管理策とは？かんりさく
管理策とは、リスク対応方針を実現する個別の統制手段で、ISMSではJIS Q 27001（ISO/IEC 27001）附属書Aの一覧を参照しながら選定する。2022年版で附属書Aは114個・14箇条から93個・4テーマ（組織的37、人的8、物理的14、技術的34）へ再編され、各管理策に管理策タイプ（予防・発見・是正）、情報セキュリティ特性（機密性・完全性・可用性）、サイバーセキュリティ概念（識別・防御・検知・対応・復旧）などの属性が付与された。この属性は、たとえば「発見的統制が手薄い」といった偏りを横断的に点検するために使う。附属書Aは網羅すべき候補集合であって義務ではなく、リスクアセスメントの結果に基づいて採否を決め、除外したものは理由とともに適用宣言書（SoA）に記載する。監査で見られるのはこの「選定の根拠がリスクアセスメントに紐づいているか」である。
最終更新：2026-10-06
この語が出る過去問を解く →背景
組織ごとにゼロから統制を考えると、抜けが出るうえに取引先や監査人が水準を比較できない。附属書Aは「他社と共通の語彙で、網羅性を担保しながら選ぶ」ための候補集合として整備されたもので、義務のリストではない。2022年版で4テーマ化され属性が付与されたのは、条項の並び順だけでは予防に偏っているといった構造的な偏りが見えなかったためで、同じ集合を複数の切り口で点検できるようにするのが狙いである。SoAが要求されるのも同じ理由で、選ばなかった管理策の理由まで残してはじめて「リスクに基づいて選定した」と外部が検証できる。試験が採否の根拠を問うのは、この検証可能性が制度の本体だからだ。
具体例
AWSやMicrosoft Azureは自社のクラウドサービスについてISO/IEC 27001の認証範囲と取得状況を公開しており、利用企業はその範囲を自社の適用宣言書に接続して、事業者側が担う管理策と自社が担う管理策を切り分ける。クラウド利用時にSoAの記載が曖昧になりやすいのはこの境界部分で、責任分界に沿って書き分けるのが実務の作法になる。
試験での引っ掛け
記述式で問われるのは「なぜ全部の管理策を実施しないのか」。答えの芯は、管理策の採否はリスクアセスメントの結果と受容基準から導かれるものであり、コストに見合わない統制は経営判断として除外できるから。「面倒だから」ではなく「根拠を文書化して除外する」と書く。境界として、リスク対応（低減・回避・共有・保有）は方針、管理策はその実装であり、階層が違う。もう一つ、附属書Aの再編を「管理策が114から93に減った」と数だけで捉えると誤る。統合と新規追加（脅威インテリジェンス、クラウドサービス利用の情報セキュリティ、データマスキングなど11件）が同時に行われた結果である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成31年度 春期 応用情報技術者試験 午前 問60（IPA）
事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…
正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
要点：入退室の認証は共通番号でなく個人単位で識別・記録する
共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。
出典：令和2年度 10月試験 応用情報技術者試験 午前 問43（IPA）解説で登場
ボットネットにおけるC&Cサーバの役割として、適切なものはどれか。
正解：侵入して乗っ取ったコンピュータに対して、他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりする。
要点：C&Cサーバはボット群へ指令を出す攻撃者の司令塔
C&C（Command and Control）サーバは、ボット化して乗っ取ったコンピュータ群に対して攻撃などの指令を送り、結果や窃取情報を受け取る司令塔である。攻撃者はC&Cサーバを介して多数のボットを一斉に操作する。
出典：令和5年度 春期 応用情報技術者試験 午前 問36（IPA）解説で登場
ボットネットにおいてC&Cサーバが担う役割はどれか。
正解：遠隔操作が可能なマルウェアに、情報収集及び攻撃活動を指示する。
要点：C&Cサーバはボットネットの司令塔として指令を送る
C&C（Command and Control）サーバは、感染させたボットに対して攻撃者が指令を送るための中継拠点である。情報の窃取やDDoS攻撃の開始などを一斉に指示し、収集した情報を回収する役割を担う。多数の感染端末を束ねたボットネットの司令塔にあたる。
出典：令和7年度 秋期 応用情報技術者試験 午前 問29（IPA）解説で登場
RDBMSにおいて、同じデータ項目の異なる版を用意することによって、トランザクションの同時実行性を高める仕組みはどれか。
正解：MVCC
要点：MVCCはデータの複数版を保持し読取りと書込みの競合を避ける
MVCC（Multi-Version Concurrency Control、多版同時実行制御）は、更新時にデータを上書きせず新しい版を作り、読取り側にはトランザクション開始時点で有効な版を見せる方式である。これにより読取りが書込みをブロックせず、書込みも読取りをブロックしないため同時実行性が高まる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。