情報セキュリティ管理基準とは？じょうほうせきゅりてぃかんりきじゅん
情報セキュリティ管理基準とは、経済産業省が策定した、組織が情報セキュリティマネジメントを確立・運用するための実践規範。PDCAの回し方を示すマネジメント基準と、個々の対策を並べた管理策基準の2部で構成される。情報セキュリティ監査において「何を評価するか」のものさしとして用いられる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査を依頼する側と受ける側で「どこまでやれば十分か」の共通のものさしがないと、監査結果を年度間で比べることも、経営層や取引先へ説明することもできない。国際規格をそのまま渡しても現場では使いにくいため、監査で参照できる形に整理して国が示した。情報セキュリティ監査基準と対で作られており、sgではこの二つの役割の違いがそのまま出題される。
具体例
内部監査部門が年次の情報セキュリティ監査を計画するとき、管理策基準をチェックリストに落とし、アクセス制御・委託先管理・入退室管理といった項目ごとに実施状況の証拠を集めていく。JIS Q 27001でISMS認証を取得している組織なら、附属書Aの管理策と対応づけることで審査対応と監査対応の重複を減らせる。
試験での引っ掛け
情報セキュリティ監査基準と名前が紛らわしい。管理基準は組織が実施すべき管理策のものさし、監査基準は監査人がどう監査し報告するかを定める行為規範で、向いている相手が違う。どちらも経済産業省が策定したものでJIS規格そのものではなく、これ自体が認証制度の要求事項でもない。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）
“情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。
正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。
要点：監査基準は行為規範、管理基準は判断の尺度
情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
従業員の守秘義務について，"情報セキュリティ管理基準"に基づいて監査を行った。指摘事項に該当するものはどれか。
正解：雇用の終了をもって守秘義務が解消されることが，雇用契約に定められている。
要点：守秘義務は雇用終了後も存続させる定めが必要
守秘義務は、雇用が終わった後も一定期間または無期限で存続させることが求められる。退職と同時に義務が消えると、退職者が在職中に知り得た機密を自由に開示できてしまうため、そのような契約は指摘事項となる。
出典：令和5年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問1（IPA）
情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。
正解：JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。
要点：管理基準はマネジメント基準と管理策基準の二本立てで規格と整合
情報セキュリティ管理基準は、JIS Q 27001とJIS Q 27002の内容を踏まえて作られており、これらの規格と整合するよう構成されています。全体は組織のISMS確立・運用に関するマネジメント基準と、具体的な対策を示す管理策基準の二つからなります。マネジメント基準の事項は選択制ではなく実施すべきもので、逆に管理策は必要に応じて基準に載っていないものを追加してもかまいません。
出典：令和7年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問8（IPA）
情報セキュリティ違反を犯した従業員に対する懲戒手続を規定した就業規則を含む社内規程の内容について、情報セキュリティ管理基準（平成28年）に基づき監査を実施した。…
正解：従業員による情報セキュリティ違反の可能性を認識したら、直ちに懲戒手続を開始することを定めていた。
要点：懲戒手続は事実確認を経て開始すべきで、疑い段階での着手は不適切
懲戒手続は、まず違反の事実を調査・確認したうえで開始すべきものです。単に違反の可能性を認識しただけで直ちに懲戒手続を始める規定は、事実確認を欠いたまま従業員に不利益を与えるおそれがあり、公正な手続とはいえません。したがって、この規定が監査人の指摘事項に当たります。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1 システム監査 ＞ 情報セキュリティ監査に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。