応用情報技術者 2018年 秋期 午前2 問63
問題文
企業の業務システムを、自社のコンピュータでの運用からクラウドサービスの利用に切り替えるときの留意点はどれか。
選択肢
ア：企業が管理する顧客情報や従業員の個人情報を取り扱うシステム機能は、リスクを検討するまでもなく、 クラウドサービスの対象外とする。
イ：企業の情報セキュリティポリシやセキュリティ関連の社内規則と、 クラウドサービスで提供される管理レベルとの不一致の存在を確認する。（正解）
ウ：クラウドサービスの利用開始に備え、 自社で保有しているサーバの機能強化や記憶域の増加を実施する。
エ：事業継続計画は自社の資産の範囲で実施することを優先し、 クラウドサービスを利用する範囲から除外する。
企業の業務システムをクラウドサービスに切り替えるときの留意点【午前2 解説】
要点まとめ
- 結論：クラウド利用時は自社の情報セキュリティポリシーとクラウドの管理レベルの不一致を必ず確認すべきです。
- 根拠：クラウド環境は自社管理と異なり、セキュリティ管理責任の範囲や方法が異なるため、ギャップを把握し対策が必要です。
- 差がつくポイント：単にクラウドを使うだけでなく、社内規則との整合性を検証し、リスク管理や運用ルールを明確にする視点が重要です。
正解の理由
イは、クラウドサービスの管理レベルと自社の情報セキュリティポリシーや社内規則の不一致を確認することを挙げています。クラウド移行では、責任分界点（責任共有モデル）が変わるため、セキュリティポリシーの適用範囲や管理方法が異なることを理解し、適切な調整や追加対策を講じる必要があります。これが最も重要な留意点です。
よくある誤解
- 顧客情報などの重要データはクラウドに絶対に移せないと決めつけるのは誤りです。適切なリスク評価と対策でクラウド利用も可能です。
- 自社サーバの強化はクラウド利用の目的に反し、無駄な投資になることが多いです。
解法ステップ
- クラウドサービスの特徴と管理責任範囲を理解する。
- 自社の情報セキュリティポリシーや社内規則を整理する。
- 両者の管理レベルや運用ルールの違いを洗い出す。
- 不一致やギャップを確認し、必要な対策や調整を検討する。
- リスク評価を行い、クラウド利用の可否や範囲を決定する。
選択肢別の誤答解説
- ア：重要情報を扱うシステムを無条件にクラウド対象外にするのは過剰な判断であり、リスク評価を省略するのは誤りです。
- ウ：クラウド利用に際して自社サーバの機能強化は不要であり、むしろクラウドの利点を活かせません。
- エ：事業継続計画（BCP）はクラウド利用範囲も含めて策定すべきで、クラウドを除外するのは不適切です。
補足コラム
クラウドサービスの利用にあたっては「責任共有モデル」の理解が不可欠です。クラウド事業者は物理的なインフラや基盤のセキュリティを担いますが、利用者側はデータの管理やアクセス制御などの責任を負います。この境界を明確にしないと、セキュリティホールが生じるリスクがあります。
FAQ
Q: クラウドに重要情報を移しても安全ですか？
A: 適切なリスク評価とセキュリティ対策を行えば安全に利用可能です。無条件に避ける必要はありません。
A: 適切なリスク評価とセキュリティ対策を行えば安全に利用可能です。無条件に避ける必要はありません。
Q: 自社のセキュリティポリシーはクラウドにそのまま適用できますか？
A: クラウドの管理レベルや責任範囲が異なるため、ポリシーの見直しや調整が必要です。
A: クラウドの管理レベルや責任範囲が異なるため、ポリシーの見直しや調整が必要です。
関連キーワード: クラウドサービス、情報セキュリティポリシー、責任共有モデル、事業継続計画、リスク評価
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！