正解：イ
各選択肢の解説
ア管理策ごとに実施の手引を示した JIS Q 27002（ISO/IEC 27002）
誤り。JIS Q 27002 は、管理策を実施するときの考え方や手順を示した実践の手引で、 認証の基準ではありません。名前も番号も近く、管理策が具体的に並んでいるので 「これを満たせば認証」と思われがちですが、審査で照らし合わせるのは要求事項の規格です。
イISMSの要求事項を定めた JIS Q 27001（ISO/IEC 27001）
正解。ISMS認証は、組織のISMSが JIS Q 27001 の要求事項に適合しているかを、 認証機関が審査して認めるものです。「満たすべきこと」を定めた規格だけが 審査の物差しになります。
ウ経営層による統治の考え方を示した JIS Q 27014（ISO/IEC 27014）
誤り。JIS Q 27014 は情報セキュリティガバナンスの規格で、経営層が評価・指示・ モニタするといった統治の考え方を示します。経営層の関与はISMSでも重要なので 混同しやすいのですが、ISMS認証の基準ではありません。
エクラウドサービス向けの手引を示した JIS Q 27017（ISO/IEC 27017）
誤り。JIS Q 27017 は、クラウドサービスに特有の管理策を補う実践の手引です。 27002 を前提にクラウド向けの内容を足したもので、これも認証の基準そのものでは ありません。対象がクラウドに限られる点でも、組織全体のISMSの基準とは違います。
理解を深めるために
審査の物差しは「要求事項」の規格だけ
ISMSの規格はどれも「JIS Q 270xx」という似た番号なので、役割で覚えるのが近道です。 運転免許にたとえると、JIS Q 27001 は試験の合格基準、JIS Q 27002 は 運転のコツをまとめた教本です。教本の内容を全部こなしたかどうかではなく、 合格基準を満たしているかで合否が決まります。
なぜ JIS Q 27001 が基準になるのか
- ISMS認証は、組織のISMSが JIS Q 27001（ISO/IEC 27001 と内容が同じ）の 要求事項に適合しているかを、認証機関が審査して認める第三者認証
- JIS Q 27001 は、ISMSの適用範囲を決める、運用する、パフォーマンスを評価する、 不適合を是正し継続的に改善する、といった「組織が満たすべきこと」を定める
- JIS Q 27002 は、管理策を実際に行うときの手引。認証の取得を目指す組織も参照するが、 審査で照合される基準ではない
認証機関を認定するのは認定機関（ISMS-AC）で、組織を審査して登録するのは認証機関です。 この三層の仕組みを、ISMS適合性評価制度と呼びます。
混同しやすいものとの違い
| 規格 | 役割 | 認証の基準か |
|---|---|---|
| JIS Q 27001 | ISMSの要求事項 | 基準になる |
| JIS Q 27002 | 管理策の実践の手引 | ならない |
| JIS Q 27014 | 情報セキュリティガバナンス（経営層の統治） | ならない |
| JIS Q 27017 | クラウドサービス向けの追加の手引 | ならない |
試験では「要求事項」と「手引（実践の規範）」の言葉で見分けます。 認証・審査・適合という語が出てきたら、JIS Q 27001 を思い出してください。