情報セキュリティ管理策では、次の三つの並びが登場します。
- 組織的・人的・物理的・技術的
- 予防・検知・是正
- 識別・防御・検知・対応・復旧
同じ管理策に関係する用語ですが、同じ分類を言い換えたものではありません。特に「検知」が二つの並びに現れるため、何を分類しているのかを分けて理解する必要があります。
この記事では、学習上これらを「三つの軸」と呼び、管理策の領域・管理策の働き・サイバーセキュリティ上の局面という別の観点で整理します。
読み終えるころには、設問がどの軸を聞いているかを見分け、同じ管理策を三つの観点から同時に位置づけられるようになります。
先に結論：三つの軸は別の問いに答える
| 学習上の軸 | 見るもの | 区分 |
|---|---|---|
| 管理策の4分類 | 管理策が主に属する領域 | 組織的・人的・物理的・技術的 |
| 管理策タイプ | 管理策が主にどのように働くか | 予防・検知・是正 |
| サイバーセキュリティ概念 | どの局面に関係するか | 識別・防御・検知・対応・復旧 |
JIS Q 27002では、組織的・人的・物理的・技術的は管理策をまとめるテーマとして使われ、管理策タイプやサイバーセキュリティ概念は管理策へ付ける属性として扱われます。
したがって、「三つの軸」は試験で違いを見分けやすくするための教材上の整理です。三つを一つの階層構造として覚える必要はありません。
1．管理策の4分類：どの領域の対策か
| 分類 | 中心となる領域 | 例 |
|---|---|---|
| 組織的管理策 | 方針、体制、責任、組織的な手続 | 方針の策定、役割と責任、職務の分離、委託先管理 |
| 人的管理策 | 従業者など、人に関する対策 | 採用時の確認、教育・訓練、秘密保持、退職・異動時の対応 |
| 物理的管理策 | 建物、部屋、設備などの物理環境 | 施錠、入退室管理、監視、機器・媒体の物理的保護 |
| 技術的管理策 | 情報システム、ネットワーク、技術機能 | 認証、アクセス制御、暗号化、マルウェア対策、ログ監視 |
見分けるときは、対策に使う製品名だけでなく、何を中心に管理しているかを確認します。
教育は人的管理策
情報セキュリティ教育・訓練は、人の知識や行動へ働きかけるため、管理策の4分類では人的管理策として整理します。
教育計画を策定し、責任者や実施時期を決める活動には組織的な要素もありますが、「情報セキュリティ教育はどの管理策か」と問われた場合は、中心となる対象が人であることを優先します。
入退室管理は物理的管理策
ICカードなどの技術を使っていても、建物やサーバ室への立入りを制御する目的なら、管理策の4分類では物理的管理策として整理します。
一方、同じ「アクセス制御」でも、システムへのログインやファイル閲覧権限を制御するなら技術的管理策です。
2．管理策タイプ：主にどのように働くか
| タイプ | 主な働き | 例 |
|---|---|---|
| 予防 | 望ましくない事象の発生を防止・抑制する | 不要な権限を与えない、教育を行う、入室を制限する |
| 検知 | 発生しようとしている事象又は発生した事象を発見する | 不審なログインを検出する、アラートを監視する |
| 是正 | 発生した事象の影響を修正・回復する | 誤設定を修正する、感染端末を復旧する |
「発生前・発生時・発生後」という時間の流れは見分ける手掛かりですが、時刻だけで機械的に決めるのではなく、その管理策の主な働きを確認します。
また、一つの管理策に複数の属性値が関係する場合があります。設問では、問題文で強調されている働きを見ます。
3．サイバーセキュリティ概念：どの局面に関係するか
現行SGシラバスVer.4.1では、次の五つが明示されています。
| 概念 | 試験での捉え方 |
|---|---|
| 識別 | 資産、状況、脅威、脆弱性、リスクなどを把握する |
| 防御 | リスクを管理するための保護策を実施する |
| 検知 | 異常、攻撃、侵害などを発見する |
| 対応 | 検知したインシデントへ対処し、影響拡大を抑える |
| 復旧 | 影響を受けた業務・システム・データなどを回復する |
順番は、識別 → 防御 → 検知 → 対応 → 復旧です。
これは管理策タイプの「予防・検知・是正」とは別の軸です。管理策タイプは個々の管理策の働きを見るのに対し、サイバーセキュリティ概念はリスク管理からインシデント対応・復旧までの観点で整理します。
NIST CSF 2.0とは数が異なる
現在のNIST Cybersecurity Framework 2.0は、統治・識別・防御・検知・対応・復旧の6機能で構成されています。
一方、SGシラバスVer.4.1及びJIS Q 27002のサイバーセキュリティ概念として押さえるのは、識別・防御・検知・対応・復旧の5つです。
SGの問題では、どの枠組みについて問われているかを確認し、現在のNIST CSF 2.0の6機能と混同しないようにします。
4．「検知」は二つの軸に登場する
| 軸 | 「検知」が表すもの |
|---|---|
| 管理策タイプ | 管理策が事象を発見する働きをもつこと |
| サイバーセキュリティ概念 | 異常や侵害を発見する局面 |
例えば、不審なログインを自動的に検出して通知する仕組みは、主な目的に着目すると、
- 4分類：技術的管理策
- 管理策タイプ：検知
- サイバーセキュリティ概念：検知
と整理できます。
同じ「検知」という語でも、二つの分類自体が同じという意味ではありません。
5．一つの管理策を複数の観点から見る
| 管理策の例 | 4分類 | 管理策タイプ | サイバーセキュリティ概念 |
|---|---|---|---|
| 情報セキュリティ教育 | 人的 | 予防 | 防御 |
| サーバ室への入室制限 | 物理的 | 予防 | 防御 |
| 不審ログインの自動検出 | 技術的 | 検知 | 検知 |
この表は、全ての管理策を固定的に一対一対応させるものではありません。
同じ管理策でも、目的・設計・利用場面によって複数の属性に関係することがあります。試験では、どの領域か、どのように働くか、どの局面かをそれぞれ確認します。
6．科目Bでは対策の偏りを見る
例えば、ある部門の対策として、ファイアウォール、暗号化、多要素認証だけが挙げられているとします。重要な対策ですが、いずれも主に技術的管理策です。
ここで「残り三分類を必ず一つずつ追加する」と機械的に判断するのは適切ではありません。必要な管理策はリスクに応じて選ぶからです。
代わりに、次のような抜けがないかを確認します。
- 方針・責任・手順などの組織的対策
- 教育・秘密保持などの人的対策
- 施設・機器を守る物理的対策
- 異常を検知する仕組み
- インシデント発生後の対応・復旧
三つの軸は、対策数を均等にするためではなく、重要なリスクに対して対策が偏っていないかを確認する視点として使います。
事例文に次の言葉が出てきたら、この記事の内容が判断材料になります。
| 事例文の合図 | 確認すること |
|---|---|
| セキュリティ製品を導入したので対策は十分だ | 組織的・人的・物理的な対策に抜けがないか |
| 教育を実施したので組織的対策を強化した | 4分類のどれとして数えるべきか |
| ICカードを導入したので技術的対策になった | 何を中心に管理しているか（建物か、システムか） |
| 侵入を防ぐ対策はそろっている | 検知・対応・復旧の局面が抜けていないか |
担当者としては、対策の数ではなく、重要なリスクに対して領域・働き・局面のどこかが抜けていないかを確認します。抜けを見つけた場合は、どの管理策を追加するかを独断で決めず、リスクの大きさとあわせて上位者や関係部署へ報告し、指示を仰ぎます。
7．迷ったときの判断手順
- どの軸について聞かれているか確認する
4分類、管理策タイプ、サイバーセキュリティ概念を区別します。
- 4分類なら中心となる領域を見る
組織、人、物理環境、技術のどれかを確認します。
- 管理策タイプなら主な働きを見る
予防、検知、是正のどれかを確認します。
- サイバーセキュリティ概念なら局面を見る
識別、防御、検知、対応、復旧のどこかを確認します。
- 複数に関係するときは設問の焦点を見る
一つの管理策が複数の属性をもつことがあるため、問題文で強調される目的を優先します。
よくある取り違え
| 誤った理解 | 正しい整理 |
|---|---|
| 三つは同じ分類の言い換え | 別の観点から管理策を見る教材上の三軸 |
| 三つの軸に上下関係がある | 4分類と二つの属性は別の観点 |
| 一つの管理策は一つの区分しか持てない | 異なる軸で同時に整理でき、複数属性に関係する場合もある |
| 教育は組織的管理策 | 人への働きかけが中心なら人的管理策 |
| ICカードなら必ず技術的管理策 | 建物への入退室管理なら物理的管理策 |
| 二つの「検知」は同じ分類 | 管理策タイプとサイバーセキュリティ概念に同じ語がある |
| SGの概念もNIST CSF 2.0も5つ | SG・JISの当該概念は5つ、現在のNIST CSF 2.0は統治を加えた6機能 |
| 四分類を同じ数ずつ導入する | リスクに応じて必要な管理策を選ぶ |
まとめ
- 組織的・人的・物理的・技術的は、管理策を領域ごとに整理する4分類
- JIS Q 27002では4分類は管理策のテーマとして扱われる
- 予防・検知・是正は管理策タイプという属性
- 識別・防御・検知・対応・復旧はサイバーセキュリティ概念という属性
- 三つは同じ分類の言い換えでも上下関係でもない
- 「検知」は管理策タイプとサイバーセキュリティ概念の両方に登場する
- 一つの管理策は異なる軸から同時に整理でき、複数の属性に関係する場合もある
- 科目Bでは、三つの観点から重要なリスクへの対策の抜け・偏りを確認する
関連記事
- C3-T01：情報セキュリティガバナンスと組織体制
- C3-T02：情報セキュリティポリシーと諸規程
- C3-T03：ISMSとJIS Q 27001・27002
- C3-T05：ISMSのPDCAと運用
- C4-T05：リスク対応の4分類
- C5-T04：組織的・人的対策
- C5-T05：物理的対策
- C6-T01：インシデントハンドリングの4段階
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- 日本規格協会「JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティ管理策」
- ISO「ISO/IEC 27002:2022 Information security, cybersecurity and privacy protection — Information security controls」
- NIST「The NIST Cybersecurity Framework (CSF) 2.0」
コメント