近年、情報通信システムが広く普及し、社会のネットワーク化が大きく進展しました。利用者の利便性が向上した一方、コンピュータウィルスや不正アクセス等による業務の中断や、故意・不注意による情報漏洩など、情報セキュリティに関する様々な事件・事故も報告されるようになりました。情報セキュリティ事故は取引先や顧客にも被害を及ぼし、当事者の社会的信用を大きく下げる原因となります。こうした危険は、情報システムに依存する割合が高まるにつれ、以前にも増して大きなものとなっています。
　そこで様々な危険（リスク）を予見し、事件・事故を未然に防ぐ対策が必要になってきます。企業単位で有効な取り組みのひとつが「ISMS認証を取得する」ということです。

　「個人情報取扱事業」「情報ネットワーク運営事業」と「電子取引関係事業」においては、約9割の企業がISMS認証取得は不可欠と考えています（弊社調べ）。
　国や自治体及び企業の取引においても、各種認定制度や入札条件などでISMSの認証取得を条件にしている例が増えています。こうした必要性の裏返しともいえますが、認証取得によるメリットをまとめると以下のようになります。

　情報セキュリティの要件をシンプルに述べると「適切な利用環境を維持しながら、犯罪や災害から情報を保護すること」となります。OECD（経済協力開発機構）が策定したガイドラインでは、「情報の機密性、完全性、可用性を確保し、維持すること」と定義されており、一般にこの定義が広く利用されています。
　「機密性」および「完全性」は"情報を守る"という点に力点がおかれています。一方、「可用性」は、情報を適切に利用できる環境の重要性に注目しています。つまり、情報セキュリティマネジメントを構築する際には、この3つのバランスを意識しながらそれぞれに対策を 講じることが重要となります。

情報セキュリティを構成する３つの要素

定義	意　味
機密性	アクセスが許可された者だけが情報にアクセスできることを保証すること。言い換えると、許可されていない者は情報にアクセスできない、あるいは書き込みや実行ができないなど、権限にしたがって情報が適切に保護されることを指す。
完全性	情報の正確性と完全性を常に維持することを指す。許可されていない利用者、または内部利用者による改ざんなどが行われないようにすることがこれに該当する。
可用性	許可されている利用者から、情報へのアクセス要求があった場合、情報へのアクセスが可能であることをいう。つまり、利用者が情報を利用したいと考えた際に、確実に情報を利用できる環境を備えていることを指す。

　しばしばISMSと並んで語られる制度に「個人情報保護」や「プライバシーマーク」というものがあります。両者は情報保護の考え方において共通する要素を持ちますが、基本的には異なるものです。
　「個人情報保護」や「プライバシーマーク」は情報資産のうち個人情報に特化した保護とセキュリティが対象です。また、主に個人向けのビジネスを営む企業を対象にしています。
　一方ISMSは、個人情報のみならず情報資産と情報セキュリティ対策全般を扱います。ISMSは主に企業向けのビジネスを営む企業を対象にしています。

プライバシーマーク（国内標準）	ＩＳＭＳ（国際標準）
自社で保有する個人情報のみが対象で、主にB to C（企業体個人の取引）が中心	対象が情報全般のセキュリティに関わるため、B to B（企業間取引）が中心
認証取得範囲は「企業」と決められている	「部署」「事業所」「工場」レベルで選定が可能
JIS Q 15001に基づいて運用される	ISMS適合性評価制度に基づいて運用される

• (一財)日本品質保証機構（JQA）：ISO 27001（情報セキュリティ）
• (一財)日本情報経済社会推進会（JIPDEC）：ISMS適合評価制度
• (独)情報処理推進機構（IPA）：情報セキュリティマネジメントとPDCAサイクル
• ウィキペディア：情報セキュリティマネジメントシステム
• ITmedia：情報セキュリティマネジメントシステム基礎講座（2002年12月）
• 日経BP社 ITPro：情報セキュリティ・マネジメントとISMS（2007年5月）