令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

クラウド用のセキュリティルールを見分けよう

JIS Q 27017 は、クラウドサービスの情報セキュリティ対策についてまとめた実践ルールだよ。もともとの基本ルールである JIS Q 27002 に、クラウドならではの注意点や追加の管理策を足したもの、と考えよう。

この問題で問われていること

この問題では、「これは何向けのセキュリティ管理策かな？」を見分ける力が問われているよ。会社を止めないための事業継続、組織全体を管理するガバナンス、工場などの制御システム向けの管理策と、クラウドサービス向けの管理策を混同しないようにしよう。

JIS Q 27017

クラウドサービスの提供者・利用者に特有の責任分界や共有環境の論点を補うのが 27017 です。

JIS Q 27002 を拡張\n-> クラウド固有の管理策

確認ポイント

• BCMS の管理策ではありません。
• 制御システム向けの規格でもない。
• クラウドサービス固有の管理策を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。JIS Q 27017:2016は、クラウドサービスを使う側・提供する側が気を付けるべき情報セキュリティ管理策を示したもの。たとえるなら、普通の防犯ルールに加えて、『マンションの共有玄関や宅配ボックスを使うときの注意点』を追加で決めるようなものだよ。クラウド特有のリスクに対応するための管理策なので、この選択肢がぴったりだね。

選択肢イ

これは不正解だよ。事業継続マネジメントは、地震や停電などが起きても仕事を止めないための仕組みの話。たとえるなら、お店が停電しても営業を続けられるように予備電源や代替店舗を用意する感じだね。JIS Q 27017:2016の中心はクラウド利用時のセキュリティ管理策なので、災害時の事業継続そのものではないよ。

選択肢ウ

これは不正解だよ。情報セキュリティガバナンスは、会社全体でセキュリティをどう管理・監督するかという話。たとえるなら、家族会議で『家の防犯ルールを誰が決めて、守れているか確認するか』を決める感じだね。JIS Q 27017:2016が主に扱うのはクラウドサービス向けの具体的な管理策なので、方向が違うよ。

選択肢エ

これは不正解だよ。制御システムは、工場の機械や発電設備などを動かすシステムのこと。たとえるなら、家の鍵ではなく、工場のベルトコンベアやエレベーターの操作盤を守る話だね。JIS Q 27017:2016はクラウドサービス向けの管理策なので、制御システム固有のサイバーセキュリティとは対象が違うよ。