【情報セキュリティマネジメント】ISMSとJIS Q 27001・27002、分かれ目は「仕組みか、要求事項か」｜適用範囲・適用宣言書・認証範囲・標準化

2026.08.27

「ISMS」「JIS Q 27001」「JIS Q 27002」は一緒に登場しやすく、役割を混同しやすい用語です。

特に注意したいのは、ISMSを規格名だと考えたり、27001と27002を同じ種類の規格だと考えたりすることです。また、27002に示される管理策を、全組織が一律に全て導入するわけでもありません。

この記事では、三者を仕組み・要求事項・管理策の指針に分け、適用範囲、適用宣言書、認証範囲、ISO・IEC・JISの関係まで整理します。

読み終えるころには、事例に出てくる話が仕組みの話か、要求事項の話か、管理策の話かを切り分けられ、「認証を取得している」という事実だけで安全と判断しない理由を説明できるようになります。

先に結論：仕組み・要求事項・管理策で見分ける

用語 役割 試験での見分け方
ISMS 組織が情報セキュリティを管理・改善する仕組み 方針、責任、リスク管理、運用、評価、改善
JIS Q 27001 ISMSが満たすべき要求事項を定める規格 要求事項、適合、認証基準
JIS Q 27002 情報セキュリティ管理策と実施の手引を示す規格 管理策、実施の手引、指針

簡潔に言えば、組織が構築・運用するものがISMS、そのISMSに求められる条件を示すのが27001、管理策を検討・実施する際の手引が27002です。

1．ISMSは「製品」ではなく組織の仕組み

ISMSはInformation Security Management Systemの略で、日本語では情報セキュリティマネジメントシステムと呼ばれます。

ここでいう「システム」はコンピュータ製品のことではありません。組織が、方針、責任、リスクアセスメント、管理策、教育、運用、評価、改善などを組み合わせて、情報セキュリティを継続的に管理する仕組みです。

ウイルス対策ソフトを導入した、サーバ室を施錠した、教育を実施した、という個別対策だけでISMSを構築したことにはなりません。

試験では、個別の対策を導入することと、対策を組織的に管理し続けることを区別します。

2．ISMSの適用範囲は依存関係まで考える

ISMSでは、どの組織・部門・拠点・業務などを対象にするかを明確にします。これがISMSの適用範囲です。

適用範囲は必ず法人全体である必要はなく、一部門や特定サービスを対象にすることもできます。

ただし、認証を取りやすくするために、関係する活動や他部門とのつながりを無視して形式的に狭くすればよいわけではありません。

適用範囲を定めるときは、組織の内外の状況、利害関係者の要求事項、活動間のインタフェースや依存関係などを考慮します。

科目Bでは、単に「全社か一部門か」ではなく、重要な業務、情報、委託関係、クラウド利用、他部門との依存関係が適切に考慮されているかを確認します。

3．JIS Q 27001とJIS Q 27002の違い

二つは番号が近いだけで、規格の種類が違います。

JIS Q 27001：要求事項

JIS Q 27001は、ISMSを確立し、実施し、維持し、継続的に改善するための要求事項を定めます。

日本のISMS適合性評価制度では、JIS Q 27001が認証基準として用いられます。

JIS Q 27001＝ISMSが満たすべき要求事項・認証基準

JIS Q 27002：管理策の指針

JIS Q 27002は、参照用の情報セキュリティ管理策と、その実施に関する手引を示します。

JIS Q 27002＝管理策を検討・実施するための指針

27002に管理策が掲載されているからといって、全組織が同じ管理策を全て同じ方法で導入するわけではありません。組織の状況、扱う情報、法令・契約上の要求、リスクなどに応じて必要な管理策を決めます。

「認証の要求事項か」と問われたら27001、「管理策や実施の手引か」と問われたら27002、と切り分けます。

4．適用宣言書：どの管理策を必要としたかを説明する

JIS Q 27001に基づくISMSでは、リスク対応に必要な管理策を決定し、その内容を適用宣言書にまとめます。

適用宣言書では、主に次を明らかにします。

  • 必要と判断した管理策
  • その管理策を含めた理由
  • その管理策を実施しているかどうか
  • JIS Q 27001附属書Aの管理策を採用しない場合の理由

重要なのは、附属書Aを「全項目を必ず実施するチェックリスト」と考えないことです。

組織がリスク対応に必要な管理策を決め、附属書Aと比較して必要な管理策の見落としがないか確認します。必要であれば、附属書A以外の管理策を用いることもできます。

なお、「適用宣言書」という語自体はSGシラバスVer.4.1の用語例に直接は記載されていませんが、JIS Q 27001に基づく管理策選択を理解するための関連論点として、本記事では直接対応問題に必要な範囲で扱います。

同様に、「附属書A」「認証登録情報」という用語名自体もSGシラバスVer.4.1の用語例には明示されていません。本記事では、管理策の選択と認証範囲の確認を理解するための関連知識として扱います。

5．ISMS認証は「会社全体の安全保証」ではない

ISMS認証では、認証対象となる範囲のマネジメントシステムが、JIS Q 27001の要求事項に適合しているかを評価します。

よくある誤解 正しい整理
製品に脆弱性がないことを保証する 製品そのものの無欠陥を認証する制度ではない
情報セキュリティ事故が起きないことを保証する リスクを管理する仕組みの適合性を評価する
認証取得企業の全拠点・全業務が対象 認証登録された範囲を確認する
一度認証を取得すれば管理活動は不要 維持・評価・改善を続ける必要がある

委託先がISMS認証を取得していても、「認証取得済みだから安全」で判断を止めません。

今回利用する業務・サービスが認証範囲に含まれているかを、認証書や認証登録情報などで確認します。

6．現在のJIS Q 27001・27002の版

ISMS適合性評価制度の認証基準は、JIS Q 27001:2025（ISO/IEC 27001:2022＋Amd 1:2024）です。

ここで注意が必要なのは、JISとISOで追補の番号の付け方が違うことです。

規格 追補の扱い
ISO/IEC 27001 本体は2022年版のまま。追補は ISO/IEC 27001:2022/Amd 1:2024
JIS Q 27001 追補1の発行によって2023年版が改正され、JIS Q 27001:2025 となる

ただし、JIS Q 27001:2025は追補1の内容だけを示すため、JIS Q 27001:2023と併せて適用します。

JIS Q 27002はJIS Q 27002:2024が有効で、ISO/IEC 27002:2022との一致規格です。

SGでは版年の暗記よりも、27001は要求事項、27002は管理策の指針という役割の違いを優先して押さえます。

7．ISO・IEC・JISと標準化

  • ISO：国際標準化機構
  • IEC：電気・電子分野を中心に国際標準化を行う機関
  • ISO/IEC 27001・27002：ISOとIECが共同で発行する国際規格
  • JIS：日本産業規格
  • JIS Q 27001・27002：対応するISO/IEC規格と整合する日本産業規格

SGシラバスでは、標準化に関してJIS、IS、ISO、IEEEなどの関連機構の役割、デジュレスタンダード、デファクトスタンダードが用語例に示されています。

  • デジュレスタンダード：標準化機関などの正式な手続を経て定められた標準
  • デファクトスタンダード：市場で広く利用された結果、事実上の標準となったもの

ISO規格やJISは、試験上はデジュレスタンダードとして整理します。

8．科目Bでの使われ方

科目Bでは、規格名の暗記ではなく、認証や規格の名称だけで判断を止めていないかを問う形で使われます。

事例文の合図 確認すること
委託先はISMS認証を取得しているので問題ない 今回の業務・サービスが認証範囲に入っているか
ウイルス対策と施錠を実施したのでISMSを構築した 方針・リスク管理・評価・改善までつながっているか
27002に載っている管理策なので全て導入する 組織のリスクに応じて必要な管理策を決めたか
認証を取りやすくするため対象を一部門に絞った 他部門や委託先との依存関係を無視していないか
認証を取得したので当面は見直し不要 維持・評価・改善を続ける仕組みがあるか

担当者としては、認証書や認証登録情報で範囲を確認し、名称だけで判断を止めません。委託先の選定や契約条件に関わる場合は契約担当者と協力し、認証範囲外の業務を委託する必要があるときは上位者へ報告して指示を仰ぎます。

9．判断の順序

  1. 組織が運用する情報セキュリティ管理の仕組みか

→ ISMS

  1. ISMSが満たす要求事項・認証基準か

→ JIS Q 27001

  1. 管理策や実施の手引か

→ JIS Q 27002

  1. 管理策の採用理由・実施状況・除外理由を示す文書か

→ 適用宣言書

  1. 認証された対象がどこまでかを確認する話か

→ 適用範囲・認証範囲

「ISMS認証を取得している」という事実だけで、会社全体・全製品・全サービスの安全性まで保証されたと判断しないことが重要です。

よくある取り違え

誤った理解 正しい整理
ISMSはセキュリティ製品 組織が運用・改善するマネジメントの仕組み
JIS Q 27002が認証基準 認証基準となる要求事項はJIS Q 27001
27002の管理策は全て必須 組織の状況とリスクに応じて必要な管理策を決める
適用範囲は必ず法人全体 一部門・特定サービスを範囲にできるが、依存関係等を考慮する
ISMS認証は会社全体の安全性を保証 認証された範囲のマネジメントシステムの適合性を評価する
認証取得後は管理活動が不要 維持、評価、改善を継続する

まとめ

  • ISMSは、組織が情報セキュリティを継続的に管理・改善する仕組み
  • JIS Q 27001は、ISMSの要求事項を定め、認証基準として用いられる
  • JIS Q 27002は、情報セキュリティ管理策と実施の手引を示す
  • 適用範囲は、組織の状況、利害関係者の要求、活動間の依存関係などを考慮して定める
  • 適用宣言書では、必要な管理策、採用理由、実施状況、附属書Aから除外する理由などを示す
  • ISMS認証は、事故ゼロや製品の無欠陥、企業全体の安全を保証するものではない
  • 認証基準はJIS Q 27001:2025だが、追補1の内容だけを示すためJIS Q 27001:2023と併せて適用する
  • JISとISOでは追補の番号の付け方が異なり、ISO側は27001:2022のまま追補を別番号で示す
  • JIS Q 27002:2024はISO/IEC 27002:2022との一致規格
  • デジュレスタンダードとデファクトスタンダードは、標準が成立する過程で区別する

関連記事

  • C3-T01：情報セキュリティガバナンスと組織体制
  • C3-T02：情報セキュリティポリシーと諸規程
  • C3-T04：管理策の3つの軸を整理する
  • C3-T05：ISMSのPDCAと運用
  • C3-T06：内部監査とマネジメントレビュー
  • C3-T08：認証・評価制度
  • C4-T03：リスクアセスメントの全体像
  • C7-T01：委託先の選定と事前調査

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 日本規格協会「JIS Q 27001:2023」
  • 日本規格協会「JIS Q 27001:2023/AMENDMENT 1:2025」
  • 日本規格協会「JIS Q 27002:2024」
  • ISO「ISO/IEC 27001:2022」
  • ISO「ISO/IEC 27001:2022/Amd 1:2024」
  • ISO「ISO/IEC 27002:2022」
  • 情報マネジメントシステム認定センター「ISMS適合性評価制度の概要」
  • 情報マネジメントシステム認定センター「JIS Q 27001:2025（ISO/IEC 27001:2022+Amd 1:2024）発行のお知らせ」

関連する問題

コメント

タイトルとURLをコピーしました