情報セキュリティ管理基準とは？

情報セキュリティ管理基準の意味

経済産業省が、組織が効果的な情報セキュリティマネジメント体制を構築・運用するための実践規範として策定した基準。ISO/IEC 27001・27002の国内版としての位置づけを持つ。

情報セキュリティ管理基準の具体例

情報セキュリティ監査を行う際、監査人がこの管理基準を判断のものさし（管理策の網羅性チェックリスト）として用いることがある。

情報セキュリティ管理基準は試験でどう引っ掛けられる？

情報セキュリティ監査基準と名前が紛らわしい。管理基準は組織が実施すべき管理策のものさし、監査基準は監査人がどう監査し報告するかを定める行為規範で、対象が違う。どちらも経済産業省が策定したもので、JIS規格そのものではない。

情報セキュリティ管理基準と関連する用語

• ISO/IEC 27000シリーズ

情報セキュリティ管理基準が出た過去問

• “情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。

  正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。

  要点：監査基準は行為規範、管理基準は判断の尺度

  情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）

• 従業員の守秘義務について，"情報セキュリティ管理基準"に基づいて監査を行った。指摘事項に該当するものはどれか。

  正解：雇用の終了をもって守秘義務が解消されることが，雇用契約に定められている。

  要点：守秘義務は雇用終了後も存続させる定めが必要

  守秘義務は、雇用が終わった後も一定期間または無期限で存続させることが求められる。退職と同時に義務が消えると、退職者が在職中に知り得た機密を自由に開示できてしまうため、そのような契約は指摘事項となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。

  正解：JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。

  要点：管理基準はマネジメント基準と管理策基準の二本立てで規格と整合

  情報セキュリティ管理基準は、JIS Q 27001とJIS Q 27002の内容を踏まえて作られており、これらの規格と整合するよう構成されています。全体は組織のISMS確立・運用に関するマネジメント基準と、具体的な対策を示す管理策基準の二つからなります。マネジメント基準の事項は選択制ではなく実施すべきもので、逆に管理策は必要に応じて基準に載っていないものを追加してもかまいません。

  出典：令和5年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問1（IPA）

• 情報セキュリティ違反を犯した従業員に対する懲戒手続を規定した就業規則を含む社内規程の内容について、情報セキュリティ管理基準（平成28年）に基づき監査を実施した。…

  正解：従業員による情報セキュリティ違反の可能性を認識したら、直ちに懲戒手続を開始することを定めていた。

  要点：懲戒手続は事実確認を経て開始すべきで、疑い段階での着手は不適切

  懲戒手続は、まず違反の事実を調査・確認したうえで開始すべきものです。単に違反の可能性を認識しただけで直ちに懲戒手続を始める規定は、事実確認を欠いたまま従業員に不利益を与えるおそれがあり、公正な手続とはいえません。したがって、この規定が監査人の指摘事項に当たります。

  出典：令和7年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問8（IPA）