情報セキュリティ管理基準とは？

情報セキュリティ管理基準とは、組織が情報セキュリティマネジメントを確立・運用するための実践規範を示した基準で、経済産業省が公表している。マネジメント基準と管理策基準の二部構成をとり、情報セキュリティ監査を行う際の判断尺度として用いられる。

情報処理安全確保支援士試験の過去問では1回出題されています。

じょうほうせきゅりてぃかんりきじゅん

情報処理安全確保支援士試験の頻出用語／午前II

情報セキュリティ管理基準の意味

組織が情報セキュリティマネジメントを確立・運用するための実践規範を示した基準で、経済産業省が公表している。マネジメント基準と管理策基準の二部構成をとり、情報セキュリティ監査を行う際の判断尺度として用いられる。

監査人が委託先のアクセス管理を評価する際、この基準の管理策を尺度として、識別と認証、権限の見直し周期、特権の管理といった項目ごとに整備と運用を確かめる。基準のどの項目を尺度に選んだかは監査手続書に明記し、調書で追跡できるようにする。

システム管理基準が情報システムの企画から廃棄までのライフサイクル全般を扱うのに対し、こちらは情報セキュリティに絞った尺度である。目的が違うため、どちらか一方だけを使えばよいというものではなく、監査の目的に応じて選ぶ。

政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。
正解：日本セキュリティ監査協会“クラウド情報セキュリティ管理基準(平成28年度版)”
要点：ISMAP管理基準の土台はJASAのクラウド情報セキュリティ管理基準
ISMAP(政府情報システムのためのセキュリティ評価制度)の管理基準は、日本セキュリティ監査協会(JASA)の「クラウド情報セキュリティ管理基準」を基礎とし、これにISO/IEC 27001・27002・27017やNIST SP 800-53などの管理策を取り込んで構成されている。したがってエが正しい。ISMAPはクラウドサービスをあらかじめ評価・登録し、政府調達の際に登録簿から選定する仕組みである。
出典：令和5年度春期情報処理安全確保支援士試験 am2 問8（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。