情報セキュリティ管理とは？じょうほうせきゅりてぃかんり
情報セキュリティ管理とは、情報資産の機密性・完全性・可用性を保つために、方針を定め、リスクを洗い出して評価し、管理策を実施し、効果を確かめて直す、という一連の営み。守る対象は機器やデータだけでなく、それを扱う人と手順も含む。ITサービスを提供する組織では、運用の仕組みの一部としても要求される。
最終更新：2026-10-09
この語が出る過去問を解く →背景
対策は入れて終わりにできない。人が入れ替わり、機器が増え、新しい攻撃手法が出てくるので、昨日まで十分だった対策がすぐ足りなくなるためである。加えて、すべてを最高水準で守る予算はどの組織にもない。資産の重要度と起こりやすさで優先順位を付け、限られた資源を配分する判断が要る。だから「管理」という営みが必要になる。
具体例
情報資産の台帳を作って重要度を付け、経営層が承認した方針のもとで、アクセス権の付与基準、委託先への要求事項、事故時の報告経路を定めて運用する。見直しの材料には、IPAが毎年公表する「情報セキュリティ10大脅威」のような外部の情報も使う。
試験での引っ掛け
導入した製品の数ではなく、リスクに見合った対策が選ばれて実際に運用されているかで評価される点が問われる。また事故が起きたときも別枠にはせず、通常のインシデント管理の記録・対応の枠組みに載せたうえで、必要に応じて専門の体制へ引き継ぐ形をとる。
関連用語
出た過去問
出典：平成31年度 春期 基本情報技術者試験 午前 問60（IPA）
A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28…
正解：バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。
要点：バックアップは同時被災を避けるため遠隔地に保管する
バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。
出典：令和5年度 公開問題 基本情報技術者試験 科目A 問14（IPA）
A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程…
正解：テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。
要点：対策の要否を個人判断に委ねる運用は統制上の不備
監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を書く。マルウェア対策ソフトの導入可否を従業員個人の判断に委ねる運用は、組織として一律に講じるべき対策が担保されない状態であり、統制上の不備として指摘すべきものである。他の三つはむしろ利用範囲や機器を限定する適切な統制にあたる。
出典：令和7年度 公開問題 基本情報技術者試験 科目A 問15（IPA）
サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項と…
正解：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。
要点：社外に通じる扉の常時施錠は物理的統制の必須要件
監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を記載する。社外から直接出入りできるドアを常時施錠していない状態は、部外者の侵入を許しうる物理的セキュリティ上の不備であり、指摘すべきものである。他の三つは警報装置の設置や避難設備の確保、所在の秘匿といった適切な対策にあたる。
出典：令和7年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。