最終更新日：2026年8月12日
fe fe-strategy security law
まず結論
ISMS、JISEC、プライバシーマーク、JCMVPは、どれも「セキュリティや情報保護に関係する評価・認証制度」に見えますが、評価する対象が違います。
科目Aでは、制度名を細かく暗記するより、まず次の4つに切り分けると判断しやすくなります。
| 問題文で評価しているもの | 疑う制度 |
|---|---|
| 組織の情報セキュリティマネジメント | ISMS適合性評価制度 |
| IT製品のセキュリティ機能 | JISEC |
| 事業者の個人情報保護の体制 | プライバシーマーク制度 |
| 暗号モジュール | JCMVP |
試験直前は、「組織？ 製品？ 個人情報？ 暗号モジュール？」と考えるのが最も使いやすい判断軸です。
直感的な説明
4つの制度を「何に合格マークを付けるのか」で考えてみます。
- ISMS：会社や組織の情報セキュリティ管理の仕組み
- JISEC：OS、DBMS、ファイアウォールなどのIT製品
- プライバシーマーク：事業者の個人情報を守る仕組み
- JCMVP：暗号機能を実装した暗号モジュール
たとえば問題文に「組織が構築した情報セキュリティマネジメントシステム」とあれば、製品評価ではありません。ISMSを疑います。
逆に、「IT製品のセキュリティ機能の適切性・確実性」とあれば、組織全体の管理ではなく製品評価なのでJISECです。
このように、制度名よりも先に評価対象の大きさと種類を見ると混乱しにくくなります。
定義・仕組み
ISMS適合性評価制度
ISMS（Information Security Management System）は、組織が情報セキュリティを継続的に管理するための仕組みです。
ISMS適合性評価制度では、第三者の認証機関が、組織のISMSが認証基準に適合しているかを評価します。認証基準には JIS Q 27001（ISO/IEC 27001） が用いられます。
ここで重要なのは、評価対象がIT製品ではなく「組織のマネジメントシステム」だという点です。
JISEC
JISEC（ITセキュリティ評価及び認証制度）は、IT製品のセキュリティ機能を第三者が評価・認証する制度です。
評価基準として ISO/IEC 15408（Common Criteria：CC） が使われます。
対象には、OS、DBMS、ファイアウォール、ルータなどのIT製品があります。
試験では、
ISO/IEC 15408
IT製品
セキュリティ機能の適切性・確実性
という組合せを見たらJISECを疑います。
参考： IPA：ITセキュリティ評価及び認証制度（JISEC）
プライバシーマーク制度
プライバシーマーク制度は、個人情報について適切な保護措置を講じる体制を整備している事業者を評価し、プライバシーマークの使用を認める制度です。
JIS Q 15001に準拠した個人情報保護マネジメントシステム（PMS）の構築・運用が判断の中心になります。
ISMSもプライバシーマークも組織の管理体制に関係しますが、対象が違います。
- ISMS：組織の情報セキュリティ全般
- プライバシーマーク：個人情報保護
JCMVP
JCMVP（Japan Cryptographic Module Validation Program）は、暗号モジュールについて、暗号機能や暗号鍵などの重要情報が適切に保護されているかを試験・認証する制度です。
暗号モジュールのセキュリティ要求事項には、ISO/IEC 19790やJIS X 19790が関係します。
試験では、
暗号モジュール
暗号アルゴリズムの実装
暗号鍵の保護
といった言葉が出たらJCMVPを疑います。
参考： IPA：暗号モジュール試験及び認証制度（JCMVP）
注：IPAの現行案内では、暗号モジュール認証の新規申請受付は2024年4月1日から停止されています。ただし、FE試験で制度の役割を判断するときは、「暗号モジュールを対象とする制度」という切り分けが重要です。
科目Aでどう出る？
科目Aでは、制度名と規格番号を入れ替えた選択肢が出ることがあります。
最初に規格番号を思い出そうとするより、何を評価している文章かを見る方が安定します。
| キーワード | 判断 |
|---|---|
| 組織、ISMS、情報セキュリティマネジメント | ISMS |
| IT製品、セキュリティ機能、ISO/IEC 15408 | JISEC |
| 個人情報、事業者、JIS Q 15001 | プライバシーマーク |
| 暗号モジュール、暗号鍵、暗号機能 | JCMVP |
たとえば、
「JIS Q 27001に基づき、組織が構築した情報セキュリティマネジメントシステムの適合性を評価する」
という説明なら、ISMSです。
一方、
「ISO/IEC 15408に基づき、IT関連製品のセキュリティ機能を評価する」
ならJISECです。
「JIS Q 27001」と「ISO/IEC 15408」の入れ替えは、特に切り分けたいポイントです。
どんな場面で使う？
実務でも、何を証明・評価したいかによって制度が変わります。
組織としてセキュリティ管理を行っていることを示したい
ISMSの文脈です。
対象は個々の製品ではなく、リスクアセスメント、方針、管理策、運用、改善などを含む組織のマネジメントシステムです。
IT製品のセキュリティ機能を客観的に評価したい
JISECの文脈です。
「この会社は安全か」ではなく、このIT製品のセキュリティ機能は要求を満たしているかを評価します。
個人情報の適切な取扱いを対外的に示したい
プライバシーマークの文脈です。
個人情報の取得、利用、提供、保管などを含めた事業者の管理体制を評価します。
暗号機能を実装したモジュールを評価したい
JCMVPの文脈です。
対象は暗号アルゴリズムそのものだけではなく、暗号機能や鍵などを扱う暗号モジュールです。
よくある誤解・混同
誤解1：ISO/IEC 15408はISMSの認証基準
これは違います。
- ISMS → JIS Q 27001 / ISO/IEC 27001
- JISEC → ISO/IEC 15408
「組織」か「IT製品」かで切り分けましょう。
誤解2：ISMSとプライバシーマークは同じ
どちらも組織の管理体制に関係しますが、守る対象が異なります。
- ISMS：情報セキュリティ全般
- プライバシーマーク：個人情報保護
問題文に「個人情報」「JIS Q 15001」があれば、プライバシーマークを疑います。
誤解3：JISECとJCMVPは同じ製品認証
どちらも技術的な評価に見えますが、対象の範囲が違います。
- JISEC：IT製品のセキュリティ機能
- JCMVP：暗号モジュール
「暗号鍵」「暗号モジュール」まで絞られていればJCMVPです。
誤解4：制度名と規格名は同じもの
制度と規格は別です。
たとえば、
- ISMS適合性評価制度で JIS Q 27001 を認証基準として使う
- JISECで ISO/IEC 15408 を評価基準として使う
という関係です。
試験では、「制度」と「その制度で使う規格」を入れ替えた選択肢にも注意しましょう。
まとめ（試験直前用）
制度の違いは、何を評価するかで切り分けます。
- ISMS：組織の情報セキュリティマネジメント
- JISEC：IT製品のセキュリティ機能
- プライバシーマーク：個人情報保護の体制
- JCMVP：暗号モジュール
迷ったら、
「組織？ 製品？ 個人情報？ 暗号モジュール？」
の順に問題文を読み直しましょう。