令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問11

国が「このクラウドサービスは安全！」とお墨付きを与える制度

ISMAP（イスマップ）は、政府が利用するクラウドサービス（SaaSやIaaSなど）の安全性を事前にチェックして登録する制度。「国の基準をクリアした安全なサービス」のカタログを作り、役所が安心して選べるようにしているよ。

この問題で問われていること

「政府が調達するクラウドサービスのセキュリティ評価制度」という基本の意味をしっかり結びつけよう。

ISMAP

事前登録済みクラウドから調達することで調達時の確認を効率化する。

政府要求評価\n-> クラウド登録\n-> 調達基準確保

確認ポイント

• プライベートクラウド規格評価制度ではありません。
• 個人データ海外移転制度でもない。
• 政府調達向け事前評価・登録制度を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。内容は、個人情報をきちんと扱う会社にマークを付けるような制度の説明に近いよ。お店に「個人情報の扱いが安心です」というステッカーを貼るイメージで、ISMAPのようにクラウドサービス自体を政府調達向けに評価・登録する制度とは別物だよ。

選択肢イ

これは不正解だよ。これは個人データを海外へ渡すときの話で、ISMAPの説明ではないよ。たとえるなら、海外の引っ越し先のルールを確認する話であって、政府が使うクラウドサービスを事前に審査してリスト化する話ではないんだ。

選択肢ウ（正解）

これは正解だよ。ISMAPは、政府が使うクラウドサービスについて「このサービスはセキュリティ条件を満たしているかな？」と事前にチェックして登録する制度なんだ。たとえるなら、役所が使う業者リストを作る前に、鍵や防犯カメラがちゃんとしている店だけを合格リストに載せる感じだよ。

選択肢エ

これは不正解だよ。これはクラウド向けの国際規格や管理策を基準にした評価の話で、ISMAPそのものの説明としてはズレているよ。ISMAPは「政府が調達するクラウドサービスを事前に評価して登録する制度」なので、規格そのものを使って政府情報システムの管理体制を評価する、という説明ではないんだ。