「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として

・情報セキュリティ
・ISMS
・ISMS適合性評価制度

について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

情報セキュリティは「情報の安全を守ること」です。



教科書的な説明をしているところでは、情報に対する

機密性：Confidentiality
完全性：Integrity
可用性：Availability

の3つを保持すること、と説明されます。
それぞれの意味は

機密性：見せたくない人には見せない！
完全性：おかしくなってない！
可用性：見せて良い人に見せる！

です。
※機密性、完全性、可用性の詳細が気になる方は、用語「情報セキュリティ」の説明を ご覧ください。具体例を挙げて説明しています。

ISMSは、大雑把に言えば「情報の安全を守るための取り組み」です。
日本語では「情報セキュリティマネジメントシステム」と表現されます。



日本におけるISMSの元締めっぽい組織「情報マネジメントシステム認定センター（ISMS-AC）」のホームページ（https://isms.jp/isms/index.html）には、ISMSの定義として以下の説明が書いてありました。

1. ISMSとは

近年、IT化の進展に伴い、不正アクセスやコンピュータウイルスによる被害、及び内部不正者や外注業者による情報漏えい事件など、情報資産を脅かす要因が著しく増加しており、これらの脅威に対して適切にリスクアセスメントを実施して、企業における総合的な情報セキュリティを確保するためには、ISMSの構築・運用が必須事項となっている。
ISMSとは、個別の問題毎の技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源を配分して、システムを運用することである。

ISMSが達成すべきことは、リスクマネジメントプロセスを適用することによって情報の機密性、完全性及び可用性をバランス良く維持・改善し、リスクを適切に管理しているという信頼を利害関係者に与えることにある。そのためには、ISMSを、組織のプロセス及びマネジメント構造全体の一部とし、かつ、その中に組み込むことが重要である。

ふむふむ、なるほど。

ISMSとは、個別の問題毎の技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源を配分して、システムを運用することである。

だそうです。
さっぱり分かりません。

推測ですが、おそらく、どこかの誰かが「情報の安全を守るためには、こんな取り組みをするべきだ！」な内容を考えて、何らかの形で まとめたのでしょう。
例えば「機密情報は、誰でも見られる場所に置いておいちゃダメだよ」とか、そんな感じの内容ですかね。

そして、みんなの やる気を煽るために「情報の安全を守るためには、こんな取り組みをするべきだ！」な内容を実行している人には「『情報の安全を守るためには、こんな取り組みをするべきだ！』な内容を実行していますよ証明書」をあげることにしました。

「『情報の安全を守るためには、こんな取り組みをするべきだ！』な内容を実行していますよ証明書」を持っているということは「情報の安全を守るためには、こんな取り組みをするべきだ！」な内容を実行しているということです。
情報の安全を守るために頑張っていることが対外的にアピールできます。

ところで、わざわざ

「情報の安全を守るためには、こんな取り組みをするべきだ！」な内容

と表現するのは、まどろっこしいですよね。
せっかくなので、なんかハッタリの効きそうな名前を付けましょう。

う～ん、何が良いかな。

そうだ！

ISMS（情報セキュリティマネジメントシステム）

という名前にしよう。

そうすると、先ほどのまどろっこしい説明は「ISMSを実行している人にはISMS認証をあげます」のようにまとめられます。
うん、さっきよりも大分すっきりした説明になりましたね。

根拠はありませんが多分そんなノリです。
一般名詞っぽい言葉選びですが、どちらかといえば固有名詞に近い用語だと思います。

ISMS適合性評価制度は「おまえのやってる情報の安全を守るための取り組み（ISMS）は良い感じかな？」をチェックして、良い感じだったら「この人は、ちゃんとしたISMSをやってまーす！」と認定してあげような制度です。



当たり前ですが、自分で「ちゃんと、やってるよ！」と言っても説得力がありません。
やはり第三者からのお墨付きがあった方が良いでしょう。

そこで、どこかの誰かが「ISMSを ちゃんと やっているか俺らがチェックして、ちゃんとやっていたらお墨付きをあげるよ」と言いました。
この

ISMSを ちゃんと やっているか俺らがチェックして、ちゃんとやっていたらお墨付きをあげるよ

な制度に付けられた名前が「ISMS適合性評価制度」です。

以上を踏まえて、本題に入ります。

ISMS適合性評価制度は

ISMSを ちゃんと やっているか俺らがチェックして、ちゃんとやっていたらお墨付きをあげるよ

な制度です。

この「俺ら」に該当するのは日本では「情報マネジメントシステム認定センター（ISMS-AC）」という名前の組織です。
情報マネジメントシステム認定センターは日本におけるISMSの元締めっぽい組織です。



とはいえ「お墨付きをくれー！」と言ってくる人は、たくさんいます。
これを全部1人で相手するのは大変です。

そこで、情報マネジメントシステム認定センターは「おーい、審査するのを誰か手伝ってくれー」と言いました。



それに対して「いいよー。手伝ってあげるよー」と言う人が出てきました。



「よし！じゃあ、お願い！」とお任せ……するのは少し危険ですね。
相手が、どんな人か分かりません。

そこで、情報マネジメントシステム認定センターは手伝ってくれると言った人たちをチェックします。
「こいつに任せても大丈夫かな？」を判断するわけです。



その結果「こいつなら任せても大丈夫だな」と判断できれば、ISMSを ちゃんと やっているかチェックするのをお願いします。
「俺の代わりにチェックしてよ」です。



情報マネジメントシステム認定センターに「俺の代わりにチェックしてよ」と任された人たちは「僕たちはISMSをバッチリやってまーす！認めてくださーい！」と言ってきた人が本当にバッチリやってるかチェックします。



もう、お分かりですね。
この

情報マネジメントシステム認定センターの代わりに「ISMSを、ちゃんと やっているかな？」をチェックする人たち

が「ISMS認証機関」です。



ISMS認証機関が具体的にどんなことをするかは別のところで勉強してください。
某・資格試験の過去問に出てきたので無理やり取り上げてみましたが、私も詳しいことは知りません。

あと、できれば「認定」と「認証」の違いを意識しておいてください。

細かい部分は説明しませんが、情報マネジメントシステム認定センター（ISMS-AC）は、ISMSの「認定機関」に分類される機関です。
それに対して、ISMSを ちゃんと やっているか情報マネジメントシステム認定センターの代わりにチェックする奴らはISMSの「認証機関」です。

この2つ（「認定機関」と「認証機関」）は明確に区別されます。
ご注意ください。