情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステム(じょうほうセキュリティマネジメントシステム、ISMS: Information Security Management System)は、組織における情報資産のセキュリティを管理するための枠組み。情報セキュリティマネジメントとは、ISMSを策定し、実施すること。[1]
ISMSの目標は、リスクマネジメントプロセスを適用することによって、情報の機密性、完全性及び可用性を維持し、かつ、リスクを適切に管理しているという信頼を利害関係者に与える[2][3]ことにある。
ISMSの標準がISO 27001およびそれと同等なJIS Q 27001に規定されているので、本稿では2016年現在におけるこれらの標準の最新版であるISO/IEC 27001:2013(JIS Q 27001:2014と同等)を基に、ISMSを説明する。
ISOにおける位置づけ
編集ISMSを規定したISO/IEC 27001:2013は、ISOのさまざまなマネジメントシステム規格(MSS Management System Standard)の一つであり[4]、MSSの共通化を図った附属書SL[5]に沿って規格化されている。これにより、品質、環境、ITサービス、事業継続のマネジメントシステムを規定したQMS、EMS、ITSMS、BCMSとの整合性が図られている[4]。
また、2013年の改定以降、リスクマネジメントの国際規格であるISO 31000:2009(JIS Q 31000:2010)との整合性も図られている[4]。
ISO/IEC JTC 1 (情報技術)の SC27委員会 (セキュリティ技術副委員会)には、情報セキュリティのためのマネジメントシステム規格の開発を担当する作業グループがあり、そこでISMSの構築のしかたと認定の基準を審議して国際規格 ISO/IEC 27001になり、その翻訳が日本産業規格 (JIS) になっている。SC27は、ISMS関連の国際規格を他にもいくつか標準化しており、それらの規格は、ISMS ファミリ規格と呼ばれる(ファミリ規格の詳細はJIS Q 27000 箇条 0.2 を参照)。
全般に関わる用語
編集本節ではISMS全般を理解する上で必要となる用語を解説する。
リスク
編集リスクとは、「目的に対する不確かさの影響」[6]を指し、情報セキュリティリスクは、「脅威が情報資産のぜい弱性又は情報資産グループのぜい弱性に付け込み、その結果、組織に損害を与える可能性に伴って生じる[7]。なお、ISMS の文脈においては、情報セキュリティリスクは、「情報セキュリティの目的に対する不確かさの影響」と表現することがある[7]。
なお、情報資産は、ISOの原文では「資産」(asset)だが、誤解を招かぬようJISでは「情報資産」としている[8]
リスクを起こす潜在的要因をリスク源といい[9]、その典型例として脅威と脆弱性がある[10]。
脅威(threat)とは、「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」を指し[11]、脅威は人為的脅威と環境的脅威に分類でき、人為的脅威はさらに意図的脅威(deliberate threat)と偶発的脅威(accidental threat)に分類できる[12]。
脆弱性(vulnerability)とは、一つ以上の脅威によって付け込まれる可能性のある資産または管理策(後述)の弱点を指す[13]。
ISMSでは、各リスクに対しリスクレベルというリスクの大きさを割り振る。リスクレベルはリスクの起こりやすさと起こった場合の結果によって決定する[14]。リスクレベルの決定法としてJIPDECは資産価値、脅威、脆弱性を数値化し、
- リスクレベル=資産価値×脅威×脆弱性
として算出する方法を例示している。
経済的な理由などにより、既知のリスクをすべて取り除くことが現実的でないこともあるので、ISMSでは組織が受容可能なリスクの水準を定め、リスク保有する事を許容している[15][14][16]。
情報セキュリティインシデント
編集情報セキュリティ事象(information security event)とは、情報セキュリティ方針への違反若しくは管理策の不具合の可能性,又はセキュリティに関係し得る未知の状況を示す,システム,サービス又はネットワークの状態に関連する事象のことである[17]。
情報セキュリティインシデント(information security incident)は、望まない単独若しくは一連の情報セキュリティ事象,又は予期しない単独若しくは一連の情報セキュリティ事象であって,事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの[18]。
情報セキュリティインシデント管理(information security incident management)情報セキュリティインシデントを検出し,報告し,評価し,応対し,対処し,更にそこから学習するためのプロセス[19]。
継続した情報セキュリティの運用を確実にするためのプロセスを情報セキュリティ継続(information security continuity)[20]という。
実施事項、組織体制、方針
編集実施事項
編集ISMSを行う組織には以下が求められる:
- ISMSに関する方針を定め[21]、要求事項を満たすことや継続的改善へのコミットメントを実証する[21]。
- リスクマネジメントなどISMSに関する計画を策定する[22]。
- 必要な資源や力量を確保する[23]。
- 策定した計画を運用する[24]。
- ISMSの実施に関するパフォーマンスと有効性を評価する[25]。
- 不適合が発生した場合に是正措置を行い、ISMSを継続的に改善する[26]。
これらを行うため、ISMSではプロセスアプローチという手法が取られる[27]。プロセスアプローチでは経営活動をインプットをアウトプットに変換するプロセスとみなし[27]、これらのプロセスをシステムとして組織に適応・管理する[27]。
一方、2005年度版のISO/ETCでは強調されていた[28]PDCAサイクルは2016年時点での最新版である2013年度版では大きく後退しており、ISMSの規格本体であるISO/IEC 27001:2013(JIS Q 27001:2014)にはPDCAに関する記述はない[29]。ISO MSSの共通基盤を与える附属書 SLでも、既存のマネジメントシステム規格で様々なモデルが採用されているという理由でPDCAサイクルなど1つのモデルを採用する事を避けている[30]。
ただし附属書 SL ではPDCA サイクルの概念を受け入れており[30][31]、JIPDECもPDCAサイクルを採用する事でISMSのプロセスが整理されるとしている[29]。
組織体制
編集トップマネジメントとは最高位で組織を指揮し、管理する個人または人々の集まりである[32]。トップマネジメントは情報セキュリティ目的(後述)ないしその枠組の提示やISMSの組織プロセスへの統合と必要な資源の提供を行い、ISMSに関して重要性の伝達、成果達成の保証、指揮、支援を行う[33]。
トップマネジメントはISMSがJIS Q 27001:2014の要求事項に適合する事を確実にし、ISMSのパフォーマンスをトップマネジメントに報告する責任及び権限を割り当てねばならない[34]。
そのような責任と権限を保証する具体的な組織体制をJIS Q 27001:2014は明示していないが、JIPDECは一例として、ISMSに関して中心的な役割を担う情報セキュリティ委員会を組織内に設置を推奨している[35]。情報セキュリティ委員会の役割は例えばリスクマネジメントの環境整備、ISMS関連文書の決定、施策の検討と改訂、発生したセキュリティ問題の検討、ISMS運用の評価結果に基づいた改善といった事を行う事である[35]。JIPDECはその他にも情報セキュリティ委員会に位置し、ISMSの構築・運用の実務や部署間の調停を担当する情報セキュリティ策定・運用チーム、専門家・外部コンサルタントの設置を推奨している[35]。
情報セキュリティの方針群
編集ISMSを実施する組織は、組織の能力に影響を与える内部および外部の課題や[36]、ISMSに関連する利害関係者の情報セキュリティに関する要求事項[37]、他の組織との依存関係[38]などを特定し、これらをもとにしてISMSの適応範囲の境界線や適応可能性を決定する[38]。 こうした作業を行ったあと、トップマネジメントは、資産の情報セキュリティを担保するため、経営陣や管理者からなる管理層の承認のもと、情報セキュリティのための方針群を定める[39]。これらの方針群の中で最も高いレベルに1つの情報セキュリティ方針を定めねばならない[40][41]。
情報セキュリティ方針は
- 情報セキュリティに関連する適用される要求事項
- ISMSの継続的改善へのコミットメント
が含まれねばならず[40]、以下を含むことが望ましい[41]
- 情報セキュリティに関する全ての活動の指針となる,情報セキュリティの定義,目的及び原則[41]
- 情報セキュリティマネジメントに関する一般的な責任及び特定の責任の,定められた役割への割当て[41]
- 逸脱及び例外を取り扱うプロセス[41]
なお、JIS Q 27001:2006では上位概念のISMS基本方針と下位概念の情報セキュリティ基本方針の2つがあったがJIS Q 27001:2014ではこれらは情報セキュリティ方針として統合された[42]。
情報セキュリティ方針は情報セキュリティ目的もしくはそれを設定するための枠組みを含まねばならない[33]。
情報セキュリティ目的は情報セキュリティ方針との整合性や実行可能な場合の測定可能性が求められ[43]、「適用される情報セキュリティ要求事項,並びにリスクアセスメント及びリスク対応の結果を考慮に入れる」必要がある[43]。
組織は,関連する部門及び階層において,情報セキュリティ目的を確立しなければならない[43]
情報セキュリティの方針群の構成
編集情報セキュリティの方針群の構成に関して特に決まりはないが、IPAによれば一般的に以下のような3段階の階層構造なっている事が多い[44]:
- 情報セキュリティ基本方針:「情報セキュリティの目標と、その目標を達成するために企業がとるべき行動を社内外に宣言するもの」[44]。「なぜセキュリティが必要か」、「何をどこまで守るのか」、「誰が責任者か」を明確化する[44]
- 情報セキュリティ対策基準: 基本方針に記載された目的を受けて「何を実施しなければならないか」を記述[44]。情報セキュリティ対策を行うためのルール集[44]。規程、適用範囲、対象者を明確化[44]。
- 情報セキュリティ実施手順: 対策基準で定めた規程をどのように実施するかを記載[44]。詳細な手順を記したマニュアル的な位置づけ[44]。
上記3つのうち最初の2つ、もしくは3つすべてを情報セキュリティポリシーと呼ぶ。
一方JIPDEC[45]の情報セキュリティポリシーのサンプルでは以下の5段構成で、最初の3つを情報セキュリティポリシーと呼んでいる。
リスクマネジメント
編集JIS Q 27001:2014におけるISMSにおけるリスクマネジメントはJIS Q 31000:2010(ISO 31000:2009)およびJIS Q 0073:2010(ISO Guide73:2009)との整合性が図られているので[46]、本説ではこれらの資料も参考にリスクマネジメントを説明する。
リスクマネジメント(risk management)とは、リスクについて,組織を指揮統制するための調整された活動であり[47]、これを取り扱うリスクマネジメントの枠組み(risk management framework)は組織全体にわたって,
- リスクマネジメントの枠組みの設計,
- リスクマネジメントの実践,
- 枠組みのモニタリングとレビュー,
- 枠組みの継続的改善
の4つを順に行いつつリスクを運用管理するための方針,目的,指令,コミットメントなどの基盤組織内の取決めを提供する構成要素の集合体を指す[48][49]。 その基盤としてリスクを運用管理するための方針,目的,指令,コミットメントなどが含まれる[48]。
上述の「リスクマネジメントの実践」では、リスクマネジメントプロセス(risk management process)が行われる。具体的には
- 組織内外の状況を把握する[50]組織の状況の確定、
- リスクアセスメント(後述)、
- リスクを修正する[51]リスク対応、
- 期待されたパフォーマンスレベルとの差異を特定し、適切性、妥当性、有効性を検証するモニタリングおよびレビュー[52]
のサイクルを回し、適時関係者間で必要なコミュニケーション(リスクコミュニケーション)を取る[52]。
リスクマネジメントプロセスの中核となるリスクアセスメント(risk assessment)は以下の3つの作業からなる[53]。
- リスク特定:リスクの発見、認識、記述[54]
- リスク分析[55]:リスクの特質を理解し、リスクレベルを理解する
- リスク評価:リスク分析の結果をリスク基準(リスクの重大性を評価するための目安とする条件[56])と比較し、リスクが受容もしくは許容可能かどうかを決定[57]
情報セキュリティリスクアセスメント
編集ISMSでは特に情報セキュリティリスクアセスメントに関する指針を定めている。そこで定められている作業は前述の3つを含む以下の9つに分類できる:リスクアセスメントの取組方法の定義、リスク特定、リスク分析、リスク評価、リスク対応、管理策の決定、適応宣言書の作成、情報セキュリティリスク計画書の作成、残留リスクの承認[14][58]。
「リスクアセスメントの取組方法の定義」では、リスク基準を策定し、情報セキュリティリスクアセスメントの一貫性、妥当性、比較可能性を保証する[14]ためのプロセスを定めて文書化する。 リスク基準は以下の2つを含まねばならない[14]:
- 組織として保有する事を許容するリスクの水準である[59]リスク受容基準
- 情報セキュリティアセスメントを実施するための基準
「リスク特定」ではリスクの特定とそのリスク所有者の特定をする必要がある[14]。そのために、資産の洗い出しを行う事で[60]資産目録を作成し[61]、各資産の管理責任者を特定し[61]、各資産の脅威と脆弱性の明確化を行う事が望まれる[62]。
「リスク分析」ではリスクの起こりやすさと起こった場合の結果を分析し[14]、これらに応じてリスクレベルを決定する[14]。
「リスク評価」ではリスク分析結果とリスク基準を比較し、リスク対応のための優先付けを行う[14]。JIPDECではリスクレベルとリスク受容基準を数値化した上で両者を比較する方法を例示している[63]。
「リスク対応」ではリスク受容基準を満たすリスクはリスクを受容するという意思決定[64](リスク受容)を行った上でリスク保有する。それ以外のリスクに関してはリスク対応の選択肢を選定する[14]。リスク対応の選択肢としてJIPDECは、リスクを減らすリスク低減[16]を行うか、リスクに関係する業務や資産を廃止・廃棄する事でリスク回避、契約などで他社とリスクを共有するリスク共有、および事業上の利益を優先してあえてリスクを取るまたは増加させるリスク・テイキングを例示し、リスク共有の方法として資産やセキュリティ対策をアウトソーシングする方法と保険などを利用するリスクファイナンスを例示している[65]。
「管理策の決定」ではリスク対応で選んだ選択肢に応じてリスクを修正(modify)する対策である[66]管理策((リスク)コントロールとも)を決定する[14]。管理策の具体的な方法はJIS Q 27001:2014の附属書Aに記載されているが、そこに記載されていない管理策を選択してもよい[67]。
「適用宣言書の作成」では必要な管理策およびそれらの管理策を含めた理由を記載した[14]適用宣言書を作成する。
「情報セキュリティリスク計画書の作成」では情報セキュリティリスク計画を立てる[14]。JIPDECは情報セキュリティリスク計画としてリスク低減や管理策の実装に関する実行計画を立案し情報セキュリティリスク計画書にまとめる事を推奨している[67]。
「残留リスクの承認」では情報セキュリティリスク対応計画と受容リスクに関してリスク所有者の承認を得る[14]。
リスク分析方法
編集ISMSにおいて参照されることの多いISO/IEC TR 13335-3(JIS TR X 0036-3:2001に対応。有効期限切れ)、およびそれを引き継いだ[68]ISO/IEC 27005 (JIS Q 27005)では、以下の4種類のリスク分析方法を定義している[69][70][71]:
標準化の流れ
編集BSI(英国規格協会)によって1995年に規定された英国規格 BS 7799が基となって、ISMSの構築のしかたの標準化が進んだ。BS 7799は、Part 1 (BS 7799-1) とPart 2 (BS 7799-2) の2部構成になった。Part 1には情報セキュリティ管理を実施するに際しての規約の標準が、Part 2にはISMSの認定の基準となる要求仕様が書かれていた。日本の「ISMS認証基準」はPart 2を基に策定された(これは現在 JIS Q 27001 になっている)。なお、ISMSという用語は、BS 7799から来ている。
BS 7799は、国際規格になった。BS 7799-1は、2000年にISO/IEC 17799となり(これに伴ってBS 7799-1はBS ISO/IEC 27002となった)、2007年にはISO/IEC 27002:2005と改称された。BS 7799-2も、2005年にISO/IEC 27001となっている。
それらは翻訳されて、日本産業規格にもなっている。2006年に、ISO/IEC 27001はJIS Q 27001として、ISO/IEC 27002はJIS Q 27002として策定された。
英国規格 | 国際規格 | 日本産業規格 | 備考 |
---|---|---|---|
BS 7799-2 | ISO/IEC 27001 | JIS Q 27001 | ISMS 要求事項 |
BS 7799-1 ↓ BS ISO/IEC 27002 |
ISO/IEC 17799 ↓ ISO/IEC 27002 |
JIS X 5080 ↓ JIS Q 27002 |
ISM 実践のための規範 |
これらのほかにも、関連する規格として ISO/IEC 27000, 27003~27006, 27011 があり、さらにいくつかの部が準備中である(ISO/IEC 27000 シリーズ)。
過去の経緯
編集情報処理サービス業に対し、コンピュータシステムの安全対策が十分かどうかを認定する制度として、旧通商産業省の「情報システム安全対策実施事業所認定制度」(以下、安対制度という)があった。安対制度では主に施設・設備等の物理的な対策に重点がおかれ、対象業種はデータセンターをもった情報処理業であった。ISMS適合性評価制度は、2000年7月に通商産業省から公表された「情報セキュリティ管理に関する国際的なスタンダードの導入および情報処理サービス業情報システム安全対策実施事業所認定制度の改革」に基づき、(財)日本情報処理開発協会(JIPDEC、現:日本情報経済社会推進協会)で開始した民間主導による第三者認証制度であった。
以下の理由により、安対制度はISMS認証基準へと発展的に解消されている。
- 情報処理の発展に伴い、情報セキュリティは情報処理業だけではなく、あらゆる業種が対象となる。
- 国の制度から民間の制度への移行(規制緩和)。
- 情報セキュリティ管理システムに対する国際規格および日本産業規格の制定。
脚注
編集- ^ JIS Q 27000:2014 箇条 0.1。
- ^ JIS Q 27002:2014 箇条 0.1。
- ^ ISMSガイド13, p. 13。
- ^ a b c ISMSガイド13, p. 3, 4, 10, 97。
- ^ MSS。
- ^ JIS Q 31000:2010 箇条 2.1、JIS Q 27000:2014 箇条 2.68。
- ^ a b JIS Q 27000:2014 箇条 2.68。
- ^ 原田(2016) p. 3。
- ^ JIS Q 0073:2010 箇条 3.5。
- ^ ISMSガイド13, p. 51。
- ^ JIS Q 13335-1 箇条 2.25、JIS Q 27000:2014 箇条 2.83。
- ^ JIS Q 27005:2011、JIS Q 13335-1 箇条 3.3、ISMSガイド13, p. 35。
- ^ JIS Q 27000:2014 箇条 2.89。
- ^ a b c d e f g h i j k l m n JIS Q 27001:2014 箇条 6.1.2、6.1.3。
- ^ ISMSガイド13, p. 30。
- ^ a b JIS Q 27000:2014 箇条 2.79。
- ^ JIS Q 27000:2014 箇条 2.35。
- ^ JIS Q 27000:2014 箇条 2.36。
- ^ JIS Q 27000:2014 箇条 2.37。
- ^ JIS Q 27000:2014 箇条 2.34。
- ^ a b JIS Q 27001:2014 箇条 5。
- ^ JIS Q 27001:2014 箇条 6。
- ^ JIS Q 27001:2014 箇条 7。
- ^ JIS Q 27001:2014 箇条 8。
- ^ JIS Q 27001:2014 箇条 9。
- ^ JIS Q 27001:2014 箇条 10。
- ^ a b c JIS Q 27000:2014 箇条 2.61、JIS Q 27001:2006 箇条 0.2、ISMSガイド06, p. 9、ISMSガイド13, p. 13。
- ^ ISMSガイド06, p. 7。
- ^ a b ISMSガイド13, p. 14。
- ^ a b mss-faq 11. 「附属書 SL の構造において“プロセスモデル”又は“PDCA モデル”が使われていないのはなぜか」
- ^ MSS SL.5.2 注記1「有効なマネジメントシステムは、通常、意図した成果を達成するために"Plan-Do-Check-Act"のアプローチを用いた組織のプロセス管理を基盤とする」
- ^ JIS Q 27000:2014 箇条 2.84。
- ^ a b JIS Q 27001:2014 箇条 5.1。
- ^ JIS Q 27001:2014 箇条 5.3。
- ^ a b c ISMSガイド13, pp. 43-44。
- ^ JIS Q 27000:2014 箇条 4.1。
- ^ JIS Q 27000:2014 箇条 4.2。
- ^ a b JIS Q 27001:2014 箇条 4.2。
- ^ JIS Q 27001:2014 箇条 5.1、JIS Q 27002:2014 箇条 5.1。
- ^ a b JIS Q 27001:2014 箇条 5.2。
- ^ a b c d e JIS Q 27002:2014 箇条 5.1。
- ^ ISMSガイド13, p. 40。
- ^ a b c JIS Q 27001:2014 箇条 6.2。
- ^ a b c d e f g h 情報セキュリティマネジメントとPDCAサイクル「情報セキュリティポリシーの策定」 IPA。2016年8月3日閲覧
- ^ a b c d e f 情報セキュリティポリシーサンプル改版(1.0版)概要(pdf)、pp. 5-6、JIPDEC。2016年8月3日閲覧。
- ^ ISMSリスク編13, p. 4。
- ^ JIS Q 27000:2014 箇条 2.76、JIS Q 31000:2010 箇条 2.2。
- ^ a b JIS Q 31000:2010 箇条 2.3。
- ^ リスクマネジメント規格 図1。
- ^ JIS Q 31000:2010 箇条 5.3。
- ^ JIS Q 31000:2010 箇条 2.25。
- ^ a b JIS Q 31000:2010 箇条 2.28。
- ^ JIS Q 31000:2010 箇条 2.14、2.15、2.24。JIS Q 27000:2014 箇条 2.71。
- ^ JIS Q 27000:2014 箇条 2.75。
- ^ JIS Q 27000:2014 箇条 2.70。
- ^ JIS Q 27000:2014 箇条 2.73。
- ^ JIS Q 27000:2014 箇条 2.74。
- ^ ISMSリスク編13, pp. 23-24。
- ^ ISMSリスク編13, p. 30。
- ^ ISMSリスク編13 p. 31。
- ^ a b JIS Q 27002:2014 箇条 8.1.1。
- ^ ISMSリスク編13, p. 35。
- ^ ISMSリスク編13, pp. 50-51。
- ^ JIS Q 27000:2014 箇条 2.69。
- ^ ISMSリスク編13 pp. 52-54。
- ^ JIS Q 27000:2014 箇条 2.16。
- ^ a b ISMSリスク編13, p. 57。
- ^ ISMSガイド13, p. 23。
- ^ a b c d e “情報セキュリティマネジメントとPDCAサイクル「リスクアセスメント」”. IPA. 2017年7月5日閲覧。
- ^ a b c d e f ISMSリスク編13, p. 14。
- ^ a b c d 瀬戸洋一. “プライバシー影響評価ガイドライン実践テキスト”. インプレスr&d. p. 14. 2017年7月5日閲覧。
関連項目
編集外部リンク
編集- ISMS関連のISO/IECとJIS
- “JIS検索”. 日本工業標準調査会 JISC(Japanese Industrial Standards Committee). 2016年8月10日閲覧。 JIS本文を閲覧可能
- JIS Q 27000:2014 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語
- JIS Q 27001:2014 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事項
- JIS Q 27002:2014 情報技術−セキュリティ技術−情報セキュリティ管理策の実践のための規範
- JIS Q 27006:2018 情報技術−セキュリティ技術− 情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項
- JIS Q 27014:2015 情報技術-セキュリティ技術-情報セキュリティガバナンス
- JIS Q 27017:2016 情報技術-セキュリティ技術-JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範
- ISO/IEC_27005:2022 Information technology — Security techniques — Information security risk management
- その他マネジメントシステム関連のJISとISO
- MSSの共通化
- “ISO/IEC 専門業務用指針 第1部 統合版ISO補足指針” (PDF). 一般財団法人 日本規格協会(日本語訳). 2016年8月19日時点のオリジナルよりアーカイブ。2016年8月3日閲覧。 「附属書SL(規定)マネジメントシステム規格の提案」(p131)を参考
- “マネジメントシステム規格の整合化動向”. 一般財団法人 日本規格協会. 2016年5月13日時点のオリジナルよりアーカイブ。2016年8月3日閲覧。
- “附属書SLコンセプト文書” (PDF). 一般財団法人 日本規格協会. 2016年8月19日時点のオリジナルよりアーカイブ。2016年8月3日閲覧。
- “JTCG-FAQ(一般的な質問)” (PDF). 、ISO/TMB/TAG13-JTCG(合同技術調整グループ、JTCG). 2016年8月26日時点のオリジナルよりアーカイブ。2016年8月10日閲覧。
- JIPDECによる解説資料
- “ISMSユーザーズガイド- JIS Q 27001:2014(ISO/IEC 270001:2013)対応-”. 一般財団法人 日本情報経済社会推進協会. 2013年9月7日時点のオリジナルよりアーカイブ。2016年8月3日閲覧。
- “ISMSユーザーズガイド- JIS Q 27001:2014(ISO/IEC 270001:2013)対応--リスクマネジメント編”. 一般財団法人 日本情報経済社会推進協会. 2013年9月7日時点のオリジナルよりアーカイブ。2016年7月27日閲覧。
- “情報セキュリティポリシーサンプル改版(1.0版)”. 2016年8月3日閲覧。
- “情報セキュリティポリシーサンプル改版(1.0版)概要” (PDF). 一般財団法人 日本情報経済社会推進協会. 2016年8月3日閲覧。
- 旧規格(2006年版)の解説資料
- “ISMSユーザーズガイド- JIS Q 27001:2006(ISO/IEC 270001:2005)対応-” (PDF). 財団法人 日本情報処理開発協会(現:日本情報経済社会推進協会). 2016年8月21日時点のオリジナルよりアーカイブ。2016年7月27日閲覧。
- “ISMSユーザーズガイド- JIS Q 27001:2006(ISO/IEC 270001:2005)対応--リスクマネジメント編” (PDF). 財団法人 日本情報処理開発協会(現:日本情報経済社会推進協会). 2016年8月21日時点のオリジナルよりアーカイブ。2016年7月27日閲覧。
- 2006年版から2014年版への改訂
- 原田要之助. “情報セキュリティマネジメント規格の改訂と問題点について” (PDF). 情報処理学会研究報告. 2016年7月27日閲覧。
- “ISOマネジメントシステム マネジメントシステム規格の整合化動向”. 一般財団法人 日本規格協会. 2020年11月24日閲覧。
- 日立製作所情報・通信システム社 経営戦略室 事業開発部 相羽 律子. “2011年度第2回ITリスク学研究会リスクマネジメントに関連する国際標準化動向” (PDF). 2016年7月27日閲覧。
- 打川和男. “みならい君のISMS改訂対応物語”. @IT. 2016年7月27日閲覧。
- その他
- Arhnel Klyde S. Terroza. “Information Security Management System (ISMS) Overview” (PDF). 2016年7月27日閲覧。