情報処理安全確保支援士試験 令和5年度 春期 午前II 問8

【正解】エ

ISMAPは、政府がクラウドサービスを安全性の観点から評価し、政府機関が利用するサービスを選定するための制度です。その評価で用いられるISMAP管理基準は、日本セキュリティ監査協会の「クラウド情報セキュリティ管理基準（平成28年度版）」を基礎とし、政府機関向けの統一基準や国際規格などの内容も踏まえて策定されています。したがってエが適切です。

アのFIPS 140-3は誤りです。これは米国政府が利用する暗号モジュールについて、物理的保護、鍵管理、自己試験などのセキュリティ要求事項を定めた規格です。クラウドサービス全体の管理策を評価するISMAP管理基準の直接の基礎を示したものではありません。

イのISO/IEC 27018:2019は誤りです。これは、パブリッククラウド事業者が個人識別情報を処理する場合の保護策を定めた実施基準です。個人情報保護に特化した規格であり、ISMAPが対象とする組織、システム、運用などを含む広範な管理策の基礎そのものではありません。

ウのJIS Q 15001:2017は誤りです。これは個人情報保護マネジメントシステムの要求事項を定めた日本産業規格であり、プライバシーマーク制度の審査基準としても利用されます。クラウドサービスの総合的なセキュリティ評価基準ではありません。

【ポイント】 ISMAPでは、クラウドサービス事業者が管理策を実施し、その実施状況について第三者監査を受けます。 名称が似た規格は、対象が「暗号モジュール」「個人情報」「クラウド全体」のどれかを区別して覚えます。