情報セキュリティ管理基準とは？じょうほうせきゅりてぃかんりきじゅん
情報セキュリティ管理基準とは、組織が情報セキュリティを保つために実施すべき管理策を体系的にまとめた、経済産業省の基準。JIS Q 27001・27002 を下敷きとしており、方針や体制を扱うマネジメント基準と、個々の対策を並べた管理策基準の2部から成る。情報セキュリティ監査では、この一覧を判断のよりどころとして実施状況を点検する。
最終更新：2026-10-09
この語が出る過去問を解く →背景
情報セキュリティが十分かどうかは、担当者ごとに答えが変わりやすい。監査する側とされる側で「何をもって適切とするか」の物差しが違えば、指摘は主観のぶつけ合いになってしまう。公表された管理策の一覧を共通の物差しに据えれば、どの項目をどこまで実施しているかという形で過不足を語れる。基本情報では、この基準と情報セキュリティ監査基準の役割の違いが問われる。
具体例
経済産業省は、情報セキュリティ管理基準と情報セキュリティ監査基準を対にして公表している。監査ではこの管理基準に挙がった項目に沿って、サーバ室の入退室記録、可搬媒体の持出し許可、外部委託先との秘密保持の取決めといった管理策ごとに、実施の有無と裏付ける記録の存在を確かめていく。
試験での引っ掛け
管理する側の基準か、監査する側の基準かの取り違えが定番。実施すべき事項を並べたのが情報セキュリティ管理基準で、監査人の行為や報告のあり方を定めるのが情報セキュリティ監査基準である。またこれは法令ではないので、守らなかったからといって直ちに罰則が科されるものではない点も混同しやすい。
関連用語
出た過去問
出典：平成31年度 春期 基本情報技術者試験 午前 問60（IPA）
A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28…
正解：バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。
要点：バックアップは同時被災を避けるため遠隔地に保管する
バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。
出典：令和5年度 公開問題 基本情報技術者試験 科目A 問14（IPA）
A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程…
正解：テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。
要点：対策の要否を個人判断に委ねる運用は統制上の不備
監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を書く。マルウェア対策ソフトの導入可否を従業員個人の判断に委ねる運用は、組織として一律に講じるべき対策が担保されない状態であり、統制上の不備として指摘すべきものである。他の三つはむしろ利用範囲や機器を限定する適切な統制にあたる。
出典：令和7年度 公開問題 基本情報技術者試験 科目A 問15（IPA）
サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項と…
正解：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。
要点：社外に通じる扉の常時施錠は物理的統制の必須要件
監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を記載する。社外から直接出入りできるドアを常時施錠していない状態は、部外者の侵入を許しうる物理的セキュリティ上の不備であり、指摘すべきものである。他の三つは警報装置の設置や避難設備の確保、所在の秘匿といった適切な対策にあたる。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (8) その他のシステム関連の監査に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。