令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07：ISMAP-LIUは“軽めの用途向けSaaS”を見る制度だよ

ISMAP-LIUは、重要度やリスクが比較的小さい業務・情報を扱うSaaS向けの制度だよ。たとえば、通常のISMAPが“しっかり全部チェックする本格審査”だとすると、ISMAP-LIUは“リスクが低い用途に絞って確認する仕組み”というイメージだね。対象が通常のISMAPより限定されている点を押さえよう。

この問題で問われていること

この問題では、通常のISMAPとISMAP-LIUで“どんなクラウドサービスを対象にしているか”を見分けるのがポイントだよ。ISMAP-LIUは、リスクの小さい業務や情報を処理するSaaS向け、と覚えておこう。

ISMAP-LIU

低リスク用途向け SaaS に対象を絞った制度です。

低リスク業務\n+ SaaS\n-> ISMAP-LIU

確認ポイント

• JIS Q 27017 の認証制度ではありません。
• 政府機関向けベースライン規程そのものでもない。
• 低リスク SaaS 対象を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはISMSクラウドセキュリティ認証の説明なので不正解だよ。JIS Q 27001やJIS Q 27017に沿って管理策を認証する話で、ISMAP-LIUそのものではないんだ。たとえるなら、「防犯設備が規格どおりか認定する検査」と、「政府向けSaaSの登録名簿」は似て見えても別物だよ。

選択肢イ

これはISMAP-LIUの説明ではないから不正解だよ。たとえるなら、ISMAP-LIUは「この軽めのSaaSは政府でも使える候補リストに載せよう」という仕組みだけど、この文は「外部業者の店番ルールを監査人がチェックして意見を出す」というSOC保証報告書の話なんだ。別の制度の説明だね。

選択肢ウ（正解）

これは正解だよ。ISMAP-LIUは、政府が使うクラウドの中でも、リスクが小さい業務や情報を扱うSaaS向けの登録制度なんだ。たとえるなら、金庫室用の厳重審査ではなく、普通の事務用品を置く部屋向けに「このサービスなら使ってよさそう」と確認する仕組みだよ。

選択肢エ

これは政府機関向けの情報セキュリティ統一基準群の説明なので不正解だよ。たとえるなら、建物全体の防犯ルールブックを説明している感じで、ISMAP-LIUという「低リスクなSaaSを登録する名簿」の説明ではないんだ。