ITサービスマネージャ試験 令和4年度 春期 午前II 問16

【正解】ウ

ISMAPは、政府情報システムのためのセキュリティ評価制度です。政府がクラウドサービスを調達するときに、必要なセキュリティ水準を満たすサービスを円滑に選べるようにすることを目的としています。クラウドサービス事業者の申請に基づき、管理策の実施状況について監査や審査が行われ、政府の要求を満たすことが確認されたサービスがISMAPクラウドサービスリストに登録されます。したがって、ウが適切です。

アの「IaaSだけが登録される」は誤りです。ISMAPはIaaSに限定された制度ではなく、PaaSやSaaSなども対象となり得ます。また、要求事項を定めているのはPaaS、SaaS事業者ではなく、政府です。

イの「事業者による自己宣言だけで登録される」は誤りです。これは事業者が自ら適合を表明する自己適合宣言の説明に近いものです。ISMAPでは、登録監査機関による監査結果などを基に審査されるため、自己宣言だけでは登録されません。

エの「認定された政府機関がリストに登録される」は誤りです。審査及び登録の対象は政府機関ではなく、クラウドサービスです。政府機関は、原則として登録されたサービスから調達先を選定する側です。

【ポイント】 ISMAPは、「政府が安全性を確認したクラウドサービスの一覧を整備する制度」と押さえます。 登録対象は事業者や政府機関そのものではなく、一定の要求を満たしたクラウドサービスです。