JIS Q 27001とは？じすきゅーにななぜろぜろいち
JIS Q 27001とは、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた規格で、ISO/IEC 27001を日本語化したもの。組織が何を満たしていればISMSを確立・運用・維持・改善していると言えるかを規定し、第三者認証の審査基準になる。個々の管理策をどう実装するかまでは示さない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
取引先や委託先のセキュリティ水準を確かめたいという要求は前からあったが、各社が独自の基準で相手を監査していては、確認する側もされる側も同じ作業を何度も繰り返すことになる。共通の物差しを規格として置き、第三者が一度審査すれば多くの取引先に通用する形にしたのが認証制度の狙いである。応用情報では法務・監査分野と接続し、要求事項の規格か実践の手引かという役割の区別で問われる。
具体例
日本での認証はISMS適合性評価制度のもとで運用され、情報マネジメントシステム認定センター（ISMS-AC）が認定した審査機関が審査を行う。要求事項の本体は箇条4から10のリーダーシップ・計画・支援・運用・パフォーマンス評価・改善で構成され、附属書Aに管理策の一覧が置かれる。
試験での引っ掛け
実践の規範であるJIS Q 27002と役割を入れ替える出題が定番で、27001は「何を満たすか」、27002は「どう実施するか」。また附属書Aの管理策は全件実施が義務ではなく、リスクアセスメントの結果に基づいて採否を適用宣言書に記す。認証されるのは製品ではなくマネジメントシステムである。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はリスクアセスメントの前に定める
リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。