情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和元年度秋期 午前 問9: JIS Q 27002:2014 には記載されていないが，JIS Q 27017:2016 において記載されている管理策はどれか。

問題本文

JIS Q 27002:2014 には記載されていないが，JIS Q 27017:2016 において記載されている管理策はどれか。

選択肢

• ア.クラウドサービス固有の情報セキュリティ管理策
• イ.事業継続マネジメントシステムにおける管理策
• ウ.情報セキュリティガバナンスにおける管理策
• エ.制御システム固有のサイバーセキュリティ管理策

正解

ア. クラウドサービス固有の情報セキュリティ管理策

解説

JIS Q 27017は、JIS Q 27002の管理策をクラウドサービスに適用するための指針と、クラウド固有の追加管理策を規定した規格である。したがってJIS Q 27002にはなくJIS Q 27017にある管理策は「ア」のクラウドサービス固有の情報セキュリティ管理策であり、これが正解となる。

選択肢ごとの解説

• ア.JIS Q 27017はクラウドサービス固有の追加管理策を定めた規格であり、問題の条件に合致するので正しい。
• イ.事業継続マネジメントを扱うのはJIS Q 22301などであり、JIS Q 27017の対象ではない。
• ウ.情報セキュリティガバナンスはJIS Q 27014などが扱う領域であり、JIS Q 27017の追加管理策ではない。
• エ.制御システム固有のサイバーセキュリティ管理策はJIS Q 27019などが扱う領域であり、JIS Q 27017の対象ではない。