管理策とは？

管理策の意味

リスクを低減するために実施する具体的な対策。技術的対策（アクセス制御など）、組織的対策（規程整備など）、人的対策（教育など）、物理的対策（入退室管理など）に大別される。

管理策の具体例

「重要書類を施錠保管する」は物理的管理策、「アクセス権限を職務に応じて設定する」は技術的・組織的管理策、「セキュリティ研修を実施する」は人的管理策にあたる。

管理策は試験でどう引っ掛けられる？

管理策はリスク対応を実現する手段であって、リスク対応の選択肢（低減・回避・移転・受容）そのものではない。またJIS Q 27001附属書Aの管理策は候補の一覧であり、全部を実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよい。

管理策と関連する用語

• 適用宣言書

管理策が出た過去問

• “政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。

  正解：ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。

  要点：ISMAP管理基準はガバナンス・マネジメント・管理策の3構成

  ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の3つで構成される。このうちガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスを、評価・指示・モニタ・コミュニケーション・保証という各プロセスで実行することを求めている。

  出典：令和4年度 春期 ITストラテジスト試験 am2 問24（IPA）

• “政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。

  正解：ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。

  要点：ISMAP管理基準はガバナンス・マネジメント・管理策の三構成

  ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。

  出典：令和6年度 春期 ITストラテジスト試験 am2 問25（IPA）