「ISMSって結局なに？ PDCAとはどう関係するの？」。情報セキュリティマネジメント試験の勉強を始めると、この2つの言葉が早い段階で出てきます。どちらも名前は知っていても、つながりを説明するのは意外と難しいものです。
この記事では、ISMSを「情報を守る仕組み」、PDCAを「その仕組みを回すやり方」として整理します。具体例と表で、試験にも実務にも使える形で押さえていきましょう。
結論: ISMSは「仕組み」、PDCAはその「回し方」
**ISMS（Information Security Management System）**は、日本語で情報セキュリティマネジメントシステムといいます。ウイルス対策ソフトのような個別の道具ではなく、組織として情報を守るための方針・手順・体制をひとまとまりにした仕組みを指します。
ISMS-AC（情報マネジメントシステム認定センター）のサイトでは、ISMSを「個別の技術対策に加えて、組織が自らリスクを評価して必要なセキュリティの水準を決め、計画を立て、資源を配分して運用する」取り組みとして説明しています（2026年10月17日確認）。つまり、守り方を「その場の思いつき」ではなく「決まった手順」にするのがISMSです。
一方、PDCAサイクルは、仕事を改善し続けるための4段階の流れです。ISMSでは、この流れで仕組みを維持し、少しずつよくしていきます。
ISMS＝情報を守る仕組み。PDCA＝その仕組みを「計画→実行→点検→改善」と回し続けるやり方。1回作って終わりではなく、繰り返すことが前提です。
PDCAの4段階をISMSに当てはめる
総務省の「国民のための情報セキュリティサイト」では、情報セキュリティポリシー（組織の情報の守り方を定めた文書）の運用を、次のような流れで説明しています（2026年10月17日確認）。
| 段階 | 意味 | ISMSでの具体例 |
|---|---|---|
| Plan（計画） | 何を守り、どう守るかを決める | 守るべき情報資産を洗い出し、リスクを整理して、組織に合った方針（ポリシー）を作る |
| Do（実行） | 決めたことを実際に行う | ポリシーを全員に知らせ、必要に応じて研修などの教育を行い、日々の運用につなげる |
| Check（点検） | 決めたとおりにできているか確かめる | 最新の脅威の情報を集め、ルールの不足や守られ方を評価・監査する |
| Act（改善） | 点検の結果を次に生かす | 点検の内容を参考に、ポリシーや手順を見直して改善する |
同じサイトには、ポリシーは運用を始めたあとも、状況の変化や新たな脅威の発生などに応じて定期的な見直しが必要であること、そしてこの作業を継続的に繰り返すことが対策の向上に役立つことが書かれています。
具体例でたどる: 社内のUSBメモリのルール
たとえば、ある会社で「USBメモリ経由の情報漏えいを防ぎたい」と考えたとします。
- Plan: どの部署がどんな情報をUSBメモリで持ち出しているかを調べ、リスクを評価する。そのうえで「私物のUSBメモリは禁止、業務用は暗号化機能つきのみ」と決める
- Do: 新しいルールを全員に周知し、業務用のUSBメモリを配る。使い方の説明会を開く
- Check: 持ち出しの記録や利用状況を確認し、ルールが守られているか、不便で守れない部署がないかを調べる
- Act: 守られていない原因が「申請の手続きが面倒」だとわかったので、手続きを簡単にする。ルールも改訂する
そして改訂したルールで、また最初のPlanに戻ります。この「一周して終わらない」感覚が、PDCAの大事な点です。
ISMSの認証制度と規格
ISMSには、第三者が審査して認めるISMS適合性評価制度があります。ISMS-ACのサイトでは、認証の基準をJIS Q 27001（国際規格のISO/IEC 27001に対応する日本の規格）としています。認証を希望する組織を、第三者である認証機関が、この基準に合っているかどうかで評価します。
認証後も審査は続く
JIPDEC（一般財団法人 日本情報経済社会推進協会）の案内（2026年10月17日確認）によると、審査と認証の流れは次のとおりです。
| 区分 | 内容 |
|---|---|
| 初回の審査 | 原則として第一段階と第二段階の2段階で行われる |
| サーベイランス審査（維持審査） | 認証登録されたあと、通常1年ごとに行われる |
| 再認証審査 | 3年ごとに行われる |
認証をとって終わりではなく、その後も定期的に審査を受けます。「仕組みを回し続けているか」を確かめる点で、PDCAの考え方とつながっています。
規格は更新される
JIS Q 27001は、ISMS-ACの案内によると、ISO/IEC 27001:2022/Amd 1:2024に対応するJIS Q 27001:2025が追補として示されており、JIS Q 27001:2023と併せて適用するとされています（2026年10月17日確認）。規格の版は改正されることがあるため、試験でも実務でも、版の最新状況は公式サイトで確認する習慣をつけておくと安心です。
認証の内容は、組織が決めた「適用範囲」についてのものです。会社全体ではなく、特定の部門や拠点だけを対象にすることもあります。「認証を取っている会社＝会社のすべてが対象」とは限りません。
試験での問われ方と覚え方
IPAの試験区分の案内（2026年10月17日確認）では、情報セキュリティマネジメント試験は、利用部門にあって情報セキュリティリーダーとして、情報セキュリティが確保された状態を実現・維持・改善する人を対象にしています。試験は科目A・科目Bで合計60問、試験時間は120分です。
「実現・維持・改善」という言葉は、まさにPDCAを回すことと重なります。試験では、次のような考え方が役に立ちます。
場面から「いまどの段階か」を見分ける
| 場面の例 | 該当する段階の目安 |
|---|---|
| リスクを洗い出し、方針や対策を決めている | Plan |
| ルールを周知し、教育を実施している | Do |
| 監査や点検で、守られているかを調べている | Check |
| 点検でわかった問題をもとに、手順を直している | Act |
選択肢で迷ったときは、「この行動は、計画なのか、実行なのか、点検なのか、改善なのか」と、自分に問い直してみてください。たとえば「内部監査の結果を受けて手順を見直す」なら、監査はCheck、見直しはActと分けて考えられます。
よくある勘違い
- 「作ったら終わり」と考える: ISMSは回し続けるもの。ポリシーも運用のあと見直す
- PlanとActを混同する: Planは最初の計画づくり、Actは点検の結果を受けた見直し。どちらも「決める」作業なので、きっかけ（点検の結果があるか）で見分ける
- 技術的な対策だけがISMSだと思う: 組織の方針、人への教育、体制づくりも含めた仕組みの話
リスクを洗い出したあとの対応方法は、リスク対応の4つ（回避・低減・移転・保有）の違いで整理しています。また、リスクを構成する言葉の違いは、脅威・脆弱性・リスクの違いも参考にしてください。
授業で学ぶには
ISMSとPDCAは、リスクの考え方や管理策の話と順番につながっています。バラバラに覚えるより、仕組みの流れの中で位置づけると、思い出しやすくなります。資格のエアポートの情報セキュリティマネジメント講座では、1本10分前後の授業動画で試験に出るテーマを順に学べます。内容はページで確認できます。
まとめ
ISMSは組織で情報を守る仕組み、PDCAはそれを回し続けるやり方です。計画（Plan）→実行（Do）→点検（Check）→改善（Act）を繰り返す、と覚えましょう。
- ISMSは個別の技術ではなく、方針・手順・体制をまとめた「仕組み」
- PDCAは4段階。ポリシーも運用後に定期的に見直す
- 認証制度の基準はJIS Q 27001。認証後もサーベイランス審査（通常1年ごと）と再認証審査（3年ごと）がある
- 試験では、場面から「いまはどの段階か」を見分ける
規格の版や審査の運用は変わることがあります。最新の情報は、ISMS-ACやJIPDEC、IPAの公式サイトでご確認ください。