情報セキュリティ管理基準とは？

情報セキュリティ管理基準とは、ISMSの国際規格を土台に、組織が実施すべき情報セキュリティ管理策をまとめた経済産業省の基準。マネジメント基準（PDCAの回し方）と管理策基準（個別の対策）の二層構成で、情報セキュリティ監査の判断尺度として使われる。

応用情報技術者試験の過去問では1回出題されています。

じょうほうせきゅりてぃかんりきじゅん

応用情報技術者試験の頻出用語／マネジメント系

情報セキュリティ管理基準の意味

ISMSの国際規格を土台に、組織が実施すべき情報セキュリティ管理策をまとめた経済産業省の基準。マネジメント基準（PDCAの回し方）と管理策基準（個別の対策）の二層構成で、情報セキュリティ監査の判断尺度として使われる。

情報セキュリティ監査で「退職者のアカウントが残っていないか」を見るとき、管理策基準のアクセス権の見直しに関する項目を根拠に、権限棚卸しの記録と人事異動記録を突合する。基準の項目番号を監査調書に書けば、後任の監査人も追跡できる。

システム管理基準が情報システム全般を対象にするのに対し、こちらは情報資産の機密性・完全性・可用性に絞る。両方が同じ対象に重なって適用されることもあり、「どちらか一方だけを使う」という関係ではない。

情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち…
正解：マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。
要点：未認可ソフトの使用はマルウェア対策上の指摘事項
組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。
出典：令和3年度春期応用情報技術者試験午前問58（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。