平成24年度秋期 情報処理安全確保支援士 午前Ⅱ 問4

午前II 問04：クラウド利用時のセキュリティ指針

このガイドラインは、クラウドサービスを使う人が『何に気を付けてセキュリティ対策を進めればいいの？』と迷わないように作られた実務向けの手引きだよ。JIS Q 27002 の管理策をベースにしつつ、クラウド利用ならではの注意点を補って、利用者が適切な対策を取りやすくしているんだ。

この問題で問われていること

この問題で見ているのは、クラウドサービスを監査する方法やサービスを格付けする基準ではなく、『利用者が安全にクラウドを使うための実践的なガイドラインの目的』を理解できているかどうかだよ。

ガイドライン策定の狙い

クラウド利用では責任分界や委託先管理など追加で考える点があるため、既存管理策を利用者視点で適用しやすくする指針が必要になる。

JIS Q 27002 を補足\nクラウド利用者の対策実施を支援

確認ポイント

• クラウド事業者の格付け基準を提供するものではありません。
• 監査手法だけを提示する目的でもない。
• 利用者が対策を進めやすくする目的を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。JIS Q 27002という情報セキュリティ対策の基本ルールを、クラウド利用に合うように補強して、利用者が安全対策を進めやすくするのが目的なんだ。普通の防犯マニュアルに『貸し倉庫を使うときは、鍵の管理や責任分担も確認しよう』というクラウド向けの注意を足したイメージだよ。

選択肢イ

これは不正解だよ。クラウド事業者を監査する具体的な方法を利用者に教えることが中心ではないんだ。たとえるなら、警備会社を取り調べる手順書ではなく、利用者が自分の荷物を預ける前に『合鍵の管理は？窓口は？事故時の連絡は？』と確認できるようにする手引きだよ。

選択肢ウ

これは不正解だよ。このガイドラインは、クラウドを使う会社が安全に使えるようにするためのものなんだ。たとえるなら、マンションの管理会社向けに『住民にどう見せるか』を書く資料ではなく、住民が『鍵や窓をどう確認すれば安心か』を分かるようにする手引きだよ。

選択肢エ

これは不正解だよ。事業者に星を付けてランキングするための基準ではないんだ。レストランの格付け表ではなく、『クラウドを借りるとき、自分たちは何を確認して、どう守ればいいか』を教えてくれるチェックリストに近いよ。