組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）とは？そしきてきせきゅりてぃたいさくのきそ
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）とは、ISMSは組織が情報セキュリティを維持・改善し続けるための管理の仕組みで、JIS Q 27001が要求事項を定める。リスクアセスメントはその中核にあたり、リスクの特定・分析・評価を通じて対策の優先順位を決めるプロセスを指す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ対策の効果は、技術の巧拙よりも、決めたことが守られ続けるかで決まる。担当者の熱意で始めた施策は異動とともに失われ、なぜその対策を選んだのかが記録されていなければ、次の担当者は同じ検討をやり直すことになる。資産を洗い、リスクを評価し、対策を選び、有効性を見て直すという一巡を文書化し、第三者認証で確からしさを担保できるようにしたのがISMSである。
具体例
ISMSはJIS Q 27001（ISO/IEC 27001）が要求事項、JIS Q 27002が管理策の実践規範を定め、日本ではISMS適合性評価制度で第三者認証を受けられる。運用では、顧客データベースへの不正アクセスをリスクマトリックスで高と評価した組織が、その対策を優先して適用宣言書に載せ、内部監査で有効性を確かめる。
試験での引っ掛け
リスク対応の4分類が入れ替えられやすい。確率や影響を下げるのが低減、保険や外部委託で他者へ移すのが移転（共有）、原因となる活動そのものをやめるのが回避、影響が小さいと判断して受け入れるのが受容（保有）である。またリスクは資産・脅威・脆弱性がそろって成立し、脆弱性があっても脅威が無ければ顕在化しない。ISMSの目標はリスクをゼロにすることではなく、受容水準まで下げて管理し続けることにある。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 応用情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はリスクアセスメントの前に定める
リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。
出典：令和4年度 秋期 応用情報技術者試験 午前 問41（IPA）
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
要点：リスクアセスメントは特定・分析・評価の3プロセス
JIS Q 31000におけるリスクアセスメントは、リスク特定・リスク分析・リスク評価の3つのプロセスで構成されます。まずリスクを洗い出し（特定）、起こりやすさと影響の大きさを把握し（分析）、基準と照らして対応の要否や優先順位を判断します（評価）。その結果を受けて実施するリスク対応は、アセスメントの後に続く別のプロセスです。
出典：令和4年度 春期 応用情報技術者試験 午前 問43（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベルは影響の大きさと起こりやすさの組合せ
JIS Q 27000におけるリスクレベルは、リスクが実際に起きたときの結果（影響の大きさ）と、その起こりやすさ（発生可能性）を組み合わせて表したリスクの大きさを指す。リスクアセスメントでは、この値を算定したうえでリスク基準と照らし合わせ、対応の要否や優先順位を決める。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。