情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度秋期 午前Ⅱ 問25: クラウドサービスの導入検討プロセスに対するシステム監査において，クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして，最も適

問題本文

クラウドサービスの導入検討プロセスに対するシステム監査において，クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして，最も適切なものはどれか。

選択肢

• ア.クラウドサービスの障害時における最大許容停止時間が検討されているか。
• イ.クラウドサービスの利用者 ID と既存の社内情報システムの利用者 ID の一元管理の可否が検討されているか。
• ウ.クラウドサービスを提供する事業者が信頼できるか，事業者の事業継続性に懸念がないか，及びサービスが継続して提供されるかどうかが検討されているか。
• エ.クラウドサービスを提供する事業者の施設内のネットワークに，暗号化通信が採用されているかどうかが検討されているか。

正解

ウ. クラウドサービスを提供する事業者が信頼できるか，事業者の事業継続性に懸念がないか，及びサービスが継続して提供されるかどうかが検討されているか。

解説

情報の保全・消失予防の観点では、クラウド事業者の信頼性や事業継続性、サービスが継続提供されるかが要点となる。事業者の破綻やサービス停止はデータ消失や利用不能に直結するため、ウが最も適切。可用性や本人確認等も重要だが、本問の主眼である情報の保全・消失予防には事業者の継続性確認が直結する監査の着眼点である。

選択肢ごとの解説

• ア.最大許容停止時間は可用性に関する観点で、情報の保全・消失予防そのものの着眼点としては不十分で誤り。
• イ.利用者IDの一元管理は認証管理の観点で、情報の保全・消失予防とは焦点が異なるため誤り。
• ウ.事業者の信頼性・事業継続性・サービス継続を確認する点が情報の消失予防に直結し最も適切で正解。
• エ.施設内ネットワークの暗号化は機密性の観点で、保全・消失予防の主眼とはずれるため誤り。