データマネジメント試験（仮称）情報セキュリティ分野の要点【2026年10月29日時点】

情報セキュリティ分野（中分類24）は、シラバス案のどこにある？

データマネジメント試験（仮称）のシラバス案Ver.0.1では、中分類24 情報セキュリティマネジメントは大分類6「セキュリティ」に置かれています。「目標とする知識」のうち、その他の分野に分類される中分類です。

シラバス案は検討段階の資料で、IPAは内容を変更する可能性があるとしています。本記事は、データマネジメント試験ナビ編集部が2026年10月29日時点のVer.0.1をもとに整理しました。当サイトは、IPAとは関係のない民間の対策サイトです。

中分類24の趣旨は、当サイトの整理では2つに分かれます。1つ目は、組織のセキュリティ方針や規程、データ利用ルールを守り、日々の業務でデータ資産を安全かつ適正に扱う知識です。2つ目は、データの取扱いに伴うリスクを認識し、情報漏えいが起きたときに迅速に報告・初動対応する知識です。

攻撃手法や暗号の仕組みを深く掘り下げる分野ではありません。重心は、ビジネス部門の担当者が「守る」「気づく」「報告する」ための知識にあります。顧客名簿を共有フォルダに置く。売上の集計表を他部署に渡す。そうした日常の判断の裏側にある考え方です。

その他の分野の表には小分類番号がありません。中分類24の小分類と主な内容は、次の表のとおりです。

表の右列は、シラバス案の項目と用語例をもとにしています。以下、上から順に「位置づけ→用語の意味→業務での場面→学習のポイント」の流れで見ていきます。

機密性・完全性・可用性とは？ 小分類「情報セキュリティ」の基本

シラバス案での位置づけ：小分類「情報セキュリティ」は「情報セキュリティの考え方」を扱います。用語例には、機密性・完全性・可用性が「など」付きで挙がっています。

図のとおり、3つの要素それぞれについて、意味と、崩れたときの業務での例を並べました。覚えるときは「見られてはいけない」「変わってはいけない」「止まってはいけない」と言い換えると整理しやすくなります（当サイトの言い換え）。

用語の意味：情報セキュリティは、情報の機密性・完全性・可用性を維持することと一般に説明されます。3つの頭文字をとって、CIAと呼ばれることもあります。

表の「崩れた例」は、一般的な業務の場面を当サイトで想定したものです。自分の職場ならどのデータが当てはまるか、置き換えて読んでみてください。

業務での場面：共有フォルダの権限を広く設定すると、誰でもすぐにファイルを開けて便利です。可用性は上がりますが、機密性は下がります。3つの要素は、ときに引っ張り合う関係にあります。だからこそ、データの重要度に応じてバランスをとる判断が求められます。

学習のポイント：「完全性」という言葉は、中分類8のデータ品質特性にも出てきます。品質では「必要なデータがそろっていること」、セキュリティでは「改ざんされていないこと」に意味の重心があります。同じ言葉を文脈で区別できるかが、理解度を測る目安になります。

情報セキュリティポリシーとアクセス権の管理とは？

シラバス案での位置づけ：小分類「情報セキュリティマネジメント」は、情報セキュリティポリシーに基づくデータの管理と、アクセス権の管理を扱います。

用語の意味：情報セキュリティポリシーは、組織が情報をどう守るかを定めた方針と規程の総称です。一般に、基本方針、対策基準、実施手順などの階層で構成されます。アクセス権の管理は、誰がどのデータを閲覧・更新・削除できるかを決め、付与・変更・削除を適切に運用することです。

土台になるのは「最小権限」の考え方です。業務に必要な最小限の権限だけを与えます。関連する用語を表にまとめました。

表の4つは、ポリシーで決め、アクセス権で運用し、ログで確かめるという関係で読むとつながりが見えます（当サイトの整理）。

業務での場面：人事異動の時期を思い浮かべてください。異動した社員の旧部署の権限を残したままにすると、本来見られないはずのデータにアクセスできる状態が続きます。異動・退職時の権限見直しは、アクセス権管理の基本的な運用です。

生成AIのツールで議事録を要約する場面でも、考え方は同じです。その会議の資料を誰が見てよいのか、ツールに入力してよいのかを、社内のポリシーに照らして確かめます。

学習のポイント：中分類8のデータガバナンスで扱うデータセキュリティルールと一緒に整理しましょう。科目Bの小項目1-3「利用目的、アクセス範囲、機密レベル、ルール及び倫理に基づく適切な取扱い」ともつながります。ルールを定める話と、日々運用する話を行き来できると理解が深まります。

情報資産の分類・リスクの評価・リスクコントロールとは？

シラバス案での位置づけ：小分類「リスクマネジメント」は、情報資産（データ資産）の分類、リスクの評価、リスクコントロールを扱います。中分類24の趣旨には、情報漏えい時に迅速に報告・初動対応するための知識も含まれています。

用語の意味：情報資産の分類は、データを重要度や機密レベルに分け、扱い方を変えることです。社外秘、部外秘、公開といった区分がその例です。リスクの評価は、起こりうる脅威と弱点を洗い出し、発生の可能性と影響の大きさから優先度を決めることです。

リスクコントロールは、評価結果にもとづいて対策を選ぶことです。一般に、リスクの回避・低減・移転・受容という対応の考え方があります。

図のとおり、リスクへの対応には回避・低減・移転・受容の4つがあり、それぞれの意味と例を並べています。リスクをすべて無くすのではなく、評価したうえで対応を選ぶ。これがリスクマネジメントの出発点です。

表の例は、業務の一場面として当サイトで想定したものです。同じリスクでも、組織の状況によって選ぶ対応は変わります。

業務での場面：顧客アンケートの分析を企画するとします。氏名や連絡先を使わずに集計できるなら、個人データを扱うリスクそのものを避けられます（回避）。どうしても必要な項目があれば、見られる人を絞り、ファイルを暗号化します（低減）。

学習のポイント：「分類→評価→対応→報告」という流れで覚えておくと、事例の文章を読んだときに、今どの段階の話かを判断しやすくなります（当サイトの整理）。

個人データが漏えいしたら、法律は何を求めている？

中分類24の趣旨にある「報告」は、法律とも結びついています。ここでは個人情報保護法の関連条文を、要旨の範囲で確認します。

まず予防の側です。個人情報保護法第23条は、個人データの漏えい等を防ぐための安全管理措置を事業者に求めています。

次に、起きてしまったときです。同法第26条は、個人の権利利益を害するおそれが大きい一定の事態について、個人情報保護委員会への報告を求めています（第1項）。対象となる事態は、個人情報保護委員会規則で定められています。報告が必要な事態では、本人への通知も求められます（第2項）。

では、どんな事態が報告の対象になるのでしょうか。個人情報保護委員会のウェブサイトが示す内容を、期限とあわせて表にまとめました。

表は要旨であり、法的な助言ではありません。本人への通知が困難な場合の代わりの措置や、委託を受けた事業者の扱いなど、細かな定めもあります。正確な要件は、条文と施行規則、個人情報保護委員会の資料で確認してください。

現場の担当者に求められるのは、判断を自分で抱え込まないことです。報告が必要な事態かどうかは、組織として判断します。担当者は社内ルールに沿って、すぐに報告します。

漏えいに気づいたとき、担当者はまず何をする？

中分類24の趣旨にある「迅速に報告・初動対応する」を、業務担当者の行動に置き換えると次のようになります（当サイトの整理）。

表の4段階のうち、担当者が自分の判断で動くのは「気づく」から「報告する」までです。「広げない」は、窓口の指示に従って行います。原因の調査や、個人情報保護委員会への報告・本人への通知が必要かの判断は、組織として行います。

避けたいのは、自己判断で事実を伏せたり、記録を消したりすることです。調査や報告が遅れる原因になります。問い合わせ記録を誤って社外に送ってしまった直後こそ、手を止めて窓口へ連絡する。シラバス案のリスクマネジメントは、こうした行動の背景にある考え方と位置づけると理解しやすくなります。

科目Bや他の分野とは、どうつながる？

中分類24は、ITパスポート試験などで情報セキュリティを学んだ人には見覚えのある用語が多い分野です。ただしシラバス案は、データ資産を扱う業務担当者の目線で書かれています。用語を覚えるだけでなく、自分の業務の場面に置き換えて説明できるかを確かめておきましょう。

あわせて学ぶと効率がよい分野を、当サイトの整理で表にしました。

表のように、中分類24の知識は単独では完結しません。ルールを知る（中分類8）、法律を知る（中分類29）、場面で判断する（科目B）という3方向から見ると、全体像がつかめます。

IPAの「見直しの検討状況」では、出題数を科目A 48問・科目B 12問、試験時間を合わせて120分としています。分野ごとの出題数の配分は、2026年10月29日時点で公表されていません。

よくある質問

次の一歩：読み終えたらやること

まず、自分の業務で扱っているデータを1つ思い浮かべてください。そのデータの機密レベル、アクセスできる人、漏えいに気づいたときの報告窓口を言えるか確かめます。言えなかった項目が、学習の入り口です。

5分野のどこから手をつけるか迷うなら、無料診断を使ってみてください。20問・制限時間20分で、登録は不要です。データマネジメント、データ分析・AI利活用、データベース、情報セキュリティ、倫理・コンプライアンスの5分野について、得意・苦手を確かめられます。

シラバス案は変更の可能性がある資料です。IPAの新しい発表を追いかけたい人は、無料会員に登録しておくとメールでお知らせが届きます。