標準化団体（ISO・JIS・IEC）とは？

標準化団体（ISO・JIS・IEC）の意味

製品・サービスの仕様や品質、安全性などについて公的な基準（規格）を策定する団体。国際標準化機構（ISO）、日本産業規格（JIS）、国際電気標準会議（IEC）などがある。これらが定める標準は「デジュールスタンダード（公的標準）」と呼ばれる。インターネット関連技術の標準化はIETFがRFCとして策定する。

標準化団体（ISO・JIS・IEC）の具体例

ISO 9001は品質マネジメントシステムの国際規格、ISO 14001は環境マネジメントシステムの国際規格として、多くの企業が認証を取得している。

標準化団体（ISO・JIS・IEC）は試験でどう引っ掛けられる？

ISO・JIS・IECが定めるのはデジュールスタンダード。市場競争の結果として事実上の標準になったデファクトスタンダード、業界団体が作るフォーラム標準との違いが問われる。JISは日本産業規格で工業規格ではない。

標準化団体（ISO・JIS・IEC）と関連する用語

• デファクトスタンダード

標準化団体（ISO・JIS・IEC）が出た過去問

• JIS Q 20000-1は，サービスマネジメントシステム（SMS）及びサービスのあらゆる場面でPDCA方法論の適用を要求している。SMSの計画（Plan）に含…

  正解：権限，責任及びプロセスにおける役割についての枠組みの作成

  要点：計画は枠組みづくり、導入運用はDo、レビューはCheck

  PDCAのPlanは、目的と要求事項を満たすために必要な仕組みを設計・確立する段階である。権限や責任、プロセスにおける役割の枠組みを定めることは、この計画段階に含まれる。資金や予算を使った導入・運用はDo、マネジメントレビューはCheck、改善の実施はActに対応する。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問56（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• リスクアセスメントを構成するプロセスの組合せはどれか。

  正解：リスク特定、リスク分析、リスク評価

  要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程

  JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。 〔定…

  正解：真正性:b, 信頼性:a

  要点：真正性＝名乗りどおり、信頼性＝意図と結果が一貫

  真正性は、利用者や機器などの主体が名乗ったとおりの存在であることを保証する特性である。信頼性は、意図した動作とその結果が食い違わず一貫していることを指す。可用性や機密性とは別の概念として区別して覚える。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問39（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において、“エンティティは、それが主張するとおりのものであるという特性”と定義され…

  正解：真正性

  要点：真正性はエンティティが主張どおり本物であるという特性

  真正性（authenticity）は、利用者やシステムなどのエンティティが、自ら主張するとおりの本人・本物であるという特性である。認証によって確保され、なりすましを防ぐことにつながる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問39（IPA）