情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問3: JIS Q 27017:2016（JIS Q 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）が提供する“管理策及び実施の手引”

問題本文

JIS Q 27017:2016（JIS Q 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）が提供する“管理策及び実施の手引”の適用に関する記述のうち，適切なものはどれか。

選択肢

• ア.外部のクラウドサービスを利用し，かつ，別のクラウドサービスを他社に提供する事業者だけに適用できる。
• イ.外部のクラウドサービスを利用する事業者と，クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
• ウ.外部のクラウドサービスを利用するだけであり，自らはクラウドサービスを他社に提供しない事業者には適用できない。
• エ.外部のクラウドサービスを利用せず，自らクラウドサービスを他社に提供するだけの事業者には適用できない。

正解

イ. 外部のクラウドサービスを利用する事業者と，クラウドサービスを他社に提供する事業者とのどちらにも適用できる。

解説

本問は JIS Q 27017 の適用対象を問うている。この規格はクラウドサービスカスタマ（利用者）とクラウドサービスプロバイダ（提供者）の双方に向けた管理策と実施の手引を提供しており、どちらの事業者にも適用できるため、正解はイである。

選択肢ごとの解説

• ア.誤り。利用と提供を兼ねる事業者「だけ」に限定されず、利用のみ・提供のみの事業者にも適用できる。
• イ.正しい。JIS Q 27017 はクラウドサービスの利用者（カスタマ）と提供者（プロバイダ）の両方を適用対象としている。
• ウ.誤り。クラウドサービスを利用するだけのカスタマも適用対象に含まれる。
• エ.誤り。クラウドサービスを提供するだけのプロバイダも適用対象に含まれる。