情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問8: 政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP 管理基準”が基礎としているものはどれか。

正解

エ. 日本セキュリティ監査協会“クラウド情報セキュリティ管理基準（平成 28 年度版）”

正答率 78.9%（19人中 15人が正解）

問題の解説

ISMAPは政府が利用するクラウドサービスを事前評価・登録する制度で、ISMAP管理基準は事業者が満たすべき管理策をまとめたもの。その基礎は日本セキュリティ監査協会のクラウド情報セキュリティ管理基準(平成28年度版)であり、ISO/IEC 27001/27002や27017を取り込んでいる。エが正解。実務では政府調達でISMAP登録サービスから選定することが求められ、評価負担の軽減につながる。

選択肢ごとの解説

• アFIPS 140-3は暗号モジュールの要求事項でISMAP管理基準の基礎ではなく誤り。
• イISO/IEC 27018はクラウドのPII保護規格で関連はあるが管理基準の基礎ではなく誤り。
• ウJIS Q 15001は個人情報保護マネジメントの要求事項でISMAPの基礎ではなく誤り。
• エJASAのクラウド情報セキュリティ管理基準を基礎とする点が制度の説明どおりで正しい。