【2026】情報セキュリティ管理基準とは？令和7年改正版の変更点・基準を解説

「情報セキュリティ管理基準とは何？」「自社ではどのように活用すればいい？」「令和7年改正版では何が変わった？」と疑問に感じている方も多いのではないでしょうか。

そこでこの記事では、情報セキュリティ管理基準の基本から、令和7年改正版の変更点、3つの基準の内容、企業での具体的な活用方法までわかりやすくまとめました。自社の情報セキュリティ対策や管理基準にもとづく体制の見直しの参考にしてみてください。

情報セキュリティ管理基準とは

情報セキュリティ管理基準とは、企業や組織が情報資産を適切に管理するために、必要な体制や対策を示した経済産業省の基準です。情報セキュリティの管理体制を構築・改善するときはもちろん、情報セキュリティ監査を行う際の判断基準としても活用できます。

2025年8月には、国際規格の改正や近年のセキュリティ環境の変化などを踏まえた「管理基準の令和7年改正版」が公開されています。

（出典：日本セキュリティ監査協会「情報セキュリティ管理基準」）

情報セキュリティ管理基準の位置付け

情報セキュリティ管理基準を理解する際には、まず経済産業省の「情報セキュリティ監査制度」を知っておく必要があります。

経済産業省では、企業や組織の情報セキュリティ対策を客観的に評価するため、「情報セキュリティ監査基準」と「情報セキュリティ管理基準」を定めました。2つの基準の役割は、以下の通りです。

つまり、情報セキュリティ管理基準は、「企業の情報セキュリティ管理が適切に行われているか」を監査で判断するための基準という位置付けです。監査だけでなく、自社の情報セキュリティ体制を構築・改善したり、必要な管理策を検討したりする際にも活用できます。

管理基準に加え、情報セキュリティ監査について詳しく知りたい方は、以下の記事がおすすめです。

情報セキュリティ管理基準が必要とされる理由

情報セキュリティ管理基準が必要とされるのは、企業ごとの自己判断だけでは、必要なセキュリティ対策に抜け漏れが生じる可能性があるためです。

たとえば、ウイルス対策ソフトを導入しても、アクセス権限やバックアップ、従業員教育などが不十分だと、情報漏えいにつながる可能性があります。一方、情報セキュリティ管理基準を参考にすることで、「自社では何ができていて、何が不足しているのか」を整理しやすくなります。

情報セキュリティ管理基準は企業に義務付けられている？

情報セキュリティ管理基準そのものが、義務にはなっていません。
あくまで経済産業省が示す基準であり、企業が情報セキュリティ管理や監査を行う際などに活用するものです。

ただし、情報セキュリティ管理基準の利用が義務ではないといって、情報管理を行わなくてよいわけではありません。企業には個人情報や機密情報など、適切に管理しなければならない情報があるため、自社が保有する情報や事業上のリスクに応じて対策を整える必要があります。

なお、情報セキュリティに関する知識は、ビジネスセミナー等でも学べます。
おすすめのセミナーをお探しの方は、以下の記事もチェックしてみてください。

【2026】人気のビジネスセミナーランキング10選！企業向けのおすすめテーマ・選び方

情報セキュリティ管理基準「令和7年改正版」の変更点

2025年8月に公表された情報セキュリティ管理基準の令和7年改正版では、国際規格への対応やガバナンス基準の追加など、大きな見直しが行われました。主な変更点は以下のとおりです。

出典：経済産業省「情報セキュリティ管理基準（令和7年改正版）」

JIS Q 27001:2023・JIS Q 27002:2024に対応

令和7年改正版では、基礎となる規格が、従来のJIS Q 27001:2014・JIS Q 27002:2014から、JIS Q 27001:2023・JIS Q 27002:2024へ変更されました。これにより、情報セキュリティ管理基準も、現在の情報セキュリティ環境や国際規格に合わせた内容へ更新されています。

企業側で特に注意したいのが、旧版を参考に作成した社内規程やセキュリティポリシー、チェックリストをそのまま使用しているケースです。旧版をもとに運用している場合は、令和7年改正版との違いを確認し、必要な項目を更新しましょう。

「ガバナンス基準」が追加された

従来の情報セキュリティ管理基準は、「マネジメント基準」と「管理策基準」の2つで構成されていました。令和7年改正版では、新たに「ガバナンス基準」が追加され、3つの基準で構成されています。

これにより、情報セキュリティを担当部署だけに任せるのではなく、経営層も関与して取り組む考え方がより明確になりました。企業では、情報セキュリティに対する経営層の関与や、社内の責任体制を改めて確認する必要があります。

管理策が4つのテーマに整理された

管理基準は構成も見直され、令和7年改正版では93の管理策が「組織的」「人的」「物理的」「技術的」の4つのテーマに整理されました。

従来版から管理策の構成が大きく変わっているため、旧版のチェックリストなどを利用している企業は、新しい構成との対応関係を確認しておきましょう。

クラウド・脅威インテリジェンスなど現在のセキュリティ環境に対応

管理基準の令和7年改正版では、近年のIT環境やサイバー攻撃の変化を踏まえ、クラウドサービスの利用に関する情報セキュリティや、脅威情報を収集・分析する「脅威インテリジェンス」なども反映されています。

そのため、社内のPCやサーバーだけでなく、クラウドサービスなども含めてセキュリティ対策を考えることが重要です。Microsoft 365やGoogle Workspaceなどを利用している企業にとっても、確認しておきたい変更だと言えます。

また、私が建設コンサルタントとして働いていた際も、社内だけでなく、現場や出張先などでパソコンや業務データを扱う機会がありました。

情報を扱う場所や利用するサービスが増えるほど、社内だけを対象とした対策では不十分になります。現在はクラウドサービスの利用も一般的になっているため、管理基準をもとに「どこで・誰が・どの情報を扱うのか」まで把握することが重要です。

情報セキュリティ管理基準を構成する3つの基準

令和7年改正版の情報セキュリティ管理基準は、「ガバナンス基準」「マネジメント基準」「管理策基準」の3つで構成されています。それぞれ、次のように役割が異なります。

ガバナンス基準で定められている内容

ガバナンス基準は、経営層の役割や責任を確認したいときに参考になる管理基準です。
情報セキュリティに関する方針や責任、必要な人員・予算の確保、取り組み状況の把握など、経営層がどのように関与するかが示されています。

たとえば、「セキュリティは情報システム部門に任せきり」「事故が起きたときだけ経営層に報告している」といった企業は、ガバナンス基準をもとに体制を見直す必要があります。

マネジメント基準で定められている内容

マネジメント基準は、セキュリティ対策を継続して管理・改善する仕組みを整えたいときに参考になる管理基準です。自社の状況やリスクを確認し、必要な対策を計画・実施したうえで、その結果を評価して改善していく流れなどが示されています。

たとえば、「社内ルールを何年も見直していない」「新しいシステムを導入してもセキュリティ対策を見直していない」といった場合は、継続的に改善できる仕組みがあるか確認しましょう。

管理策基準で定められている93の管理策

管理策基準は、「具体的に何を対策すればいいのかわからない」ときに参考になる管理基準です。アクセス制御や従業員教育、入退室管理、バックアップ、クラウドサービスの利用など、情報セキュリティ対策を検討する際の具体的な管理策が示されています。

たとえば、上の画像のように業務で使用するフォルダにアクセスできるユーザーを制限することも、情報を守るための対策です。

Windowsでは、上の画像のようにフォルダのプロパティから、アクセスできるユーザーやグループ、許可されている操作などを確認できます。重要な設計資料や顧客情報などを保存する場合は、「業務上必要な人だけがアクセスできる状態になっているか」を確認することが重要です。

ただし、93の管理策をすべて一律に実施する必要があるわけではありません。
自社で扱う情報や業務、想定されるリスクに合わせて、必要な管理策を選ぶことが重要です。

情報セキュリティ管理基準と関連する基準・制度の違い

情報セキュリティ管理基準と似たものに、「情報セキュリティ監査基準」「ISO/IEC 27001・ISMS」「情報セキュリティポリシー」があります。それぞれ役割を以下に整理しました。

情報セキュリティ監査基準との違い

情報セキュリティ管理基準と情報セキュリティ監査基準は、そもそもの役割が違います。
情報セキュリティ管理基準は「何を基準に評価するか」を示すもの、情報セキュリティ監査基準は「どのように監査するか」を示すものです。

どちらも経済産業省の情報セキュリティ監査制度を構成する基準として、組み合わせて活用されます。

（出典：経済産業省「情報セキュリティ監査基準（令和7年改正版）」）

ISO/IEC 27001・27002・ISMSとの違い

まず、ISMS（情報セキュリティマネジメントシステム）は、企業が情報セキュリティを管理するための仕組みです。そして、ISMSを構築・運用するための要求事項を定めた国際規格が「ISO/IEC 27001」、具体的な管理策の参考となる指針が「ISO/IEC 27002」です。

一方、情報セキュリティ管理基準は、これらの国際規格との整合性を踏まえて経済産業省が策定した国内向けの基準です。セキュリティ対策を見直すなら情報セキュリティ管理基準を参考に、ISMS認証を取得したい場合はISO/IEC 27001の要求事項に沿って仕組みを構築・運用します。

（出典：情報マネジメントシステム認定センター「ISMSとは」）

情報セキュリティポリシーとの違い

情報セキュリティポリシーは、企業が自社で定める情報セキュリティの方針やルールです。
情報セキュリティ管理基準が「対策やルールを考える際の基準」である一方、情報セキュリティポリシーは「自社で実際に定めて運用するルール」という位置づけになります。

（出典：総務省「情報セキュリティポリシーの策定」）

情報セキュリティ管理基準を企業で活用する方法

情報セキュリティ管理基準を活用するときには、自社の情報資産やリスクに合わせて必要な対策を検討することが重要です。基本的には、以下の流れで進めてみてください。

私が建設コンサルタントとして働いていた際も、設計資料や図面など、業務で扱う情報の管理ルールが定められていました。たとえば、データの保存場所やアクセスできる人、紙資料の保管・廃棄方法などを決め、それに沿って管理する必要がありました。

このように、実際の業務で「何を守る必要があるのか」「どのようなリスクがあるのか」を洗い出し、具体的なルールや対策に落とし込むことが重要です。

また、情報セキュリティに関する知識を身につけたいなら、以下のセミナーを活用するのもおすすめです。情報セキュリティの基礎に加え、企業でも頻発するフィッシング対策、機密情報の取り扱いなど、情報セキュリティ管理基準に関連する知識や事例を体系的に学べます。

社内だけでは、情報セキュリティについて対応できない企業などに向いています。

また、企業では情報セキュリティに関する知識を身につけることも欠かせません。
以下の記事で解説するような資格取得も目指してみてください。

【2026】情報セキュリティ管理士とは？難易度・合格率・取得するメリットなどを解説

情報セキュリティ管理基準についてまとめ

情報セキュリティ管理基準は、企業が情報資産を守るための管理体制や対策を検討する際に活用できる基準です。令和7年改正版では、新たにガバナンス基準が追加され、クラウド利用など現在のセキュリティ環境に合わせた内容へ見直されました。

まずは自社が扱う情報資産やリスクを整理し、必要な管理策や社内ルールに不足がないか確認してみてください。