ガイドラインと標準規格
頻出約 42 分6 用語過去問 10 題
この単元の目標
- この単元の規範文書について、誰が読み、何を守るための文書かを言い分けられる。
- 情報セキュリティ管理基準の中心となる二つの基準と、組織の取組みの点検や監査での使われ方を説明できる。
- 分野ごとの文書が、サプライチェーン全体、IoT 機器、カード決済のどれを対象にするかを区別できる。
用語総表（6 語）
用語
情報セキュリティ管理基準は、組織が ISMS (情報セキュリティマネジメントシステム) を作って運用するときの物差しとして、経済産業省がまとめた管理の基準である。
JIS Q 27001・JIS Q 27002 の内容に沿っており、中心は、ISMS を PDCA サイクル (計画・実行・点検・改善の繰り返し) で回す手順を定めた マネジメント基準 と、実施する対策を並べた 管理策基準 である (2025 年の改正版では、情報セキュリティガバナンスを確立するための ガバナンス基準 も加わり、三つから成る)。組織が自分の取組みを点検するときや、情報セキュリティ監査で良し悪しを判断するときのよりどころになる。なお、組織の ISMS が規格に合っているかを外部の認証機関が審査して認める ISMS 適合性評価制度 もある。
たとえ健康診断の検査項目表に似ている。自分で体調を見直すときも、医師が診るときも、同じ項目表を物差しにする。
覚え方経済産業省には「情報セキュリティ監査基準」もある。監査基準は監査人の行動の決まり、管理基準は監査で当てる物差し、と役割で分かれる。
出題のポイント
- 出題ISMS の PDCA では、監査の結果を受けて是正処置などを行い仕組みを良くしていく活動は A (改善) の段階にあたる。
- 出題人に関する管理策では、組織の方針と手順に沿った情報セキュリティを、自社の従業員に加えて業務の委託先にも求める。インシデント管理では、異常をすぐ伝えられるよう報告先と連絡の手段を前もって決めておく。
- 出題ISMS の内部監査は、規格や組織自身が決めた要求事項に合っているかに加え、ISMS が組織にとって有効に働いているかも判定する。
この用語の過去問 2 題 情報セキュリティ管理基準 →
サイバーセキュリティ経営ガイドラインは、サイバー攻撃への備えを経営の課題として進めるために、経済産業省と IPA がまとめた経営者向けの指針である。
経営者が認識すべき 3 原則と、対策の責任者である CISO (最高情報セキュリティ責任者) などに指示すべき重要 10 項目から成る。対策にかかる費用は、将来に向けた投資ととらえる。
たとえ船の航海方針に似ている。船長は操舵や見張りを乗組員に任せても、どこへ向かい、どんな危険に備えるかは自分で決めて責任を持つ。
覚え方名前の真ん中にある「経営」が読み手を表す。社長室の机に置く文書と覚える。
出題のポイント
- 出題サイバーセキュリティ経営ガイドラインは法律ではなく指針であり、法律であるサイバーセキュリティ基本法とは別物である。
- 出題このガイドラインのもとでは、経営者は対策を CISO や担当部門に任せきりにせず、自らリーダーシップをとって進める。
この用語の過去問 1 題 サイバーセキュリティ経営ガイドライン →
「情報セキュリティ管理基準」と「サイバーセキュリティ経営ガイドライン」の違い
中小企業の情報セキュリティ対策ガイドラインは、人手や予算の限られた中小企業が無理なく対策を始め、段階的に広げていけるように IPA がまとめた指針である。
経営者が取り組むべきことと、社内で対策を進める実務の手順の両方を扱い、できる対策から始めて組織の取組み、本格的な体制づくりへと段階を追って進める形をとる。関連して IPA は、中小企業が対策への取組みを自ら宣言する SECURITY ACTION という制度を設けている。宣言には、基本の 5 項目「情報セキュリティ5か条」に取り組む一つ星と、自社診断で現状を確かめ基本方針を定めて公開する二つ星がある。
たとえ初心者向けの筋力トレーニングに似ている。いきなり重い器具は使わず、毎日できる軽い運動から始め、慣れたら負荷を上げていく。
出題のポイント
- 出題SECURITY ACTION は中小企業が対策への取組みを自ら宣言する制度であり、外部の機関が審査して認定するものではない。
この用語の過去問 1 題 中小企業の情報セキュリティ対策ガイドライン →
「サイバーセキュリティ経営ガイドライン」と「中小企業の情報セキュリティ対策ガイドライン」の違い
サイバー・フィジカル・セキュリティ対策フレームワーク (CPSF) は、ネット上のサイバー空間と現実のフィジカル空間が結びついた産業社会で、サプライチェーン (原材料の調達から製品が届くまでの企業の連なり) 全体の安全を確保するために経済産業省がまとめた枠組みである。
← 図は横にスクロールできます →
産業社会を、企業と企業のつながり、モノを介したフィジカル空間とサイバー空間のつながり、サイバー空間でのデータのつながりという三層でとらえる。層ごとに守るべき対象とリスクを整理し、業種を問わず使える対策の考え方を示す。
たとえ鉄道網の安全計画に似ている。会社どうしの乗り入れ、線路と運行システムの接続、ダイヤの情報のやり取りと、つながり方ごとに危険を洗い出す。
覚え方CPSF は Cyber/Physical Security Framework の頭文字。Physical は「手で触れられる」の意味で、工場の機械やセンサーなど現実の側を指す。
IoTセキュリティガイドラインは、ネットにつながる IoT 機器とそれを使うシステムを安全に作り、つなぎ、使うために、総務省と経済産業省などがまとめた指針である。
機器の一生に沿って、方針・分析・設計・構築・接続・運用・保守の 5 つの段階ごとに取るべき対策を示す。IoT 機器は長い年月使われ続ける、利用者の目が届きにくい、乗っ取られると現実の設備や人にまで被害が及ぶ、といった特有のリスクを持つため、出荷後の更新や管理まで見越した対策が要る。
たとえ家電メーカーの製品安全の考え方に似ている。設計の段階で事故を想定し、売った後も点検や修理で面倒を見続ける。
覚え方IoT は Internet of Things、つまり「モノのインターネット」。人ではなくモノがつながるので、持ち主が気づかないまま放置されやすい点が出発点になる。
出題のポイント
- 混同注意サプライチェーン全体を三層のつながりでとらえる枠組みは CPSF である。IoTセキュリティガイドラインは IoT 機器とそのシステムに絞った指針である。
「サイバー・フィジカル・セキュリティ対策フレームワーク」と「IoTセキュリティガイドライン」の違い
PCI DSS は、クレジットカードの会員データを守るために、国際的なカードブランドが設けた団体が定めた、カード業界のセキュリティ基準である。
カード情報を保存・処理・伝送する加盟店や決済代行の事業者などが対象で、ネットワークの防御、保存データの保護、アクセスの制限、定期的な監視と検査といった要件が並ぶ。法律ではなく業界の基準だが、カード会社との契約を通じて事業者に順守が求められる。
たとえ銀行どうしで取り決めた金庫室の共通ルールに似ている。どの銀行でも、扉の鍵、入室の記録、定期点検を同じ決まりで守る。
覚え方PCI は Payment Card Industry (決済カード業界)、DSS は Data Security Standard (データセキュリティ基準)。略語を開くと名前がそのまま中身になる。
出題のポイント
- 出題PCI DSS の対象はカード情報を預かる事業者であり、目的はカード会員データの保護である。
- 混同注意PCI Express は綴りが似ているが、コンピュータ内部で装置をつなぐ拡張用インタフェースの規格であり、カード情報の保護とは関係がない。
この用語の過去問 1 題 PCI DSS →
要点
- 情報セキュリティ管理基準は ISMS の運用と点検の物差しで、PDCA の進め方と実施する管理策を示す。
- サイバーセキュリティ経営ガイドラインは、経営者が自ら主導してサイバー攻撃に備えるための原則と指示事項をまとめる。
- 中小企業の情報セキュリティ対策ガイドラインはできる対策から段階的に広げる進め方を示し、関連する SECURITY ACTION は中小企業が対策への取組みを自ら宣言する制度である。
- CPSF は産業社会を三層のつながりでとらえ、サプライチェーン全体の対策を考える枠組みである。
- PCI DSS はカード会員データを守る業界基準で、カード情報を扱う事業者が順守する。
この分野の過去問をすべて見る →