JIS Q 27000／JIS Q 27001とは？じすきゅーにまんななせん
JIS Q 27000はISMS（情報セキュリティマネジメントシステム）で用いる用語と概要を定めた規格、JIS Q 27001はISMSの要求事項を定めた規格で、第三者認証の基準になるのは後者である。機密性・完全性・可用性、脅威、脆弱性、リスクといった語の意味をここで固定することで、組織をまたいだ議論と審査が成立する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティの議論は、同じ「リスク」という語が発生確率を指すのか損害額を指すのかで人により違えば、対策の優先順位すら決められない。第三者が審査して認証を与える制度であればなおさら、語の意味と要求事項が文書として固定されていなければならない。用語の規格と要求事項の規格が分かれているのはこのためである。
具体例
「脆弱性とは、一つ以上の脅威によって付け込まれる可能性のある、資産または管理策の弱点」という定義がJIS Q 27000にある。ISMS適合性評価制度では、この用語体系のもとで組織がJIS Q 27001の要求事項に適合しているかを審査機関が確認し、認証を与える流れになっている。
試験での引っ掛け
脅威（付け込む側の事象）と脆弱性（付け込まれる弱点）、リスク（目的に対する不確かさの影響）の定義を入れ替えた選択肢が定番。27000が用語、27001が要求事項、27002が管理策の実践規範という番号の役割分担も問われる。認証を受けるのは組織であって、製品や個人ではない。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はリスクアセスメントの前に定める
リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。