情報セキュリティ管理基準とは？

情報セキュリティ管理基準の意味

組織が情報セキュリティを維持するために実施すべき管理策を体系的に列挙した基準で、情報セキュリティ監査を行うときの判断のよりどころになるもの。管理策の一覧に沿って現状の過不足を点検できる。

情報セキュリティ管理基準の具体例

情報セキュリティ監査で、サーバ室の入退室記録、可搬媒体の持ち出し許可、外部委託先との秘密保持の取り決めなど、基準に挙がった管理策ごとに実施状況と裏付けとなる証拠の有無を確かめていく。

情報セキュリティ管理基準は試験でどう引っ掛けられる？

これは「管理する側が実施すべき事項の基準」であって、監査人の行動を律する基準（監査基準）ではない。管理側の基準か監査側の基準か、という対応関係が問われやすい。

情報セキュリティ管理基準と関連する用語

• 情報セキュリティ監査
• システム管理基準
• ISMSとJIS Q 27001

情報セキュリティ管理基準が出た過去問

• A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28…

  正解：バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。

  要点：バックアップは同時被災を避けるため遠隔地に保管する

  バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問60（IPA）

• A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程…

  正解：テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。

  要点：対策の要否を個人判断に委ねる運用は統制上の不備

  監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を書く。マルウェア対策ソフトの導入可否を従業員個人の判断に委ねる運用は、組織として一律に講じるべき対策が担保されない状態であり、統制上の不備として指摘すべきものである。他の三つはむしろ利用範囲や機器を限定する適切な統制にあたる。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuA 問14（IPA）

• サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項と…

  正解：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。

  要点：社外に通じる扉の常時施錠は物理的統制の必須要件

  監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を記載する。社外から直接出入りできるドアを常時施錠していない状態は、部外者の侵入を許しうる物理的セキュリティ上の不備であり、指摘すべきものである。他の三つは警報装置の設置や避難設備の確保、所在の秘匿といった適切な対策にあたる。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問15（IPA）