JIS Q 27000／JIS Q 27001とは？
JIS Q 27000／JIS Q 27001とは、27000はISMS（情報セキュリティマネジメントシステム）に関する用語と概要を定めた規格、27001はISMSの要求事項を定めた規格。機密性・完全性・可用性、リスク、脅威、脆弱性、リスク受容といった用語の定義が示される。
高度試験・午前I（全区分共通）の過去問では2回出題されています（2017年度〜2022年度）。
じすきゅーにまんななせん
JIS Q 27000／JIS Q 27001の意味
27000はISMS（情報セキュリティマネジメントシステム）に関する用語と概要を定めた規格、27001はISMSの要求事項を定めた規格。機密性・完全性・可用性、リスク、脅威、脆弱性、リスク受容といった用語の定義が示される。
JIS Q 27000／JIS Q 27001の具体例
「脆弱性＝一つ以上の脅威によって付け込まれる可能性のある、資産または管理策の弱点」といった定義。
JIS Q 27000／JIS Q 27001は試験でどう引っ掛けられる？
脅威（付け込む側の事象）と脆弱性（付け込まれる弱点）、リスク（目的に対する不確かさの影響）の定義を入れ替えた選択肢が定番。
JIS Q 27000／JIS Q 27001と関連する用語
JIS Q 27000／JIS Q 27001が出た過去問
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。
正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す
サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。
出典：平成29年度 春期 高度共通_午前I試験 am1 問14（IPA）JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はアセスメントより先に定めておく
リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。
出典：令和4年度 秋期 高度共通_午前I試験 am1 問21（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。