情報処理安全確保支援士試験 令和6年度 春期 午前II 問7

【正解】ウ

ISMAP-LIUは、ISMAP for Low-Impact Useの略で、政府機関などが利用するクラウドサービスのうち、セキュリティ上のリスクが小さい業務や情報の処理に用いるSaaSを対象とする仕組みです。機密性、完全性、可用性が損なわれた場合の影響度を評価し、影響度が低い業務で利用するサービスについて、通常のISMAPとは異なる枠組みで登録を行います。したがって、ウが適切です。

アは誤りです。JIS Q 27001によるISMS認証に加え、JIS Q 27017に基づくクラウドサービス固有の管理策の導入状況を認証するものは、ISMSクラウドセキュリティ認証です。ISMAP-LIUそのものの説明ではありません。

イは誤りです。アウトソーシング事業者が記述したセキュリティなどの内部統制について、監査法人が評価手続を実施し、その結果と意見を表明するものはSOC2報告書です。SOC2は米国公認会計士協会のトラストサービス規準を基礎とする保証報告書です。

エは誤りです。政府機関などの情報セキュリティのベースラインと、より高い水準を確保するための対策事項を規定するものは、政府機関等のサイバーセキュリティ対策のための統一基準群です。

【ポイント】 ISMAPは、政府が利用するクラウドサービスをあらかじめ評価し、登録する制度です。 ISMAP-LIUでは、サービス名だけでなく、そのSaaSをどのような業務や情報に利用するかという影響度も重要です。 LIUをLow-Impact Useと展開できれば、対象を判断しやすくなります。