情報セキュリティ管理基準とは？じょうほうせきゅりてぃかんりきじゅん
情報セキュリティ管理基準とは、情報セキュリティ監査で「何をもって適切とするか」を示す公的な尺度で、経済産業省が策定している。組織が守るべき実践規範を、方針や体制を扱うマネジメント基準と、個別の対策を並べた管理策基準の二部に分けて示す。情報セキュリティ監査基準と対で用いられ、監査人はここから尺度とする項目を選ぶ。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査で「対策が十分か」を述べるには、何をもって十分とするかの物差しが要る。組織ごとに独自の物差しで判断すれば結果を比べられず、保証としての意味が薄れる。国際規格の管理策を土台に、監査で使える形へ整理した公的な尺度として置かれたのがこの基準である。実践規範そのものは国際規格に沿って更新されるため、版の違いにも注意が要る。
具体例
クラウドサービスへ業務を預ける場面では、クラウド情報セキュリティ管理基準を併せて用い、責任共有モデルに沿って事業者側と利用者側の管理策を切り分けて確認する。どの項目を尺度に選んだかは監査手続書に明記し、入手した証拠と対応づけて調書に残す。
試験での引っ掛け
システム管理基準が情報システムの企画から廃棄までのライフサイクル全般を扱うのに対し、こちらは情報セキュリティに絞った尺度である。またJIS Q 27001が認証を得るための要求事項であるのに対し、これは監査で使う尺度であって認証制度ではない。
関連用語
出た過去問
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8（IPA）
政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。
正解：日本セキュリティ監査協会“クラウド情報セキュリティ管理基準(平成28年度版)”
要点：ISMAP管理基準の土台はJASAのクラウド情報セキュリティ管理基準
ISMAP(政府情報システムのためのセキュリティ評価制度)の管理基準は、日本セキュリティ監査協会(JASA)の「クラウド情報セキュリティ管理基準」を基礎とし、これにISO/IEC 27001・27002・27017やNIST SP 800-53などの管理策を取り込んで構成されている。したがってエが正しい。ISMAPはクラウドサービスをあらかじめ評価・登録し、政府調達の際に登録簿から選定する仕組みである。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (8) その他のシステム関連の監査に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。