Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第6部 6-4

管理策の分類とは｜組織的・人的・物理的・技術的と予防・検知・是正

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 自社の対策を整理して、どこが手薄かを見たいとき
  • チェックシートが「組織的・人的・物理的・技術的」の区分で設問を並べていて、どこに何を書くか迷うとき
  • SG・支援士・Security+の勉強で、管理策の2種類の分け方を区別して覚えたいとき

読み終えたあと、社内でこう言えます

「うちの対策を4×3の表に置いて、手薄な所を洗い出しました」

結論：管理策の分類とは、セキュリティ対策を「何で守るか」と「いつ効くか」で整理する方法です。何で守るかは組織的・人的・物理的・技術的の4つで、ISO/IEC 27001:2022の附属書Aもこの4つで93の管理策を並べています。いつ効くかは予防（起こさない）・検知（気づく）・是正（直す）の3つです。自社の対策を4×3の表に置くと、空いているマスが手薄な所として見えてきます。

管理策を組織的・人的・物理的・技術的の4つと、予防・検知・是正の3つの2軸で分ける図

管理策とは？2つの軸で分ける考え方

管理策（コントロール）は、リスクを小さくしたり保ったりするための対策のことです。ルール、手順、機器の設定、教育など、形はさまざまです。分け方の軸は大きく2つあります。

軸分け方使いどころ
何で守るか組織的・人的・物理的・技術的規程の章立て、チェックシートの区分、担当の割り振り
いつ効くか予防・検知・是正（ほかに抑止・回復・補完なども）事故の前・最中・後の備えに穴がないかを見る

2つの軸は別物なので、1つの対策に両方のラベルが付きます。たとえば監視カメラは、何で守るかでは「物理的」、いつ効くかでは「検知」です。両方の軸で見ると、偏りがはっきりします。

組織的・人的・物理的・技術的の違いは？

ISMS（情報セキュリティマネジメントシステム）の規格ISO/IEC 27001は、2022年版で附属書Aの管理策を4つのテーマに組み直しました。2013年版の14分類・114管理策から、4分類・93管理策になり、新しい管理策が11個加わっています。日本ではJIS Q 27001:2023として対応しています。

分類何で守るか中小企業での例附属書Aの数
組織的決まり・体制・契約基本方針、責任者の任命、情報資産台帳、委託先の確認、事故対応の体制37
人的人への働きかけ採用時の誓約書、教育、退職時の返却、在宅勤務のルール8
物理的場所と物入退室の鍵、書庫の施錠、机の上の片付け、機器の廃棄14
技術的ITの仕組み多要素認証、更新、ウイルス対策、ログ、バックアップ、暗号化34

同じ4分類は、ほかの資料にも出てきます。IPAの「情報セキュリティ関連規程（サンプル）」の章立てと、個人情報保護委員会のガイドラインの安全管理措置（組織的・人的・物理的・技術的安全管理措置）です。1つの分け方を覚えれば、規程・チェックシート・個人情報の対策で使い回せます。規程の一覧は会社に必要な規程の一覧にまとめています。

迷いやすい振り分け

予防・検知・是正の違いは？

もう1つの軸は、事故の前後のどこで効くかです。ISO/IEC 27002:2022は、各管理策に「管理策の種類」という属性を付け、予防・検知・是正の3つで示しています。

種類効くとき例
予防事故の前。起こさない多要素認証、更新、アクセス権を絞る、教育
検知事故の最中。早く気づくログの確認、ウイルス対策ソフトの警告、監視カメラ、不審なログインの通知
是正事故の後。元に戻し、繰り返さないバックアップからの復旧、感染した端末の隔離、再発防止策

Security+やCISSPでは、さらに細かい種類も問われます。どれも「いつ・どう効くか」を言い分けたものです。

種類（英語）意味例
抑止（Deterrent）やる気をなくさせる「監視中」の掲示、懲戒の周知
回復（Recovery）業務を元の状態に戻すバックアップからの復元、代わりの拠点
補完（Compensating）本来の対策ができないときの代わり更新できない古い機器を、ネットワークで切り離す
指示（Directive）こうしなさいと示す規程、手順書、張り紙

補完の管理策は、米国国立標準技術研究所（NIST）の用語集で「同等または同程度の保護を提供する、代わりの管理策」と説明されています。チェックシートで「いいえ」と答えるときに、代わりにしている対策として書けるのがこれです。

自社の対策を表に並べると、手薄な所はどう見える？

2つの軸を縦と横にして、自社の対策を書き込みます。マスが空いていれば、その組合せの備えがないということです。作り方は次のとおりです。

  1. 対策を書き出す：今やっていることを、規程・設定・習慣を問わず全部並べます。
  2. 4分類に振り分ける：組織的・人的・物理的・技術的のどれかに置きます。
  3. いつ効くかを付ける：予防・検知・是正のどれかを付けます。2つに当たるなら両方に書きます。
  4. 空いたマスを見る：空いたマスごとに、困る事故を1つ思い浮かべ、必要かどうかを決めます。
  5. 優先順位を付ける：大事な情報に関わるマスから埋めます。順番の決め方はリスクアセスメントの手順で扱います。

たとえば社員30人の建設会社では（架空の例）

現場の写真と図面をクラウドで共有し、事務所に会計用のパソコンがある会社です。書き込むと、次のようになりました。

分類予防検知是正
組織的基本方針、アカウント発行の承認（空き）（空き）
人的入社時の誓約書（空き）（空き）
物理的事務所の施錠（空き）（空き）
技術的更新、ウイルス対策、多要素認証ウイルス対策ソフトの警告会計データのバックアップ

予防の列はそろっていますが、検知と是正、特に組織的・人的の行が空いています。事故に気づいた人がどこに報告するか（組織的・検知）、事故の後の再発防止をどう決めるか（組織的・是正）が決まっていない、ということです。この会社なら、まず報告先と連絡先の一覧を作るのが手早い一手です。

1つの対策だけに頼らず、層を重ねる考え方は多層防御で扱います。ISO/IEC 27002:2022は、管理策に「識別・防御・検知・対応・復旧」の5つで示す属性も付けています。NISTのサイバーセキュリティフレームワーク（CSF）と同じ言葉です。CSFの見方はサイバーセキュリティフレームワークを参照してください。

チェックシートではこう聞かれる

よくある設問答え方の例
組織的・人的・物理的・技術的な安全管理措置を講じていますか。はい。規程と責任者の任命、誓約と年1回の教育、事務所と書庫の施錠、多要素認証とバックアップを実施しています。
不正アクセスやマルウェア感染を検知する仕組みはありますか。はい。全端末のウイルス対策ソフトの警告を担当者が受け取り、クラウドの不審なログイン通知も確認しています。
サポートが終了したOSや機器を使用していませんか。いいえ。1台残っていますが、ネットワークから切り離して専用の用途だけに使い、〇月に入れ替える予定です。

3行目は、本来の対策（更新）ができない代わりに補完の管理策を書いた例です。設問ごとの答え方はチェックシートの回答の書き方も参考にしてください。

試験ではここが問われる

SG・支援士・Security+ 1・CISSP 1

  • 4分類：ISO/IEC 27001:2022（JIS Q 27001:2023）附属書Aは、組織的37・人的8・物理的14・技術的34の計93管理策。2013年版の14分類114管理策から再編されました。
  • 属性：ISO/IEC 27002:2022は、管理策の種類（予防・検知・是正）、情報セキュリティ特性（機密性・完全性・可用性）、サイバーセキュリティ概念（識別・防御・検知・対応・復旧）などの属性を付けています。
  • 個人情報の安全管理措置：個人情報保護委員会のガイドラインも、組織的・人的・物理的・技術的の4つに外的環境の把握を加えて示しています。
  • 紛らわしい対：検知は「気づく」、是正は「直す」。ログを取るだけでは検知にならず、見て気づく運用までが検知です。抑止は「思いとどまらせる」で、防ぐ（予防）とは区別します。
  • 英語：Security+やCISSPでは、管理策の分類をTechnical・Managerial（Administrative）・Operational・Physical、種類をPreventive・Detective・Corrective・Deterrent・Compensating・Directiveなどの英語で問います。

確認問題

問1 ISO/IEC 27001:2022の附属書Aで、管理策の数が最も多い分類はどれですか。

  1. ア 組織的管理策
  2. イ 人的管理策
  3. ウ 物理的管理策
  4. エ 技術的管理策
答えと解説
正解：ア　組織的37、技術的34、物理的14、人的8の計93です。方針や体制、委託先管理、事故対応など、仕組みに関わる管理策が組織的に多く集まっています。

問2 社員20人の食品卸会社（架空）が、次の対策を整理しています。「検知」に当たるものはどれですか。

  1. ア 退職者のアカウントを最終出社日に停止する
  2. イ 経理担当の不審なログインがあれば、担当者にメールで通知が届くようにする
  3. ウ ランサムウェアで暗号化されたファイルを、バックアップから戻す
  4. エ 事務所の入口に「防犯カメラ作動中」と掲示する
答えと解説
正解：イ　不審な動きに気づく仕組みなので検知です。アは起こさないための予防、ウは元に戻す是正（回復）、エは思いとどまらせる抑止に当たります。

問3 製造装置を動かすパソコンが古いOSのままで、更新できません。代わりにネットワークから切り離し、USBメモリの接続も禁止しました。この対策の種類として、最も適切なものはどれですか。

  1. ア 補完の管理策
  2. イ 是正の管理策
  3. ウ 検知の管理策
  4. エ 抑止の管理策
答えと解説
正解：ア　本来の対策（更新）ができないため、同程度の保護を別の方法で得ています。これが補完の管理策です。事故の後に直す是正、気づく検知、思いとどまらせる抑止のどれとも違います。

よくある質問

組織的対策と人的対策の違いは何ですか？
組織的対策は会社の仕組みや決まりで、人的対策は一人ひとりへの働きかけです。たとえば「教育を年1回行う」と規程に書くのは組織的、実際に教育をして理解を確かめるのは人的です。迷ったら、守る相手が「会社の仕組み」か「個々の人」かで分けます。
小さな会社でも、93の管理策を全部やる必要がありますか？
いいえ。ISMSの認証を取る場合も、リスクに照らして必要な管理策を選び、選ばなかった理由を説明する仕組みです。認証を取らない会社は、4×3の表で空いたマスのうち、大事な情報に関わる所から埋めれば十分です。
予防の対策がしっかりしていれば、検知や是正はいりませんか？
いいえ、必要です。予防はすり抜けられることがあり、そのときに気づけず、戻せないと被害が大きくなります。最低限、事故に気づいたときの報告先と、バックアップから戻す手順は用意してください。

この記事のまとめ

区分ごとの振り分けは任せて、確認と提出だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の対策を組織的・人的・物理的・技術的に振り分けて回答を作ります。できていない項目は、補完の対策と予定の書き方を添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. ISO「ISO/IEC 27002:2022 Information security, cybersecurity and privacy protection — Information security controls」（2022年2月）
  2. 日本規格協会「JIS Q 27001:2023（ISO/IEC 27001:2022）」プレビュー（2023年9月改正）
  3. BCS Information Security Specialist Group「ISO/IEC 27002:2022」講演資料（2022年4月）
  4. 日本ネットワークセキュリティ協会（JNSA）ISMS関連セミナー資料（2023年）
  5. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と付録5「情報セキュリティ関連規程（サンプル）」（2026年3月）
  6. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
  7. NIST CSRC Glossary「compensating controls」（NIST SP 800-53 Rev. 5ほか）