JIS Q 27002とは？じすきゅーにななぜろぜろに
JIS Q 27002とは、情報セキュリティ管理策の実践のための規範を示す規格で、ISO/IEC 27002を日本語化したもの。JIS Q 27001の附属書Aに並ぶ各管理策について、目的、どういう場面で必要か、どのように実施するかという指針を具体的に説明する。要求事項ではなく手引きなので、自組織の事情に合わせて取捨選択して使う位置づけにある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
「アクセス制御を実施する」とだけ書かれても、権限をどう設計し、どの頻度で見直し、どこまで記録を残せばよいかは分からない。要求事項の規格は満たすべき水準を示すためにあえて抽象的に書かれているため、そのままでは現場が動けない。この隙間を埋め、各組織が一から考え直さずに済むよう実務の定石をまとめたのがJIS Q 27002である。試験では27001との役割分担という形で問われる。
具体例
アクセス制御の管理策を実施する担当者が、パスワードの取扱い方針や利用者アクセス権の付与・見直しの進め方をJIS Q 27002で確認し、自社の情報セキュリティ規程の文面に落とし込む。監査で「なぜこの運用にしたのか」を問われたときの根拠としても示せる。
試験での引っ掛け
JIS Q 27002は認証を取得するための規格ではない。ISMS認証で適合を審査されるのは要求事項を定めたJIS Q 27001のほうで、27002はその管理策実施を助ける手引きにとどまる。番号が一つ違うだけなので、どちらが要求事項でどちらが実践規範かを取り違えやすい。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から、改善が必要な状況はどれか。
正解：正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。
要点：教育対象は雇用形態を問わず情報を扱う全員
JIS Q 27002は、意識向上・教育・訓練の対象を「組織の全ての従業員、及び関連する場合は契約相手」としており、雇用形態にかかわらず組織の情報を扱う者は対象に含まれる。正規従業員と同じ業務に就く派遣従業員だけを教育から外せば、その部分が情報セキュリティの弱点になる。攻撃者は最も守りの薄いところを突くため、教育対象に穴を作らないことが重要である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問8（IPA）
情報システムに対するアクセスのうち、JIS Q 27002でいう特権的アクセス権を利用した行為はどれか。
正解：システム管理者が、業務システムのプログラムのバージョンアップを行う。
要点：特権的アクセス権はシステム設定や更新を行える管理者権限
特権的アクセス権とは、システムの設定変更やソフトウェアの導入・更新など、通常の利用者権限では実行できない管理的な操作を可能にする権限を指す。重要情報を扱うかどうかではなく、システムの制御を握る権限かどうかで判断する。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問12（IPA）
JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）の“サポートユーティリティ”に関する例示に基づいて，サポートユーティリティと判断され…
正解：サーバ室の空調
要点：サポートユーティリティは電力や空調などの支援設備を指す
サポートユーティリティは、情報処理設備を支える電力・空調・給水・換気などの支援設備を指す。停止すればシステムの可用性が直接損なわれるため、能力の適合性の確認や定期点検といった管理策が求められる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）
JIS Q 27017:2016（JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）が提供する“管理策及び実施の手引”の…
正解：外部のクラウドサービスを利用する事業者と，クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
要点：JIS Q 27017はクラウドの利用側・提供側の双方が対象
JIS Q 27017はクラウドサービスに関わる情報セキュリティ管理策の実践規範で、クラウドサービスカスタマ（利用者側の事業者）とクラウドサービスプロバイダ（提供者側の事業者）の双方を対象としている。各管理策に対して、カスタマ向けの手引とプロバイダ向けの手引が併記される構成になっている。したがって、利用するだけの事業者にも、提供するだけの事業者にも適用できる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）
JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）でいう特権的アクセス権の管理について，情報システムの管理特権を利用した行為はどれか。
正解：システム管理者が，業務システムのプログラムにアクセスし，バージョンアップを行う。
要点：特権とはシステム制御を上書きできる管理者権限のこと
特権的アクセス権とは、システムやアプリケーションの制御を上書き・回避できる管理者権限を指す。システム管理者がプログラムのバージョンアップを行う行為は、この管理特権を使った作業に当たる。業務上の権限で通常のデータにアクセスする行為は、権限の重要度にかかわらず特権的アクセスではない。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。