JIS Q 27001:2023（ISMS）改修ポイントと新管理策の要点

ISMSの基本では、ISMSの目的、管理策の選択、継続的な改善を区別します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

ISMSは、組織のリスクに応じて対策を選び、運用結果を点検して改善する仕組みです。認証を取得しても、事故が起きないことを保証するものではありません。

1. ISMSの規格と管理策の位置付け

項目	旧規格（JIS Q 27001:2014 / 2013年版）	新規格（JIS Q 27001:2023 / 2022年版）
附属書Aの管理策総数	114項目（14分類）	93項目（4分類に大幅集約・簡素化）
4大管理策カテゴリ	細かく14のセクションに分散	① 組織的管理策（37項目）／② 人的管理策（8項目）／③ 物理的管理策（14項目）／④ 技術的管理策（34項目）
新設された管理策	-	11項目の新管理策が追加（現代の脅威に対応）

国内規格はJIS Q 27001:2023に、気候変動への対応を扱うJIS Q 27001:2025（追補1）を併せて適用します。追補は2023年版の本文をすべて置き換える文書ではありません。

2. 追加された管理策の目的を確認する

新設管理策名称	管理策番号	カテゴリ	具体的な実務内容・試験での問われ方
事業継続のためのICTの備え	A.5.30	組織的	事業継続要求事項に基づくICTの可用性確保（RPO/RTO、バックアップ試験、リカバリ手順の定めた責任者の承認）。
脅威インテリジェンス	A.5.7	組織的	外部のセキュリティ脅威情報（JVN、CVE、攻撃手口）を収集・分析し、対策を改善する。
クラウドサービスの利用	A.5.23	組織的	クラウド利用基準の策定、責任分界点の確認、利用サービスの選定・管理。
情報の削除	A.8.10	技術的	保存義務等を確認し、不要な情報を媒体に合った方法で消去して結果を確認する。
データマスキング	A.8.11	技術的	開発・テスト環境や分析時に、個人データ等を仮名化・マスキングして保護。
データ漏えい防止（DLP）	A.8.12	技術的	DLPツール等を用いて、機密データの外部送信や持出しを検知・阻止。
活動の監視（モニタリング）	A.8.16	技術的	不審な行動やアクセスログのリアルタイム検知と異常行動監視。
Webフィルタリング	A.8.23	技術的	悪意あるフィッシングサイトやC2サーバへの通信をプロキシ/DNSで遮断。
安全なコーディング	A.8.28	技術的	安全なソフトウェア開発原則（入力値サニタイズ、プレースホルダ利用）の徹底。
設定管理	A.8.9	技術的	ハードウェアやOS、クラウドのセキュリティ設定基準（ベースライン）の維持。
物理的セキュリティの監視	A.7.4	物理的	オフィスやサーバルームの監視カメラ（CCTV）や侵入検知器による常時監視。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：新管理策「事業継続のためのICTの備え」の適用検証

〔背景・企業概要〕A社はISMS認証を取得している電子機器メーカーである。JIS Q 27001:2023への移行審査に向け、情報セキュリティリーダーのBさんは新管理策の取組状況を点検している。

〔設問〕管理策「事業継続のためのICTの備え」を満たすために、A社が実施すべき実務として、最も適切なものはどれか。

ア：災害時の復旧目標として定めたRPO（目標復旧時点）およびRTO（目標復旧時間）を満たすバックアップ運用を設計・実施し、定期的にリストア試験を実施して、計画書を組織が定めた責任者が承認する。
イ：バックアップテープをすべてオフィスの床の上に裸で積み上げておく。
ウ：震災が起きたら全データを諦めることを全社員に合意させる。
エ：バックアップソフトウェアの説明書を購入して引き出しに保管するだけで、バックアップは一度も実行しない。

正解：ア
根拠：事業継続要求に沿ってバックアップや復旧手順を整備し、復元・切替えを実際に試験してRPO・RTOを満たせるか確認します。承認者は組織の責任分担に従います。
確認する点：機器を買うだけ、目標を文書化するだけでは、復旧できるかを確認できません。

演習2：開発テスト環境におけるデータマスキングの適用

〔背景・企業概要〕Web開発会社C社では、新機能の動作検証を行うため、本番データベースから顧客5万人分の氏名・住所・生年月日を含むデータをテスト環境にそのままコピーして使用していた。

〔設問〕JIS Q 27001:2023の新管理策「データマスキング」に照らし、C社が講ずべき是正措置として、最も適切なものはどれか。

ア：本番データをそのままテスト環境の全員が自由にダウンロードできるようにする。
イ：テスト環境には本番の個人情報をそのまま投入せず、マスキング（氏名のダミー化、住所・電話番号のダミー化）を施した擬似テストデータを使用する。
ウ：テスト環境のサーバをインターネット上に公開して世界中のプログラマにバグを探してもらう。
エ：テスト作業を夜間に行うことで、個人情報を見えなくする。

正解：イ
根拠：テストに必要なデータを見極め、ダミーデータや適切なマスキングで本番の個人情報を扱う範囲を減らします。マスキングしただけで、法的な匿名加工情報になるわけではありません。
確認する点：全員への無制限公開や、注意喚起だけで生データの利用を継続する対応では、アクセスと情報の保護が不十分です。

4. まとめと重要チェックリスト

附属書Aの管理策は、リスク対応に必要なものを選択し、適用宣言書に採否と理由を記録する。93項目すべてを無条件に実装する規定ではない。
2022年版の附属書Aは、組織的・人的・物理的・技術的の4分類。項目数の減少は、対策を弱めるという意味ではない。
規格の発行年が新しい選択肢を機械的に選ばず、問題の目的と条件を確認する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

ISMS-AC：ISMSの認証基準と追補