JIS Q 27001とは？じすきゅーにななぜろぜろいち
JIS Q 27001とは、ISMSの要求事項を定めた規格（ISO/IEC 27001の国内版）。経営者が情報セキュリティについて方針を示し、マネジメントシステムの要求事項を満たすルールを定め、組織が保有する情報資産を機密性・完全性・可用性の観点から維持管理し、それらを継続的に見直すためのプロセス及び管理策を体系的に規定したもの——午前Iの選択肢は、ほぼこの一文の形で27001を指す。同じ27000ファミリでも、用語の定義は27000、管理策の実践のための規範は27002が担い、認証の基準になる要求事項を持つのは27001だけである。
最終更新：2026-10-07
この語が出る過去問を解く →背景
午前Iは全区分共通の30問を1問あたり実質1分で解く。セキュリティとマネジメントの制度・規格が毎回数問を占めるが、この区分で27001が現れるとき、主役は27001でないことが多い。別の文書を答えさせる設問の誤答の1つとして置かれるのが典型である。平成29年度春期問14と令和3年度春期問13は、どちらもサイバーセキュリティ経営ガイドラインの説明を選ばせる設問で、誤答としてISMS（JIS Q 27001）・COBIT・サイバーセキュリティ基本法が並んだ。文書の性格——要求事項の規格か、経営者向けの手引か、ガバナンスとマネジメントのプロセス定義か、国の責務を定めた法律か——を1行で言い分けられるかが問われている。
具体例
令和3年度春期 午前I問13の誤答イは「経営者がサイバーセキュリティについて方針を示し、マネジメントシステムの要求事項を満たすルールを定め、組織が保有する情報資産をCIAの観点から維持管理し、それらを継続的に見直すためのプロセス及び管理策を体系的に規定したもの」。これがJIS Q 27001の説明である。正解のサイバーセキュリティ経営ガイドラインは「経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目」で、規格ではなく手引。COBITは「ITガバナンスとITマネジメントに分割し、具体的な目標と工程としてプロセスを定義したもの」。この3つを1文ずつで言い分けられれば、同じ設問は平成29年度春期にも出ているので2問分になる。
試験での引っ掛け
第1に、27000ファミリの役割分担。平成31年度春期 午前I問22は事務所の物理的セキュリティ対策の監査で、根拠にされたのはJIS Q 27002（情報セキュリティ管理策の実践のための規範）だった。令和3年度秋期 午前I問13は否認防止の特性を問い、根拠はJIS Q 27000（用語）である。設問が引用している番号と、聞かれている中身（要求事項＝27001、実践規範＝27002、用語＝27000）がずれていないかを見る。第2に、27001の説明文（方針・ルール・CIAの維持管理・継続的見直し）を、サイバーセキュリティ経営ガイドラインやサイバーセキュリティ基本法の説明と取り違えない。同趣旨の設問が平成29年度春期と令和3年度春期に繰り返し出ている。第3に、COBITはガバナンスとマネジメントに分けてプロセスを定義した枠組みであって、ISMSの要求事項ではない。プロセス数（37・40）の版差まで選択肢に書かれることがあるが、判別に使うのは数ではなく「2つに分割してプロセスを定義」という骨格である。
関連用語
出た過去問
出典：令和4年度 秋期 高度試験 午前Ⅰ 問21（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はアセスメントより先に定めておく
リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。