情報セキュリティサービス基準とは？じょうほうせきゅりてぃさーびすきじゅん
情報セキュリティサービス基準とは、情報セキュリティ監査、脆弱性診断、デジタルフォレンジック、セキュリティ監視・運用の4種類のサービスについて、提供者が備えるべき技術力と品質管理の要件を定めた経済産業省の基準である。基準への適合は審査登録機関が確認し、適合したサービスはIPAが「情報セキュリティサービス基準適合サービスリスト」として公表する。発注側がサービス選定に使う目安として問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
脆弱性診断や監視は外から品質の差が見えず、安い業者に頼んだら診断項目が抜けていた、という事態が起きやすい。発注者が個々の技術力を審査するのは現実的でないため、国が要件を定め、第三者が審査し、適合したサービスを一覧で公開する制度にした。自治体や官公庁の調達では、適合サービスの利用が仕様書で求められることがある。
具体例
自社Webアプリの脆弱性診断を外注する場面では、IPAの適合サービスリストに載っている診断サービスかを確認したうえで、診断範囲（画面数・API数）、報告書の書式、再診断の有無を比較する。適合の有無だけで選ばず、契約には秘密保持と診断中に障害を起こした場合の対応を入れる。
試験での引っ掛け
法律ではなく基準であり、適合していなくてもサービス提供は可能である。適合の単位は事業者そのものではなく個々のサービスで、担当者個人の力量を保証するものでもない。政府のクラウドサービス評価制度であるISMAPとは別制度で、こちらはセキュリティサービスの提供者を対象にした基準である。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (7) 情報セキュリティ組織・機関に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。