JIS Q 27002とは？じすきゅーにななぜろぜろに
JIS Q 27002とは、JIS Q 27001の附属書Aに列挙された情報セキュリティ管理策について、目的・実施の手引・補足を示す規格（ISO/IEC 27002の日本語版）。2022年版で管理策は組織的37・人的8・物理的14・技術的34の計93に再編され、管理策タイプ（予防・検知・是正）やサイバーセキュリティ概念（識別・防御・検知・対応・復旧）などの属性が付いた。脅威インテリジェンスやデータマスキングなど11の管理策が新設された。
最終更新：2026-10-06
この語が出る過去問を解く →背景
JIS Q 27001は「何を満たすか」を定める認証用の規格で、管理策は一覧として附属書Aに載るだけで、どう実装するかは書かれていない。そこで管理策ごとに実施の手引を与える姉妹規格として27002が置かれた。適用宣言書（SoA）で管理策の適用可否を決めるとき、実装の水準を判断する物差しになる。支援士では、27001と27002の役割の違い、2022年版の4分類と属性、新設管理策が問われる。
具体例
ISMS認証を取る企業が適用宣言書を書くとき、「8.15 ログ取得」「8.16 監視活動」「8.11 データマスキング」の各項をJIS Q 27002で引き、ログの保護・保存期間やテスト環境の個人情報のマスキング方法を実装の手引として参照する。2022年版で新設された「5.7 脅威インテリジェンス」は、IoCの収集と活用を管理策として位置づけた。
試験での引っ掛け
JIS Q 27002はそれ自体で認証を取得する規格ではなく、JIS Q 27001の管理策実施を補助する手引である。「27002に適合した」という認証は存在しない。管理策の数を旧版の114と混同しやすく、2022年版は93。またクラウドサービス向けの実践規範は27017、個人情報保護は27701と、姉妹規格の番号の取り違えも定番。
関連用語
出た過去問
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
JIS Q 27002:2014には記載されていないが、JIS Q 27017:2016には記載されている管理策はどれか。
正解：クラウドサービス固有の情報セキュリティ管理策
要点：JIS Q 27017はクラウド固有の管理策を追加した規格
JIS Q 27017は、クラウドサービスの利用者と提供者を対象に、27002の管理策をクラウド環境向けに読み替える実施の手引と、クラウド固有の追加管理策を示した規格である。仮想環境の分離、管理者操作の監視、利用終了時のデータ削除と返却、責任分界の明確化などが該当する。基盤となる27002には無い観点である点が要点である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。