平成26年度秋期 情報処理安全確保支援士 午前Ⅱ 問3

午前II 問03：クラウド利用者向けのセキュリティ指針を押さえよう

経済産業省のこのガイドラインは、クラウドサービスを使う人が『どんなセキュリティ対策をすればいいの？』と迷わないようにするためのものだよ。JIS Q 27002 にある管理策を、クラウド利用の場面で使いやすく補足してくれる道案内のような位置づけなんだ。

この問題で問われていること

この問題では、監査のやり方やクラウドサービスの格付け基準を聞いているわけではないよ。ポイントは、『クラウド利用者がセキュリティ対策を実施しやすくするための指針』という目的を理解できているかどうかだよ。

策定目的

クラウドでは責任分界や委託先管理が重要になるため、既存管理策を利用者視点で補う指針が必要になる。

JIS Q 27002 を補完\n利用者の対策を支援

確認ポイント

• 事業者格付け基準の提供が主目的ではありません。
• 監査方法だけを提示するものでもない。
• 利用者が対策を円滑に行えるようにする説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。JIS Q 27002を普通の防犯マニュアルだとすると、このガイドラインは「クラウドという貸し倉庫を使うときは、ここも確認しようね」と補足してくれる案内板みたいなもの。クラウド利用者が迷わずセキュリティ対策を進められるようにするのが目的だよ。

選択肢イ

これは不正解だよ。提供事業者を監査する方法、つまり「相手の店に立ち入り検査する手順」を教えるのが主目的ではないんだ。中心は、利用者自身がクラウドを使うときに必要な守り方を整理することだよ。

選択肢ウ

これは不正解だよ。このガイドラインは、クラウドを使う側が「どこに鍵をかければいいかな？」と確認するための手引きなんだ。サービス提供事業者の立場でリスクを並べるものではなく、利用者が安全に使うための対策を助けるものだよ。

選択肢エ

これは不正解だよ。クラウド事業者に星を付けて「この店は安全度Aランク」みたいに格付けする基準ではないんだ。どの事業者を選ぶかのランキング表ではなく、利用者がセキュリティ対策を考えるためのガイドだよ。