管理策とは？かんりさく
管理策とは、リスクを小さくするために実際に行う個々の対策のことで、規程を作る、権限を設定する、研修を行う、鍵をかけるといった具体的な打ち手を指します。よく組織的・人的・物理的・技術的の4種類に分けて整理され、この分類のどれにあたるかを問う出題が繰り返されています。大事なのは、管理策は「手段」であって「方針」ではないという点です。リスクにどう向き合うか（減らす・避ける・保険などで移す・受け入れる）を決めるのが先にあり、そのうち「減らす」を選んだときに、では具体的に何をするのかが管理策になります。
最終更新：2026-10-10
この語が出る過去問を解く →背景
「情報漏えいを防ぐ」という方針だけでは、明日から誰が何をすればよいのかが決まりません。管理策は、方針を現場で実行できる単位まで具体化したものです。4つに分類するのは分類そのものが目的ではなく、打ち手が一方向に偏るのを防ぐためで、鍵と入退室だけを固めても、権限設定や社員教育が抜けていれば同じ目的は達成できません。試験がこの分類を繰り返し出すのは、対策を並べたときにどの側面が手薄かを見分けられるかを確かめているためです。
具体例
重要書類をキャビネットに施錠して保管するのは物理的管理策、入退室をICカードで記録するのも物理的管理策です。職務に応じて共有フォルダの閲覧権限を設定するのは技術的管理策、その権限の決め方を規程に書くのは組織的管理策、年1回の情報セキュリティ研修を全社員に受けさせるのは人的管理策にあたります。同じ「情報漏えいを防ぐ」目的でも、打ち手の性格でこう分かれます。
試験での引っ掛け
管理策と、リスク対応の選択肢（低減・回避・移転・受容）を同じものとして選ばせる引っ掛けが定番です。管理策は選んだ方針を実現する手段のほうです。もう一つ、規格に載っている管理策の一覧は「候補のリスト」であって、全部を必ず実施しなければならないものではありません。自社に不要なものは、理由を書いて採用しないと決められます。4分類のどれにあたるかを問う問題は、「人がやること＝人的」「設備＝物理的」「仕組みの設定＝技術的」「決めごと＝組織的」と対応づけると迷いません。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 ITパスポート試験 問80（IPA）解説で登場
ISMS適合性評価制度において、組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成してい…
正解：b
要点：ISMS認証は仕組みの認証であり、無脆弱性の保証ではない
ISMS認証は、組織が情報資産を適切に管理し、リスクに応じた管理策を定めて運用する仕組み（マネジメントシステム）を備えていることを第三者が認証する制度である。個々のシステムに脆弱性がないことや、製品の機能が適切に実装されていることを保証する制度ではない。
出典：平成30年度 秋期 ITパスポート試験 問30（IPA）解説で登場
BYODの説明として、適切なものはどれか。
正解：企業などにおいて、従業員が私物の情報端末を自社のネットワークに接続するなどして、業務で利用できるようにすること
要点：BYODは私物端末の業務利用。管理策と規程が前提
従業員が個人で所有する情報端末を業務に使う運用形態を指す。端末の調達費用を抑えられ、使い慣れた機器で作業できる利点がある一方、業務データが私物端末に残る、私物端末経由でマルウェアが社内に持ち込まれるといった危険があるため、利用範囲や管理方法を定めた規程とMDMなどの管理策が欠かせない。
出典：平成30年度 秋期 ITパスポート試験 問61（IPA）解説で登場
PDCAモデルに基づいてISMSを運用している組織において、運用しているサーバのソフトウェアに対する最新の修正プログラムの有無を、定められた運用手順に従って毎日…
正解：D (Do)
要点：定められた手順どおりの日常運用はPDCAのDo
ISMSのPDCAでは、方針や管理策を定めるのが計画、定めた管理策や手順を実際に運用するのが実行、有効性を点検・監査するのが評価、その結果を受けて是正するのが改善である。修正プログラムの有無を毎日調べる作業は、あらかじめ定められた運用手順そのものを日々こなしている状態なので、実行の段階に当たる。手順の妥当性そのものを見直す活動ではない点が判断の分かれ目である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。