品質を継続的に改善する、という記述で迷いました。ISMSも継続的に改善するのではないですか。
講師よいところに気づきました。ISMSもPDCAサイクルで継続的に改善するので、この言葉だけでは見分けられません。この記述の改善の対象は「ITサービスの品質」で、目的は「顧客満足」です。これはITサービスマネジメントの活動で、ITILで扱われる考え方に近いものです。
受験者コスト削減や品質向上のために業務プロセスを改善する、という記述は、業務改善の話でしょうか。
講師はい。品質マネジメントや、BPR（業務プロセスの抜本的な見直し）を含む業務改善の活動にあたります。情報資産を守るという目的とは別のものです。
受験者残りの、開発プロセスの成熟度を評価して改善する、という記述は、どの仕組みですか。
講師それはCMMI（能力成熟度モデル統合）の活動です。開発組織のプロセスがどの段階まで成熟しているかを評価し、改善するためのモデルです。
受験者整理すると、情報資産のリスクならISMS、サービス品質ならITIL、業務効率やコストなら業務改善、開発プロセスの成熟度ならCMMI、ということですね。
講師よく整理できています。「継続的に改善」はどの仕組みにも出てくる言葉なので、試験では引っかけに使われやすいです。何を改善するのか、その対象を見る習慣をつけておくと確実に選べます。
まとめ
ISMS（情報セキュリティマネジメントシステム）は、組織の情報資産の機密性・完全性・可用性を守るための仕組みです。中心となる活動は、情報資産を洗い出し、リスクを特定・分析・評価して管理することで、この評価までの流れをリスクアセスメントといいます。ITサービスの品質を改善するのはITサービスマネジメント（ITIL）、開発プロセスの成熟度を評価するのはCMMI、コスト削減のための業務プロセス改善は品質マネジメントや業務改善の活動です。ISMSもPDCAで継続的に改善するため、「継続的に改善」という言葉ではなく、何を改善するのかで見分けることが大切です。
解答・解説
正解はウです
この問題のテーマ
ISMS（情報セキュリティマネジメントシステム）の活動内容を、品質マネジメントやITサービスマネジメント、CMMIなど、ほかの管理の仕組みの活動と見分けられるかを問う問題です。
解き方の考え方
まず、ISMSの目的が「情報資産の機密性・完全性・可用性を守ること」だと思い出します。そのうえで、選択肢がそれぞれ何を目的にした活動かを読み取ります。コスト削減、顧客満足、開発プロセスの成熟度といった言葉は、ほかの管理体系やモデルの活動を表しています。情報資産とリスクを扱っている記述を選べば正解にたどり着けます。
選択肢ごとの解説
- ×ア 企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。業務プロセスを改善してコスト削減や品質向上をはかるという記述は、品質マネジメントや、BPR（業務プロセスの抜本的な見直し）を含む業務改善の活動にあたります。情報資産を守るというISMSの目的とは別のものです。
- ×イ 顧客の満足度を高めるために，ITサービスの品質を継続的に改善する。顧客満足度を高めるためにITサービスの品質を継続的に改善するという記述は、ITサービスマネジメントの活動です。ITILで扱われる考え方に近いものです。ISMSが中心に置くのはサービス品質の向上ではなく、情報の保護です。
- ○ウ 情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。情報資産を洗い出し、リスクを特定・分析・評価したうえで管理するという記述は、ISMSの中心となる活動です。洗い出しから評価までの流れはリスクアセスメントと呼ばれます。リスクは、脅威と脆弱性を踏まえて見積もります。
- ×エ 製品とサービスの開発プロセスの成熟度を評価し，改善する。製品やサービスの開発プロセスがどれだけ成熟しているかを評価し、改善するという記述は、CMMI（能力成熟度モデル統合）の活動です。開発組織のプロセス改善を目的にしたモデルなので、ISMSの説明にはあたりません。
補足
ISMSもPDCAで継続的に改善を行うので、「継続的に改善する」という言葉だけを手がかりにイを選ばないよう注意してください。見分けるときは、改善の対象が情報資産のリスクなのか、サービス品質や業務効率なのかに注目すると確実です。
POINT
- ISMSは、組織の情報資産の機密性・完全性・可用性を維持するための仕組みです。
- ISMSでは情報資産を洗い出し、リスクを特定・分析・評価して管理します（この評価までの流れをリスクアセスメントといいます）。
- ISMSはPDCAサイクルで継続的に運用・改善され、ISO/IEC 27001（JIS Q 27001）で規格化されています。
- ITサービスの品質改善はITサービスマネジメント（ITIL）、開発プロセスの成熟度評価はCMMIの活動です。