令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08

ISMAP管理基準は、ざっくり言うと「政府がクラウドサービスを安心して使えるか」を見るためのチェックリストだよ。土台になっているのは、日本セキュリティ監査協会のクラウド情報セキュリティ管理基準。暗号モジュールの規格や、個人情報保護そのものの規格と混ぜて覚えないようにしよう。

この問題で問われていること

ポイントは、ISMAPを「クラウドサービスの安全性を評価する制度上の基準」として押さえることだよ。他のセキュリティ規格と名前が似ていても、役割が違うので、どの場面で使われる基準なのかを意識しよう。

ISMAP の基礎

政府クラウド評価制度の管理基準は、国内のクラウド監査基準を基礎にしている。

ISMAP 管理基準\n<- クラウド情報セキュリティ管理基準

確認ポイント

• FIPS 140-3 は暗号モジュール要求事項です。
• ISO/IEC 27018 は PII 保護実施規範であり直接の基礎ではありません。
• クラウド情報セキュリティ管理基準を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。FIPS 140-3は、暗号モジュール、つまり暗号化を行う部品が安全かどうかを見るための米国の基準なんだ。たとえるなら、金庫そのものではなく「金庫の鍵やダイヤル部分が頑丈か」を調べる基準だね。ISMAPの管理基準全体の土台ではないので、今回の答えにはならないよ。

選択肢イ

これは不正解だよ。ISO/IEC 27018は、クラウド上で個人情報をどう守るかに焦点を当てた基準なんだ。たとえるなら「お客さんの住所や名前を書いた名簿をどう安全に預かるか」のルールだね。ISMAP全体の管理基準の土台というより、個人情報保護に特化した話なのでズレているよ。

選択肢ウ

これは不正解だよ。JIS Q 15001は、個人情報保護マネジメントシステムの要求事項で、いわゆる個人情報を会社としてきちんと扱うためのルールなんだ。たとえるなら、受付で預かった住所・電話番号の管理マニュアルだね。ISMAPのような政府クラウドのセキュリティ評価制度の土台そのものではないよ。

選択肢エ（正解）

これは正解だよ。ISMAPの管理基準は、政府がクラウドサービスを使うときに「このサービスは安全かな？」と確認するためのものなんだけど、その土台になっているのが日本セキュリティ監査協会の「クラウド情報セキュリティ管理基準」なんだ。たとえるなら、クラウドサービスを入店させるためのチェック表を作るとき、日本向けのクラウド防犯チェックリストをベースにした、という感じだよ。