情報セキュリティマネジメント 2023年 科目A 問01
問題文
情報セキュリティ管理基準（平成28年）に関する記述のうち、適切なものはどれか。
選択肢
ア：“ガバナンス基準”、“管理策基準”及び“マネジメント基準”の三つの基準で構成されている。
イ：JIS Q 27001:2014（情報セキュリティマネジメントシステムー要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。（正解）
ウ：情報セキュリティ対策は、“管理策基準”に挙げられた管理策の中から選択することとしている。
エ：トップマネジメントは、“マネジメント基準”に挙げられている事項の中から、自組織に合致する事項を選択して実施することとしている。
🔒 解説は解答すると表示されます
情報セキュリティ管理基準【情報セキュリティマネジメント解説】
正解の理由
選択肢の中で正しいのは イ です。情報セキュリティ管理基準（平成28年）は、JIS Q 27001:2014（情報セキュリティマネジメントシステム — 要求事項）およびJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとることを明確にしています。
ここでのJISは Japanese Industrial Standards（日本産業規格）です。JIS Q 27001／27002 は、国際標準である ISO/IEC 27001／27002 に合わせた日本語規格であり、情報セキュリティの管理体系（ISMS：Information Security Management System：情報セキュリティマネジメントシステム）や実施すべき管理策（コントロール）の考え方が一致するよう作られています。したがって、管理基準がこれらの規格と整合しているという記述は正しいです。
ここでのJISは Japanese Industrial Standards（日本産業規格）です。JIS Q 27001／27002 は、国際標準である ISO/IEC 27001／27002 に合わせた日本語規格であり、情報セキュリティの管理体系（ISMS：Information Security Management System：情報セキュリティマネジメントシステム）や実施すべき管理策（コントロール）の考え方が一致するよう作られています。したがって、管理基準がこれらの規格と整合しているという記述は正しいです。
解法ステップ
- 問題文で何を問われているかを把握する：ここでは「情報セキュリティ管理基準（平成28年）の特徴や他規格との関係」を問うています。
- キーワードを拾う：JIS Q 27001、JIS Q 27002、管理策、マネジメント、トップマネジメント、ガバナンス。
- 各選択肢が「規格との整合」「基準の構成」「実務上の選択権」を正しく表しているかを検討する。
- 規格（JIS/ISO）と行政ガイドラインの関係を知っていれば、整合に関する選択肢が正しいと判断できます。
選択肢別の誤答解説
- ア: 誤り。選択肢は基準の構成要素を列挙していますが、本文の表現や運用上の位置づけについての解釈が誤解を招きやすい表現になっています。重要なのは、管理基準はガバナンスやマネジメント、管理策の観点を含むことですが、「三つの基準でただ構成されている」と単純化しすぎると、各基準の役割（誰が責任を持つか、何を定めるか）が見えにくくなります。
- ウ: 誤り。情報セキュリティ対策（管理策）は、管理策基準に例示されている項目が参考になりますが、「その中からしか選べない」という限定はありません。管理基準の考え方はリスクアセスメント（脅威・脆弱性・影響を評価して対策を決める）に基づいて組織が最適な対策を選ぶことを想定しています。つまり、提示された管理策は「典型例（参考）」であり、組織ごとの事情に応じて別の対策を採ることも可能です。
- エ: 誤り。トップマネジメント（経営層）は、マネジメント基準に掲げられた責務や役割について単に「自組織に合致するものを選択して実施する」だけではなく、組織全体の情報セキュリティに関する方針の策定、資源の確保、責任の明確化など、要求される責務を果たすことが求められます。つまり、トップの関与やコミットメントは任意で「取捨選択」できる性質のものではありません。
よくある誤解
- 「基準に書いてある対策は全部やらないとダメだ」と思い込む誤解
→ 基準に書かれた管理策は例示やベストプラクティスが多く、リスクに応じて優先度をつけて実施するのが現実的です。重要なのはリスク評価とその説明責任（なぜその対策を選んだか）です。 - 「トップマネジメントは現場の細かい対策を選ぶ必要がある」と考える誤解
→ トップの役割は方針決定、資源配分、組織全体のガバナンス確立です。具体的な技術対応や運用の選択はマネジメント層や担当部署に委ねられることが一般的です。
補足コラム
・JIS Q 27001／27002 と行政の管理基準を整合させるメリット
- 組織が JIS/ISO 準拠の ISMS を構築していれば、監査・第三者認証の取得がしやすくなります。
- ベストプラクティスに基づく説明ができるため、委託先管理や取引先への説明がスムーズになります。
・職場での運用イメージ（例）
- まずリスクアセスメントを行い、重要な情報（顧客データ、個人情報、機密設計データなど）を洗い出す。
- その結果に基づき、JIS/管理基準で推奨される管理策を参考に、必要な対策を優先度付けして実施する。
- トップは方針と予算、監督体制を整備し、定期的にレビュー（マネジメントレビュー）して改善を促す。
- 組織が JIS/ISO 準拠の ISMS を構築していれば、監査・第三者認証の取得がしやすくなります。
- ベストプラクティスに基づく説明ができるため、委託先管理や取引先への説明がスムーズになります。
・職場での運用イメージ（例）
- まずリスクアセスメントを行い、重要な情報（顧客データ、個人情報、機密設計データなど）を洗い出す。
- その結果に基づき、JIS/管理基準で推奨される管理策を参考に、必要な対策を優先度付けして実施する。
- トップは方針と予算、監督体制を整備し、定期的にレビュー（マネジメントレビュー）して改善を促す。
FAQ
Q1: JIS Q 27001 と JIS Q 27002 の違いは？
A1: JIS Q 27001 は「要求事項」（組織が満たすべきルールやプロセス）を定めた規格です。一方、JIS Q 27002 は「管理策の実践的な指針」（どのような対策を検討すべきかの参考例）を示す規範です。両者はセットで使われます。
A1: JIS Q 27001 は「要求事項」（組織が満たすべきルールやプロセス）を定めた規格です。一方、JIS Q 27002 は「管理策の実践的な指針」（どのような対策を検討すべきかの参考例）を示す規範です。両者はセットで使われます。
Q2: 管理基準に書いてある項目はすべて実施しないとまずいですか？
A2: すべてを機械的に実施する必要はありません。重要なのはリスクに基づいて合理的に選定・実施し、その判断を文書化して説明できることです。
A2: すべてを機械的に実施する必要はありません。重要なのはリスクに基づいて合理的に選定・実施し、その判断を文書化して説明できることです。
Q3: 経営層がやるべきことは具体的に何ですか？
A3: 情報セキュリティ方針の承認、必要な資源の確保、責任者の指名、定期的なレビューと改善の指示などが主な役割です。
A3: 情報セキュリティ方針の承認、必要な資源の確保、責任者の指名、定期的なレビューと改善の指示などが主な役割です。
関連キーワード: 情報セキュリティ管理基準、JIS Q 27001、JIS Q 27002、ISMS（Information Security Management System）、リスクアセスメント、管理策、トップマネジメント、ガバナンス
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！