SC情報セキュリティマネジメントの推進又は支援に関すること · 情報セキュリティ諸規程の策定

情報セキュリティ対策基準

Information Security Standards

じょうほうせきゅりてぃたいさくきじゅん

情報セキュリティ方針に基づき、組織が遵守すべき具体的なセキュリティ対策の基準を定めた文書。情報の分類・管理、アクセス制御、ネットワーク管理など各分野の対策水準を規定する。

共有:

他の資格での定義

情報セキュリティポリシーの第2階層に位置し、基本方針を実現するために遵守すべき事項を具体的に定めた規程。対象、遵守事項、例外の扱いなどを記し、下位の実施手順の根拠となる。

情報セキュリティポリシーの文書体系のうち、基本方針を実現するために守るべき行為や判断の基準を定めたもの。この基準に基づいて、業務ごとの具体的な手順を示す実施手順が作られる。

情報セキュリティ方針を実現するために、遵守すべき事項を具体的に定めた基準。対象範囲や役割、資産の分類方法、アクセス制御の要件などを規定し、さらに現場向けの実施手順書へ展開される。

Past Exams

過去問で 3 回出題（ITパスポート試験 2・応用情報技術者試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

組織の情報セキュリティに関する基本方針と対策基準を定めた文書。データの管理方法やアクセス権の付与基準は、これに基づいて運用される。

組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。

経営陣が主導して、組織全体の情報セキュリティ活動を統治・管理するための枠組み。経営戦略と整合した情報セキュリティ方針の策定、資源配分、リスク管理の意思決定を含む。JIS Q 27014（ISO/IEC 27014）で規定されている。

経営陣が承認し、組織の情報セキュリティに対する方向性と支持を表明する文書。情報セキュリティの目的、適用範囲、基本方針を定め、組織全体のセキュリティ活動の基盤となる。法令・規制・契約上の要求事項や情報セキュリティの動向を踏まえて策定・改定する。

自然災害やサイバー攻撃などの事業中断リスクに対して、事業の継続性を確保するためのマネジメントシステム。ISO 22301に基づき、事業影響度分析（BIA）、事業継続計画（BCP）の策定・訓練・改善を行う。

リスク特定、リスク分析、リスク評価のプロセス全体を指す。情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを算定し、対応の優先度を判断する。ISMSにおけるリスクマネジメントの中核プロセスである。