JIS Q 27001とは？じすきゅーにななぜろぜろいち
JIS Q 27001は、ISMS（情報セキュリティマネジメントシステム：組織として情報を守る仕組み）が満たすべき要求事項を定めた日本産業規格で、国際規格 ISO/IEC 27001 を日本語にしたものである。組織がこの規格を満たしているかを第三者の審査機関が確かめ、満たしていればISMS認証が与えられる。つまり認証の審査の物差しになるのは、27000番台のうちこの27001である。本文では、適用範囲を決める、経営者が方針を示す（リーダーシップ）、リスクを評価して対策を計画する、運用する、成果を評価する（パフォーマンス評価）、改善する、という流れを組織に求める。守るための具体的な対策の一覧（管理策）は附属書Aにある。現行の JIS Q 27001:2023（ISO/IEC 27001:2022 に対応）では、管理策が93項目にまとめ直され、組織的・人的・物理的・技術的の4つに分類された。
最終更新：2026-10-10
この語が出る過去問を解く →背景
取引先に「御社の情報管理は大丈夫か」と聞かれたとき、各社が自己流のチェックリストで答えるのでは、比べることも信用することも難しい。そこで、情報を守る仕組みが組織に備わっているかを、共通の物差しで第三者が確かめられるようにした。その物差しが、英国規格を元にした ISO/IEC 27001 であり、日本ではそれを JIS Q 27001 として定めている。
具体例
サイボウズは、kintone などを提供するクラウドサービス cybozu.com について、ISMS認証（ISO/IEC 27001）を取得している。企業がクラウドサービスを選ぶとき、こうした認証の有無は「第三者の審査で、情報を守る仕組みが規格を満たしていると確認された」ことの目安になる。ただし認証は仕組みがあることの確認で、事故が起きないことの保証ではない。
試験での引っ掛け
27000番台の役割を取り違えない。認証の基準になる要求事項を定めるのが 27001、言葉の定義と全体の概要が 27000、管理策をどう実施するかの手引きが 27002 である。「管理策の実施の手引き」と書かれていたら27002で、27001ではない。また管理策の数と分類は版で違う。現行の2023年版は93項目・4分類で、旧版（JIS Q 27001:2014）の114項目・14分類の数字で覚えないようにする。
関連用語
出た過去問
出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）
出典：令和7年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。