JIS Q 27001（ISO/IEC 27001）とは？ISMS認証の国際規格をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

JIS Q 27001（ISO/IEC 27001）は、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者のすべてで出題される超重要テーマです。

ISMSとセットで出題されることが多いので、両者の関係を正確に理解しておきましょう。

詳細をクリックして確認

対象試験：
ITパスポート
情報セキュリティマネジメント
基本情報技術者
応用情報技術者

出題頻度：
★★★★★
ランクS（超重要）絶対に覚える必要あり

用語の定義

JIS Q 27001（ISO/IEC 27001）とは、一言で言うと「ISMSを構築・運用するために満たすべき要求事項を定めた国際規格」のことです。

イメージとしては、「セキュリティの運転免許試験の合格基準」と考えるとわかりやすいでしょう。
運転免許を取るには「視力検査に合格すること」「学科試験で○点以上取ること」「実技試験に合格すること」といった基準がありますよね。ISO/IEC 27001は、ISMSという「セキュリティ免許」を取得するための合格基準を定めた規格です。

情報処理試験を勉強していると、「ISO/IEC 27001とJIS Q 27001って別物なの？」「27001と27002は何が違うの？」と混乱しがちです。結論から言うと、JIS Q 27001はISO/IEC 27001の日本語版であり、内容は同じです。そして27001は「要求事項（〜しなければならない）」、27002は「実践規範（〜するとよい）」という違いがあります。この2点を押さえておけば、試験対策としては十分です。

解説

ISO/IEC 27001は、ISMS（情報セキュリティマネジメントシステム）の「設計図」とも言える規格です。「こういう要件を満たせば、ちゃんとしたISMSと認められますよ」という基準を示しています。

ISO/IEC 27001とJIS Q 27001の関係

まず、混乱しやすい「ISO」「IEC」「JIS」の関係を整理しておきましょう。

ISO（国際標準化機構）とIEC（国際電気標準会議）は、国際規格を作成する団体です。情報セキュリティの分野では両者が共同で規格を作成しているため、「ISO/IEC」という名前になっています。

一方、JIS（日本産業規格）は日本国内の規格です。JIS Q 27001は、ISO/IEC 27001を日本語に翻訳し、日本の規格として発行したものです。技術的な内容は完全に同一なので、試験では「ISO/IEC 27001」と「JIS Q 27001」を同じものとして扱って問題ありません。

27001と27002の違い

試験で最も問われやすいのが、ISO/IEC 27001とISO/IEC 27002の違いです。番号が1つ違うだけなので混同しやすいですが、役割が明確に異なります。

覚え方としては、27001が「試験問題」、27002が「参考書」と考えるとわかりやすいです。試験に合格するには試験問題（27001）の要求を満たす必要がありますが、参考書（27002）を読んで勉強すると対策しやすくなる、という関係です。

ISO/IEC 27001の構成

ISO/IEC 27001は、本文と附属書で構成されています。本文にはISMSの枠組みに関する要求事項が書かれており、附属書A（Annex A）には具体的な管理策（セキュリティ対策の項目）のリストが掲載されています。

2022年に改訂された最新版（ISO/IEC 27001:2022）では、附属書Aの管理策が93項目に再編成されました。ただし、試験で管理策の数や具体的な内容を問われることはほとんどないので、「附属書Aに管理策が載っている」という程度の理解で十分です。

ISMS認証の仕組み

ISO/IEC 27001は、ISMS認証を取得するための審査基準として使われます。認証を取得したい組織は、ISO/IEC 27001の要求事項を満たすISMSを構築・運用し、認証機関の審査を受けます。

日本では、ISMS-AC（情報マネジメントシステム認定センター）が認証機関を認定し、認定された認証機関が各組織のISMSを審査するという二段構えの仕組みになっています。

---

試験ではこう出る！

JIS Q 27001（ISO/IEC 27001）は、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者のすべてで頻出です。以下のポイントを確実に押さえておきましょう。

---

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。