分野 S｜セキュリティ 重点分野
情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）
今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『5 情報セキュリティマネジメントシステム／情報セキュリティマネジメントシステム』
最終更新
問われ方
- 不適合の原因を除去し、再発を防止するものを選ぶ形
- 問われるとしたら：ISMS の適用範囲の考え方を選ぶ形
- 問われるとしたら：内部監査とマネジメントレビューの役割を区別する形
- 問われるとしたら：ISMS 認証の維持（審査の頻度）を選ぶ形
覚えること
- ISMS：情報の機密性、完全性、可用性を保護するための体系的な仕組み
- JIS Q 27001（ISO/IEC 27001）：ISMS を構築、実施、維持、改善する要求事項の規格
- JIS Q 27002（ISO/IEC 27002）：管理策を導入する時の参考になる規格
- JIS Q 27014（ISO/IEC 27014）：情報セキュリティガバナンス
- JIS Q 27017（ISO/IEC 27017）：クラウドサービスの情報セキュリティ管理策の規格
- ISMS適用範囲：認証は、全社でなくても取得でき、認証の範囲が明記される
- 運用：確立した ISMS を実施し、維持する
- パフォーマンス評価：内部監査やマネジメントレビューなどで、ISMS を評価する
- 内部監査：あらかじめ定めた間隔で、ISMS の実施状況を確かめる
- マネジメントレビュー：トップマネジメントが、あらかじめ定めた間隔で ISMS を見直す
- 不適合：要求事項を満たしていないこと
- 修正：検出した不適合そのものを除去する処置
- 是正処置：不適合の原因を除去し、再発を防止するための処置
- 継続的改善：パフォーマンスを向上するために繰り返し行う活動
- 管理策タイプ：予防は発生を防ぐ、検知は発生を見つける、是正は発生後の影響を抑える
- サイバーセキュリティ概念：識別、防御、検知、対応、復旧の区分で管理策を見る
- ISMS認証：第三者の認証機関が、ISMS が JIS Q 27001 に基づくか審査して証明する
- ISMS適合性評価制度：認証機関による審査で、組織の ISMS を認証する制度
- 認証の有効期限は3年で、3年ごとに全面的な再認証審査を受ける
- 初回の認証審査のあとも、年に1回以上、サーベイランス審査を受ける
ひっかけ
- 是正処置（原因を除く）と修正（不適合そのものを除く）の取りちがえ
- 管理策タイプの是正（発生後の影響を抑える）と、是正処置は別
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんの考えとして、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、クラウドサービスを提供する事業部だけを範囲として、ISMS 認証を取得したいと考えている。他の部門は、当面、認証の対象にしない予定である。
正解：エ 事業部だけを適用範囲として認証を受けてもよく、その場合は認証の範囲が明記される。
ポイント
ISMS の適用範囲と認証の関係を問う問題です。
考え方と解き方
ISMS 認証は、組織が定めた適用範囲について受けるものです。管理者の立場では、全社かどうかではなく、どの範囲で ISMS を運用するかを自社で決めることを先に考えます。
- ISMS 認証の取得は、必ずしも全社で行うことを要求されません。事業部だけを適用範囲にして認証を受けることができ、認証の範囲は明記されます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 認証を取得する範囲に制限はなく、全社での取得は要求されません。
- イ 事業部だけの適用範囲でも、認証を受けることができます。自ら宣言するしかないわけではありません。
- ウ 適用範囲は、組織が決めて申請するものです。認証機関が審査のあとに決めるものではありません。
覚えておくこと
- ISMS適用範囲：認証は、全社でなくても取得でき、認証の範囲が明記される
- ISMS認証：第三者の認証機関が、ISMS が JIS Q 27001 に基づくか審査して証明する
（テーマ・覚えること）
ISMS 認証の維持に関する記述として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、ISMS 認証を取得した後の審査について、次の a〜c と理解している。
- a 認証の有効期限は3年で、3年ごとに全面的な再認証審査を受ける。
- b 初回の認証審査のあとも、年に1回以上、中間的なサーベイランス審査を受ける。
- c 再認証審査は、認証を維持するために、毎年、全面的に行われる。
正解：ア a、b
ポイント
ISMS 認証を維持するための審査の頻度を問う問題です。
考え方と解き方
認証の維持には、年に1回以上の中間的な審査と、3年ごとの更新の審査があります。更新の審査は全面的で、毎年ではありません。頻度を取りちがえない所に注意します。
- a は適切です。有効期限は3年で、3年ごとに再認証審査を受けます。b は適切です。サーベイランス審査は、年に1回以上行われます。c は不適切です。全面的な審査は、3年ごとの再認証審査で、毎年ではありません。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ c は不適切なので含められません。また、b も適切なので、a、c では組合せが合いません。
- エ c は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 認証の有効期限は3年で、3年ごとに全面的な再認証審査を受ける
- 初回の認証審査のあとも、年に1回以上、サーベイランス審査を受ける
（テーマ・覚えること）
C さんが行うマネジメントレビューとして、最も適切なものはどれか。
A 社の ISMS の運用で、内部監査が終わり、監査の報告書がまとまった。トップマネジメントの C さんは、リスク対応計画の状況や目的の達成状況も踏まえて、ISMS 全体を見直すことにしている。
正解：イ あらかじめ定めた間隔で、監査結果などを踏まえ、改善の機会と ISMS の変更の必要性を決める。
ポイント
マネジメントレビューを、ほかの評価の活動と区別して選ぶ問題です。
考え方と解き方
パフォーマンス評価には、内部監査とマネジメントレビューがあります。内部監査は実施状況を確かめ、マネジメントレビューは経営層が全体を見直して決めます。トップマネジメントの立場では、現場の確認ではなく、見直しと決定を先に考えます。
- マネジメントレビューは、トップマネジメントが、あらかじめ定めた間隔で ISMS を見直す活動です。監査結果などを踏まえて、改善の機会と変更の必要性を決めます。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 現場で実施状況を確かめる活動は、内部監査の説明です。
- ウ 認証機関が行う年に1回以上の審査は、サーベイランス審査の説明です。
- エ 管理策の実施記録を残すのは、運用の活動です。
覚えておくこと
- マネジメントレビュー：トップマネジメントが、あらかじめ定めた間隔で ISMS を見直す
- 内部監査：あらかじめ定めた間隔で、ISMS の実施状況を確かめる
- パフォーマンス評価：内部監査やマネジメントレビューなどで、ISMS を評価する
（テーマ・覚えること）
B さんが決める対応のうち、是正処置に当たるものはどれか。
A 社の内部監査で、退職者のアカウントが3件残っていた不適合が見つかった。原因を分析すると、人事部から情報システム部への退職の連絡が届いていなかったことが分かった。情報セキュリティ管理者の B さんは、再発を防ぐ処置を決める。
正解：ウ 人事部が退職を決めた時に、情報システム部へ自動で通知される仕組みに変える。
ポイント
事例の対応が、修正と是正処置のどちらに当たるかを問う問題です。
考え方と解き方
修正は、見つかった不適合そのものを除去する処置です。是正処置は、不適合の原因を除去し、再発を防止する処置です。管理者の立場では、見つかった物を直すことと、同じことが起きない仕組みにすることを分けて考えます。
- 原因は、退職の連絡が情報システム部に届かなかったことです。この原因を除去し、再発を防止するのは、自動で通知される仕組みに変える対応です。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 残っていたアカウントを削除するのは、見つかった不適合そのものを除去する修正です。原因は除去されません。
- イ 再度確かめるのは、状況の確認です。原因の除去にも、再発の防止にも当たりません。
- エ 資料に載せるのは、トップマネジメントへの報告です。原因の除去には当たりません。
覚えておくこと
- 是正処置：不適合の原因を除去し、再発を防止するための処置
- 修正：検出した不適合そのものを除去する処置
- 不適合：要求事項を満たしていないこと
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。