管理策とは？かんりさく
管理策とは、リスク対応の方針を、現場が実行できる具体的な手段まで落とし込んだもの。技術的（アクセス制御）・組織的（規程と責任分担）・人的（教育と誓約）・物理的（入退室管理）の4種に整理され、1つのリスクに複数種を重ねて効かせるのが基本になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
経営が「このリスクは低減する」と決めても、それだけでは現場は動けない。管理策は、その決定を手順・設備・権限という実行できる形へ翻訳するために置かれている。JIS Q 27001 附属書A が候補を一覧にしているのも、各社が一から策を考え直す手間を省くためであり、セキュリティ投資の稟議もこの単位で費用と効果を示すことになる。
具体例
JIS Q 27001:2023 の附属書A は管理策を組織的・人的・物理的・技術的の4テーマに整理しており、実装の手引が ISO/IEC 27002 にあたる。どれを採り、どれを採らなかったかとその理由は、適用宣言書に一覧として残す。
試験での引っ掛け
リスク対応の選択肢（低減・回避・移転・受容）そのものではなく、それを実現する手段の側にある。また附属書Aは候補の一覧であって全部を実施する義務はなく、採らなかった管理策は適用宣言書に理由を書けば足りる。「附属書Aの管理策は網羅的に導入しなければならない」とする選択肢は誤り。
関連用語
出た過去問
出典：令和元年度 秋期 ITストラテジスト試験 午前Ⅱ 問12（IPA）解説で登場
図は、シックスシグマの基本となる日常業務の効率や品質の向上を目指す継続的改善サイクルであるDMAICの活動フェーズである。cに該当するものはどれか。ここで、ア〜…
正解：改善
要点：DMAICは定義・測定・分析・改善・定着の順に回す改善サイクル
シックスシグマのDMAICは、Define（定義）→Measure（測定）→Analyze（分析）→Improve（改善）→Control（定着・管理）の順に回す継続的改善サイクルである。図では定義に続いてa＝測定、b＝分析、c＝改善、d＝定着となるため、cに当たるのは改善である。
出典：令和4年度 春期 ITストラテジスト試験 午前Ⅱ 問24（IPA）解説で登場
“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。
正解：ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。
要点：ISMAP管理基準はガバナンス・マネジメント・管理策の3構成
ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の3つで構成される。このうちガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスを、評価・指示・モニタ・コミュニケーション・保証という各プロセスで実行することを求めている。
出典：令和5年度 春期 ITストラテジスト試験 午前Ⅱ 問11（IPA）解説で登場
図は、シックスシグマの基本となる日常業務の効率や品質の向上を目指す継続的改善サイクルである。このサイクルのcに該当するフェーズはどれか。ここで、ア〜エはa〜dの…
正解：改善
要点：DMAICは定義・測定・分析・改善・定着の順に回す改善サイクル
シックスシグマの継続的改善サイクルDMAICは、Define（定義）→Measure（測定）→Analyze（分析）→Improve（改善）→Control（定着）の順に回る。図では定義の次からa＝測定、b＝分析、c＝改善、d＝定着となるため、cに該当するのは改善のフェーズである。
出典：令和6年度 春期 ITストラテジスト試験 午前Ⅱ 問25（IPA）解説で登場
“政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。
正解：ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。
要点：ISMAP管理基準はガバナンス・マネジメント・管理策の三構成
ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。