JIS Q 27001とは？じすきゅーにななぜろぜろいち
JIS Q 27001とは、ISMSの要求事項を定めた国際規格ISO/IEC 27001を日本語化した規格で、組織がISMSを構築・運用・監視・改善するために満たすべき事項を規定する。適用範囲の決定、リーダーシップ、リスクアセスメントとリスク対応、力量と認識、パフォーマンス評価（内部監査・マネジメントレビュー）、継続的改善といった項目が並び、ISMS認証審査の基準になる。附属書Aには選択候補となる管理策の一覧が付く。
最終更新：2026-10-06
この語が出る過去問を解く →背景
取引先が情報を適切に扱っているかは、外から見ても分からない。会社ごとに独自の物差しで「万全です」と説明されても比較できず、委託のたびに相手を一から調べ直す負担が積み上がる。共通の要求事項を規格として定め、第三者が同じ基準で審査する仕組みを作ることで、この確認コストを社会全体で下げたのがJIS Q 27001である。読者の多くが認証の取得・維持の実務に関わるため、試験でも中心的に扱われる。
具体例
ISMS認証を取得する企業は、JIS Q 27001の要求事項に沿って情報セキュリティ方針とリスクアセスメントの手順を定め、適用宣言書を作成したうえで審査機関の審査を受ける。取得後も毎年の維持審査と3年ごとの更新審査があり、内部監査記録とマネジメントレビュー記録が実際に確認される。
試験での引っ掛け
JIS Q 27001は「何を満たすべきか」を示す要求事項の規格で、管理策の具体的な実施方法を示す実践規範のJIS Q 27002とは役割が違う。認証審査で適合が問われるのは27001のほうである。番号が近い JIS Q 27014（情報セキュリティガバナンス）とも取り違えやすい。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントより先に定める
JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…
正解：監査プログラムは前回までの監査結果を考慮しなければならない。
要点：内部監査計画は前回の監査結果を踏まえて立てる
JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）
ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）の附…
正解：ソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。
要点：セキュリティ機能の試験は開発期間中に計画的に実施する
セキュリティ機能の試験は開発の各段階で計画的に行い、問題を早い段階で見つけて是正することが求められる。開発期間が終わってからまとめて実施する運用では、不具合の発見が遅れ、修正の負担も大きくなるため、管理策に照らして不備と判断できる。他の三つは管理策に沿った望ましい実施状況である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）
JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。
正解：受容するリスクについては、リスク所有者が承認すること
要点：残留リスクの受容にはリスク所有者の承認が必要
JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。