情報セキュリティ管理とは？じょうほうせきゅりてぃかんり
情報セキュリティ管理とは、組織の情報資産について機密性・完全性・可用性を維持するため、方針を定め、リスクを評価し、管理策を実施し、有効性を評価して改善するまでを継続的に回す活動。JIS Q 27001のISMSとして体系化され、サービスマネジメントシステムの一部としても要求される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ対策は、製品や機器を買えば済むものとして扱われがちだった。しかし守る対象も脅威も事業とともに変わり、導入した時点では最適だった対策が数年後には穴になる。管理の枠組みが要るのは、この変化に合わせて対策を選び直し続ける必要があるためで、経営層による方針の承認と資源配分がなければ現場の判断だけでは回らない。応用情報では個々の対策より、この回し方が問われる。
具体例
JIS Q 27001の認証を取得した組織は、情報セキュリティ方針を経営層が承認し、資産台帳をもとにリスクを評価して、適用宣言書に採用・不採用の管理策とその理由を示す。内部監査とマネジメントレビューを定期に実施し、是正処置の結果を次期の計画へ反映する形でPDCAを回す。
試験での引っ掛け
管理策を導入すること自体ではなく、リスク評価に基づいて選び有効性を測って見直す枠組み全体を指す。管理策は組織的・人的・物理的・技術的の4区分で、技術的対策だけを挙げる選択肢は誤り。情報セキュリティインシデントもサービスマネジメント上はインシデント管理の枠組みで記録・対応し、必要に応じて専門体制へエスカレーションする。
関連用語
出た過去問
出典：平成31年度 春期 応用情報技術者試験 午前 問60（IPA）
事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証は共通番号でなく個人単位で識別・記録する
共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。
出典：令和3年度 春期 応用情報技術者試験 午前 問58（IPA）
情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち…
正解：マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。
要点：未認可ソフトの使用はマルウェア対策上の指摘事項
組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。
出典：平成28年度 春期 応用情報技術者試験 午前 問38（IPA）
重要情報の取扱いを委託する場合における，委託元の情報セキュリティ管理のうち，適切なものはどれか。
正解：情報の安全管理に必要な事項を事前に確認し，それらの事項を盛り込んだ上で委託先との契約書を取り交わす。
要点：委託先の安全管理要件は事前に確認し契約に明記する
委託元は委託先任せにせず、安全管理に必要な要求事項をあらかじめ整理し、契約書に明記した上で委託する責任を負う。契約後も遵守状況を継続的に確認することが求められる。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。