デジュレスタンダードの問題と解説 | 情報セキュリティマネジメント

正解：エ

各選択肢の解説

ア市場で多くの企業に採用された結果、事実上の標準となったデファクトスタンダード
誤り。デファクトスタンダードは、公的な手続を経ずに、市場での普及の結果として標準になったものです。 ISMS認証は広く使われているので「事実上の標準」と感じやすいのですが、JIS Q 27001は公的な機関の手続で制定されています。
イ関心をもつ企業が集まって団体をつくり、合意で策定したフォーラム標準
誤り。フォーラム標準は、技術に関心をもつ企業が自発的に集まり、合意で作る標準です。複数の関係者の合意で作る点が似ていますが、策定するのが企業の集まりか、公的な標準化機関かで違います。
ウ法律で全ての事業者に適合が義務付けられた強制規格
誤り。JISは、使うかどうかを利用者が選ぶ任意の規格です。この場面でも認証の取得は自社が委託先に求める条件であり、法律が全事業者に義務付けているわけではありません。決め方と強制力は別の軸です。
エ公的な標準化機関が定められた手続で策定したデジュレスタンダード
正解。ISOやIEC、JISのように、公的な標準化機関が決められた手続に沿って策定した標準をデジュレスタンダードといいます。JIS Q 27001は、ISO/IEC 27001を基に制定されたJISです。

ある規格がよく使われているかどうかと、その規格がどうやって決まったかは別の話です。標準の分類は、普及しているかではなく、決まり方で分けます。公的な機関が手続を踏んで決めたのか、市場で使われているうちに事実上の標準になったのか、です。

ISO/IEC 27001は、国際標準化機関であるISOとIECが定めた国際規格
JIS Q 27001は、それを基に、産業標準化法に基づく手続で制定された日本産業規格（JIS）。 JIS Q 27001:2023がISO/IEC 27001:2022に対応する
どちらも公的な標準化機関が定めた手続で策定されているので、デジュレスタンダードに当たる

委託先にISMS認証を求めるのは、共通の物差しで管理の水準を確かめるためです。 物差しが公的な手続で決まっているから、委託先ごとの自己流の説明ではなく、同じ基準で比べられます。ただし、規格そのものに法律上の強制力があるわけではなく、使うかどうかは利用者が決めます。

用語	決まり方
デジュレスタンダード	公的な標準化機関が定められた手続で策定する（ISO、IEC、JISなど）
デファクトスタンダード	市場での普及の結果、事実上の標準になる
フォーラム標準	関心をもつ企業が集まり、合意で策定する
強制規格	法令で適合が義務付けられる。決まり方ではなく強制力の話

「公的な機関」「手続」という言葉があればデジュレ、「市場で普及」「事実上」ならデファクトと読み分けます。