最終更新日：2026年6月15日
sg sg-security-management security_standard network
まず結論
セキュリティ関連の標準・規格は、何を標準化・評価・管理するものかで切り分けます。
SG試験では、規格番号を細かく暗記するよりも、次の4つの箱に分けると選択肢を切りやすくなります。
| 見る対象 | 代表例 | 判断ポイント |
|---|---|---|
| 組織の情報セキュリティ管理 | JIS Q 27001、JIS Q 27002 | ISMS、管理策、組織の運用管理か |
| IT製品・システムの評価 | ISO/IEC 15408、JIS X 5070 | 製品やシステムのセキュリティ機能を評価する話か |
| 証明書・PKI | X.509、JIS X 5731-8 | 公開鍵証明書、証明書パス検証、PKIの話か |
| インターネット技術仕様 | IETF、RFC、RADIUS、LDAP | 通信プロトコルやインターネット技術の仕様か |
選択肢に「RADIUS」「LDAP」「RFC」とあれば、まずIETFのプロトコル仕様を疑います。
直感的な説明
標準・規格は、試験では「ルールの種類」を見分ける問題として出ます。
たとえば、会社でセキュリティ対策を考えるとき、次のように目的が違います。
- 組織として情報セキュリティを管理したい
- セキュリティ製品の機能を客観的に評価したい
- 電子証明書の形式や検証方法をそろえたい
- インターネット上で使う通信プロトコルの仕様をそろえたい
どれも「標準」「規格」に見えますが、対象が違います。
SG試験では、標準化団体名や規格番号そのものより、対象領域を見抜くことが大切です。
定義・仕組み
IETFは、インターネット技術の標準化に関わる組織です。
IETFの公式ページでも、IETFはインターネット標準化組織であり、技術文書をRFCとして公開することが説明されています。RFCは、インターネットの技術基盤やプロトコル仕様を記述する文書として使われます。
参考： IETF｜About RFCs
SG試験で見かける標準・規格は、次のように整理します。
| 用語 | 試験での見方 |
|---|---|
| JIS Q 27001 | ISMSの要求事項。組織の情報セキュリティマネジメントシステムを構築・運用する話 |
| JIS Q 27002 | 情報セキュリティ管理策の実践規範。アクセス制御、教育、運用管理など管理策の話 |
| ISO/IEC 15408 | IT製品・システムのセキュリティ機能を評価する国際規格。CCとも関係する |
| JIS X 5070 | ISO/IEC 15408に対応する日本のJIS。IT製品・システム評価の話 |
| X.509 / JIS X 5731-8 | 公開鍵証明書や証明書パス検証など、PKI関連の仕様 |
| IETF | インターネット技術の標準化に関わる組織 |
| RFC | IETFなどの技術仕様文書。プロトコル仕様の根拠として出る |
| RADIUS | 認証、認可、アカウンティングを扱うプロトコル |
| LDAP | ディレクトリサービスへアクセスするためのプロトコル |
| W3C | HTML、CSS、Web関連技術の標準化に関わる団体 |
RADIUSは RFC 2865、LDAPは RFC 4511 などで仕様が整理されています。
参考： RFC 2865｜Remote Authentication Dial In User Service (RADIUS)
参考： RFC 4511｜Lightweight Directory Access Protocol (LDAP): The Protocol
どんな場面で使う？
標準・規格の問題では、問題文や選択肢のキーワードから対象領域を決めます。
| 問題文のキーワード | 疑う対象 |
|---|---|
| ISMS、管理策、アクセス制御、教育、運用管理 | JIS Q 27001 / JIS Q 27002 |
| 製品、システム、セキュリティ機能、評価、認証 | ISO/IEC 15408 / JIS X 5070 |
| 公開鍵証明書、証明書パス、PKI | X.509 / JIS X 5731-8 |
| RFC、IETF、RADIUS、LDAP、プロトコル | インターネット技術仕様 |
| HTML、CSS、Web標準 | W3C |
試験では、具体的な規格名を入れ替えた選択肢が出やすいです。
- 管理策の文脈なら、JIS Q 27001 / 27002を疑う
- 製品・システム評価の文脈なら、ISO/IEC 15408 / JIS X 5070を疑う
- 証明書やPKIの文脈なら、X.509 / JIS X 5731-8を疑う
- プロトコル仕様の文脈なら、IETF / RFCを疑う
このように、選択肢の固有名詞よりも「何を対象にしているか」を先に見ると判断しやすくなります。
よくある誤解・混同
誤解1：JIS Q 27002は製品のセキュリティ機能を評価する規格である
JIS Q 27002は、組織の情報セキュリティ管理策を考えるときの実践規範です。
製品やシステムのセキュリティ機能評価の文脈なら、ISO/IEC 15408やJIS X 5070を疑います。
誤解2：JIS X 5070は運用管理全体の実践規範である
JIS X 5070は、ISO/IEC 15408に対応するIT製品・システムのセキュリティ評価の文脈で出ます。
組織の運用管理や管理策全体の話なら、JIS Q 27001、JIS Q 27002、情報セキュリティ管理基準などを考えます。
誤解3：X.509はWeb標準やHTTP/HTMLの規格である
X.509は、公開鍵証明書や証明書パス検証など、PKIで使われる証明書関連の仕様です。
HTMLやCSSなどWeb技術の標準化なら、W3Cの文脈を考えます。
誤解4：RFCは法律や管理基準である
RFCは、インターネット技術に関する仕様文書として出題されます。
SG試験では、RFCが出たら「通信プロトコルやインターネット技術の仕様」と考えると、法律や組織管理基準との混同を避けられます。
確認問題（SG試験対策）
セキュリティ関連の標準・規格を見分けるとき、最初に確認すべき観点はどれか。
- ア. 規格番号の数字が大きいかどうか
- イ. 名称に英字が含まれているかどうか
- ウ. 何を標準化・評価・管理するものか
- エ. 国内規格か国際規格かだけ
▶ クリックして答えと解説を見る（ここを開く）
正解：ウ
解説
- ア：不適切です。番号だけでは対象領域は判断できません。
- イ：不適切です。英字略語かどうかでは、管理策・製品評価・プロトコル仕様の区別はできません。
- ウ：適切です。SG試験では、標準・規格が何を対象にしているかを先に見ます。
- エ：不適切です。国内規格か国際規格かだけでは、選択肢の正誤を切れません。
👉 判断ポイント 「組織管理」「製品評価」「証明書」「プロトコル仕様」のどれかを先に決める。
まとめ（試験直前用）
セキュリティ関連の標準・規格は、対象領域で切り分けます。
- JIS Q 27001 / 27002：組織の情報セキュリティ管理・管理策
- ISO/IEC 15408 / JIS X 5070：IT製品・システムのセキュリティ機能評価
- X.509：公開鍵証明書などPKI関連仕様
- IETF / RFC：インターネット技術・プロトコル仕様
SG試験では、規格番号よりも「何を対象にした規格か」を見て選択肢を切りましょう。