ITパスポート試験 令和5年度 公開問題 問56

【正解】イ

ISMSクラウドセキュリティ認証は、情報セキュリティマネジメントシステムの国際規格であるISO/IEC 27001の認証を前提に、ISO/IEC 27017に基づくクラウドサービス固有の管理策が適切に導入、実施されていることを認証する制度です。クラウドでは、サービス提供者と利用者の責任分担、仮想環境の分離、利用終了時のデータ削除など、固有の注意点があります。したがってイが正解です。

アの「PaaS、SaaSだけが対象で、IaaSは対象外」は誤りです。IaaS、PaaS、SaaSはいずれもクラウドサービスであり、認証の対象となり得ます。 ウの「提供する組織だけが対象」は誤りです。クラウドサービスを提供する組織だけでなく、利用する組織も、それぞれに求められる管理策について認証を受けられます。 エの説明は誤りです。これはISMSクラウドセキュリティ認証ではなく、個人情報保護マネジメントシステムを審査し、プライバシーマークの使用を認める制度の説明です。

【ポイント】 ・ISMSは組織の情報セキュリティを継続的に管理する仕組みです。 ・クラウド固有の管理策はISO/IEC 27017、個人情報保護はプライバシーマークと区別します。 ・提供者と利用者の双方に管理責任があり、その境界を明確にすることが重要です。