情報処理安全確保支援士試験 令和7年度 春期 午前II 問11

【正解】ウ

ISMAPは、政府機関がクラウドサービスを安全に調達するための評価・登録制度です。政府が定めた管理基準に基づき、クラウドサービスのセキュリティ対策を第三者が監査し、要求を満たしたサービスをISMAPクラウドサービスリストに登録します。政府機関はこのリストを活用することで、調達時の評価負担を軽減しながら、必要なセキュリティ水準を確保できます。したがって、ウが正解です。

アの説明は誤りです。これは個人情報保護の体制を評価してマークを付与するプライバシーマーク制度に近い説明です。ISMAPは事業者の個人情報保護体制にマークを付与する制度ではありません。

イの説明は誤りです。これは個人情報保護法における外国の第三者への個人データ提供に関係する内容です。ISMAPは、国外移転の可否や本人同意の要否を判定する制度ではありません。

エの説明は誤りです。クラウド固有の管理策を扱う規格としてISO／IEC 27017がありますが、これはクラウド利用者及び提供者向けの管理策を示すものです。ISMAPを国際規格だけに基づく情報セキュリティ管理体制の評価制度とする説明ではありません。

【ポイント】 ISMAPは「政府によるクラウドサービスの調達」と結び付けて覚えます。 CSマークやプライバシーマークなど、組織や製品にマークを付与する制度との違いを整理しましょう。 登録対象はクラウドサービスであり、個人データの国外移転を認可する制度ではありません。