応用情報技術者試験 令和5年度 春期 午前 問39

【正解】ウ

ISMAPは、政府がクラウドサービスを調達するときに、必要なセキュリティ水準を確保するための評価制度です。政府が定めた管理基準に基づいてクラウドサービスのセキュリティ対策を評価し、要求を満たしたサービスをISMAPクラウドサービスリストに登録します。各政府機関は原則としてこのリストを参考にサービスを選定できるため、機関ごとに同様の安全性評価を繰り返す負担も軽減できます。したがって、政府の要求を満たすクラウドサービスをあらかじめ評価・登録するウが正解です。

アの個人情報保護体制を評価してマークを付与するという説明は誤りです。これは主にプライバシーマーク制度に関係する説明であり、ISMAPは事業者の個人情報保護体制にマークを与える制度ではありません。

イの国外移転について本人の同意を不要にするという説明は誤りです。個人データの外国への第三者提供は個人情報保護法などに従って判断される事項であり、ISMAPの目的ではありません。

エの国際規格を基準に政府の管理体制を評価するという説明は誤りです。クラウド固有の管理策を扱う国際規格としてISO／IEC 27017がありますが、ISMAPはそれだけを基準に政府機関の体制を認証する制度ではなく、クラウドサービスを登録する制度です。

【ポイント】 ISMAPの対象は、政府が利用するクラウドサービスとそのセキュリティ対策です。 「政府のクラウド調達」と「事前の評価・登録」という二つの語句を結び付けて覚えると判断しやすくなります。