令和5年度 ITパスポート 問56（テクノロジ）
出典：令和5年度 ITパスポート試験 公開問題 問56（独立行政法人情報処理推進機構（IPA））
ISMSクラウドセキュリティ認証に関する記述として，適切なものはどれか。
- アPaaS，SaaSが対象であり，IaaSは対象ではない。
- イクラウドサービス固有の管理策が適切に導入，実施されていることを認証するものである。
- ウクラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。
- エクラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。
正解と解説を見る
正解：イ
【ISMSクラウドセキュリティ認証とは】
ISMSクラウドセキュリティ認証は、ISMS（Information Security Management System、情報セキュリティマネジメントシステム）の認証に加えて、クラウドサービスに固有の情報セキュリティの管理策が適切に導入・実施されていることを、第三者が審査して認証する制度です。管理策の基準には、クラウドサービスのための情報セキュリティ管理策の規格であるISO/IEC 27017が使われます。
ISO/IEC 27017は、クラウドサービスを提供する側と利用する側の両方について管理策を示しています。そのため、この認証は、クラウドサービスを提供する組織だけでなく、利用する組織も対象になります。また、IaaS、PaaS、SaaSといったサービスの形態を問いません。
【選択肢の検討】
ア：IaaSも対象になります。サービスの形態による限定はありません。
イ：クラウドサービス固有の管理策が適切に導入・実施されていることを認証するので、適切です。
ウ：クラウドサービスを利用する組織も対象になります。
エ：個人情報を適切に保護する体制を評価して、マークの使用を認める制度は、プライバシーマーク制度です。
よって、正解は選択肢イです。