情報セキュリティ管理基準

情報セキュリティ管理基準は、組織が情報セキュリティを確保するために、リスクに基づいて管理策を整備・運用・評価・改善する際の管理事項を体系的に示した経済産業省の基準です。

■ 試験で押さえるポイント

• 組織の状況、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善と、具体的な管理策を扱います。

• 全管理策を一律に導入するのではなく、情報資産、脅威、脆弱性、影響を評価し、必要な管理策を選択して根拠を示します。

• 情報セキュリティ監査では、組織の規程や契約などとともに、監査上の判断尺度として利用できます。

• ISO/IEC 27001の認証そのものではなく、日本の組織が管理や監査に活用する基準であり、版と適用範囲を確認します。

■ 選択肢での判断ポイント

リスクに応じた情報セキュリティ管理策の整備・運用・改善を示す基準として、監査人の行為を定める監査基準と区別します。

例: 資産とリスクを評価し、アクセス制御やバックアップを選定し、実施状況と有効性を定期評価して改善します。